Leyes de Privacidad Biométrica de Delaware: Recolección, Consentimiento y Sanciones (2026)

Delaware protege los datos biométricos, incluidas las huellas dactilares, las huellas de voz y los escaneos de iris, como una categoría de datos personales sensibles bajo la Ley de Privacidad de Datos Personales de Delaware (DPDPA), que entró en vigencia el 1 de enero de 2025. La DPDPA exige consentimiento afirmativo de inclusión antes de la recolección y otorga al Fiscal General autoridad exclusiva de aplicación, sin derecho de acción privada.

Delaware no cuenta con una ley independiente de privacidad biométrica como la BIPA de Illinois. En cambio, el estado protege la información biométrica a través de la Ley de Privacidad de Datos Personales de Delaware (DPDPA), una ley integral de privacidad de datos firmada por el gobernador John Carney el 11 de septiembre de 2023, vigente desde el 1 de enero de 2025. La DPDPA trata los datos biométricos como una categoría de "datos sensibles" que activa requisitos de consentimiento reforzados y restricciones de procesamiento.

Esta guía cubre cómo la ley de Delaware define y regula los datos biométricos, qué obligaciones enfrentan las empresas, cómo funciona la aplicación de la ley, y cómo se aplican las reglas de notificación de violaciones a la información biométrica.

Cómo Define la Ley de Delaware los Datos Biométricos

Según la Sección 12D-102(3) de la DPDPA, los datos biométricos son los datos generados por mediciones automáticas de las características biológicas únicas de una persona. El estatuto enumera ejemplos específicos:

• Huellas dactilares
• Huellas de voz
• Retinas oculares
• Iris
• Otros patrones o características biológicas únicas

El requisito definitorio es que estas mediciones deben usarse para identificar a una persona específica.

Qué Está Excluido

La DPDPA excluye explícitamente ciertas categorías de la definición de datos biométricos. Las fotografías digitales o físicas, las grabaciones de audio y las grabaciones de video no califican como datos biométricos, a menos que alguien las procese específicamente para identificar a una persona en particular.

Esta distinción importa en la práctica. Una grabación de cámara de seguridad en un lugar de trabajo de Delaware no es, por sí sola, datos biométricos. Sin embargo, si una empresa procesa esa grabación con software de reconocimiento facial para identificar a los empleados, los datos de huella facial extraídos se convierten en datos biométricos sujetos a los requisitos de la DPDPA.

Los Datos Biométricos como Datos Sensibles Bajo la DPDPA

La Sección 12D-102(30) clasifica los datos biométricos junto con otras categorías de datos personales sensibles, incluidas:

• Origen racial o étnico
• Creencias religiosas
• Condiciones o diagnósticos de salud mental o física
• Orientación sexual
• Ciudadanía o estatus migratorio
• Datos genéticos
• Datos de geolocalización precisa (dentro de un radio de 1,750 pies)
• Datos relativos a menores conocidos

Esta clasificación es significativa porque los datos sensibles reciben protecciones más fuertes que los datos personales ordinarios bajo la DPDPA. Los controladores enfrentan obligaciones adicionales antes de poder recopilar o usar cualquier información en estas categorías.

Requisitos de Consentimiento para los Datos Biométricos

La protección biométrica más importante de la DPDPA es su mandato de consentimiento. Según la Sección 12D-106(a)(4), un controlador no puede procesar datos sensibles, incluidos los datos biométricos, sin obtener primero el consentimiento del consumidor.

Qué Cuenta como Consentimiento Válido

La ley de Delaware establece un estándar alto para el consentimiento válido. La Sección 12D-102(7) exige un "acto afirmativo claro" que sea:

• Otorgado libremente por el consumidor sin coacción
• Específico para la actividad de procesamiento de datos
• Informado, con un aviso claro sobre qué datos se recopilan y por qué
• Inequívoco al expresar el acuerdo

Qué No Cuenta como Consentimiento

La DPDPA rechaza específicamente varias prácticas comerciales comunes como consentimiento válido:

• Aceptar términos de servicio amplios o políticas generales de uso
• Pasar el cursor sobre, detenerse en, o interactuar de otra manera con el contenido del sitio web
• Acuerdo obtenido mediante un diseño de página web engañoso o manipulador (patrones oscuros)

Esto significa que una empresa no puede ocultar el consentimiento de datos biométricos en un extenso acuerdo de términos de servicio y alegar cumplimiento. La recolección de datos biométricos requiere un mecanismo de consentimiento separado y específico.

Reglas Especiales para Menores

Al procesar datos biométricos de un menor conocido, los controladores deben obtener el consentimiento del padre, madre o tutor legal del menor. El controlador también debe cumplir con la Sección 1204C del Código de Delaware, que se alinea con las protecciones federales de la COPPA.

Quién Debe Cumplir: Umbrales de Aplicabilidad

La DPDPA no se aplica a todas las empresas que operan en Delaware. Según la Sección 12D-103, la ley cubre a las entidades que realizan negocios en Delaware y cumplen con al menos uno de estos umbrales:

• Controlaron o procesaron los datos personales de 35,000 o más consumidores durante el año calendario anterior, O
• Controlaron o procesaron los datos personales de 10,000 o más consumidores y derivaron más del 20% de los ingresos brutos de la venta de datos personales

El HB 380, aprobado por la Asamblea General el 16 de junio de 2026 y a la espera de la firma del gobernador, reduciría estos umbrales a 10,000 o más consumidores, o 5,000 o más consumidores combinados con más del 20% de los ingresos brutos provenientes de la venta de datos personales, con vigencia desde el 1 de enero de 2027 si se firma.

Exenciones Clave

Varias categorías de organizaciones y datos están exentas de la DPDPA:

• Entidades gubernamentales (excluyendo las instituciones estatales de educación superior)
• Instituciones financieras sujetas a la Ley Gramm-Leach-Bliley (GLBA)
• Entidades cubiertas por HIPAA e información de salud protegida
• Registros educativos regidos por la FERPA
• Actividades de la Fair Credit Reporting Act
• Organizaciones sin fines de lucro que atienden a víctimas de abuso, tráfico o acoso

Estas exenciones significan que un hospital que recopila huellas dactilares para la identificación de pacientes probablemente esté cubierto por HIPAA en lugar de la DPDPA. Un banco que use autenticación por huella dactilar típicamente caería bajo la GLBA en su lugar.

Obligaciones de los Controladores para los Datos Biométricos

Más allá del requisito de consentimiento, la DPDPA impone varios deberes a los controladores que manejan datos biométricos.

Minimización de Datos

Los controladores deben limitar su recolección de datos biométricos a lo que sea "adecuado, relevante y razonablemente necesario" para el propósito divulgado. Un gimnasio que recopila los escaneos de huellas dactilares de sus miembros para que puedan registrarse en la entrada tampoco puede usar esos escaneos para analítica de marketing.

Requisitos de Seguridad

Los controladores deben establecer "prácticas razonables de seguridad de datos administrativas, técnicas y físicas" para proteger los datos biométricos bajo la Sección 12D-106(a)(3). Se trata de un estándar general de razonabilidad. El estatuto no nombra ningún marco o punto de referencia de seguridad específico, por lo que cada controlador debe determinar por sí mismo qué medidas de seguridad son razonables para los datos biométricos que posee.

Aviso de Privacidad

Todo controlador que procese datos biométricos debe proporcionar un "aviso de privacidad razonablemente accesible, claro y significativo" que divulgue las categorías de datos personales procesados, los fines del procesamiento, cómo los consumidores pueden ejercer sus derechos, y qué categorías de datos se comparten con terceros.

Revocación Sencilla

Si un consumidor otorgó su consentimiento para el procesamiento de datos biométricos, el controlador debe proporcionar una forma de revocar ese consentimiento. El mecanismo de revocación debe ser "al menos tan fácil como" el método utilizado para otorgar el consentimiento originalmente.

No Discriminación

Los controladores no pueden discriminar a los consumidores que ejercen sus derechos de privacidad. Una empresa no puede negar servicios ni cobrar precios más altos a un cliente que se niegue a proporcionar datos de huellas dactilares, siempre que los datos biométricos no sean estrictamente necesarios para el servicio.

Derechos del Consumidor sobre los Datos Biométricos

Los residentes de Delaware tienen varios derechos según la Sección 12D-104 que se aplican a sus datos biométricos:

• Derecho a confirmar y acceder: los consumidores pueden preguntar si una empresa procesa sus datos biométricos y solicitar una copia.
• Derecho de corrección: los consumidores pueden exigir la corrección de registros biométricos inexactos.
• Derecho de eliminación: los consumidores pueden solicitar la eliminación de sus datos biométricos.
• Derecho a la portabilidad: los consumidores pueden obtener sus datos biométricos en un formato portátil.
• Derecho a conocer las categorías de terceros: los consumidores pueden obtener una lista de las categorías de terceros a quienes el controlador divulgó sus datos personales. La Sección 12D-104(a)(5) no exige que el controlador identifique a los destinatarios individuales.
• Derecho de exclusión: los consumidores pueden excluirse de la venta de sus datos biométricos, de su uso para publicidad dirigida, o de la elaboración automatizada de perfiles.

Los controladores deben responder a estas solicitudes dentro de los 45 días, con una posible extensión de 45 días. La primera solicitud en cualquier período de 12 meses debe procesarse sin costo.

Los consumidores también pueden designar a un agente autorizado para ejercer los derechos de exclusión en su nombre, incluso a través de la configuración del navegador, extensiones enfocadas en la privacidad, u otros mecanismos técnicos.

Empleadores y los Datos Biométricos de los Empleados

Todo deber de la DPDPA, incluida la regla de consentimiento para datos sensibles, se aplica a un "consumidor". La Sección 12D-102(8) define a un consumidor como una persona residente de Delaware, y luego excluye a "una persona que actúa en un contexto comercial o de empleo, o como empleado, propietario, director, funcionario o contratista de una empresa, sociedad, empresa unipersonal, organización sin fines de lucro o agencia gubernamental, cuando sus comunicaciones o transacciones con el controlador ocurren únicamente en el contexto de ese rol".

Debido a esa exclusión, los datos biométricos que un empleador recopila de su propia fuerza laboral quedan fuera de la DPDPA, incluso cuando el empleador es lo bastante grande como para cumplir los umbrales de aplicabilidad respecto de los datos de sus clientes. Los usos habituales en el lugar de trabajo que quedan fuera de la Ley incluyen:

• Relojes de asistencia basados en huellas dactilares para el control de asistencia
• Sistemas de reconocimiento facial para el acceso a edificios
• Escáneres de palma o lectores de geometría de la mano en instalaciones seguras
• Reconocimiento de voz para la autenticación telefónica

Delaware tampoco cuenta con un estatuto biométrico independiente, así que, a diferencia de un empleador en Illinois o Texas, un empleador de Delaware no enfrenta ningún mandato estatal de consentimiento o retención biométrica para los escaneos de sus empleados. Otras leyes sí pueden alcanzar la misma conducta: el estatuto de notificación de violaciones de Delaware en el Capítulo 12B usa sus propias definiciones y no se limita a los consumidores, los contratos de empleo y los convenios colectivos pueden imponer sus propios términos, y un empleador con operaciones en varios estados que tenga trabajadores en Illinois, Texas o Washington queda sujeto a las leyes biométricas de esos estados respecto de esos trabajadores.

Pasos Prácticos para los Empleadores

Ninguno de los siguientes pasos es exigido por la DPDPA respecto de los datos de los empleados. Son medidas de reducción de riesgo que atienden la exposición ante una violación de datos, las leyes biométricas de otros estados y las relaciones laborales:

1. Auditar todos los sistemas que recopilan datos biométricos de los empleados, y confirmar qué trabajadores están cubiertos por la ley biométrica de otro estado
2. Usar un aviso y formulario de consentimiento biométrico independiente, separado de los acuerdos generales de empleo
3. Mantener los registros biométricos separados de los expedientes de personal vinculados al nombre siempre que sea posible, ya que el detonante de notificación de violaciones del Capítulo 12B depende de esa combinación
4. Dar a los empleados una vía para retirar su participación o solicitar la eliminación de sus datos
5. Revisar las prácticas de retención y eliminar las plantillas biométricas que ya no sean necesarias

Notificación de Violaciones para los Datos Biométricos

La ley de Violaciones de Seguridad Informática de Delaware (Título 6, Capítulo 12B) proporciona una capa separada de protección para los datos biométricos. La Sección 12B-101(7) enumera "los datos biométricos únicos generados a partir de mediciones o análisis de características del cuerpo humano con fines de autenticación" como uno de los elementos de datos que pueden constituir "información personal".

La definición exige una combinación, no el elemento biométrico por sí solo: cubre el primer nombre o la inicial del primer nombre y el apellido de un residente de Delaware junto con uno de los elementos enumerados. Los registros biométricos vulnerados por sí solos, sin nada que los vincule a un nombre, no activan por sí mismos el deber de notificación de la Sección 12B-102.

Si una violación expone esa combinación, la empresa debe:

• Notificar a los residentes afectados de Delaware sin demora injustificada y a más tardar 60 días después de descubrir la violación
• Notificar al Fiscal General de Delaware si la violación afecta a 500 o más residentes de Delaware
• Investigar si es probable que la violación resulte en daño para las personas afectadas

Para más detalles sobre los requisitos de reporte de violaciones de Delaware, consulte nuestra guía sobre las Leyes de Notificación de Violaciones de Datos de Delaware.

Aplicación de la Ley y Sanciones

Aplicación por Parte del Fiscal General

El Departamento de Justicia de Delaware tiene autoridad exclusiva para aplicar la DPDPA según la Sección 12D-111. Esto significa que solo el Fiscal General puede iniciar acciones de aplicación contra las empresas que violen las disposiciones de datos biométricos de la ley.

Sin Derecho de Acción Privada

A diferencia de la Biometric Information Privacy Act (BIPA) de Illinois, que permite a las personas demandar directamente a las empresas, la DPDPA declara explícitamente que nada en el capítulo "deberá interpretarse como la base para... un derecho de acción privada". Los residentes de Delaware no pueden presentar demandas contra empresas por el manejo indebido de sus datos biométricos bajo esta ley.

Sanciones

Las infracciones de la DPDPA constituyen una "práctica ilícita" según la Sección 2513 del Código de Delaware. La Sección 12D-111 no establece por sí misma ninguna cifra de sanción; el monto proviene del subcapítulo de fraude al consumidor. El Fiscal General puede buscar:

• Sanciones civiles de hasta $10,000 por infracción, que la Sección 2522(b) autoriza únicamente cuando un tribunal determina que la persona "ha violado intencionalmente (wilfully) este subcapítulo", es decir, que "sabía o debería haber sabido que la conducta era de la naturaleza prohibida"
• Medidas cautelares para detener infracciones en curso
• Restitución para los consumidores afectados
• Recuperación de las ganancias obtenidas mediante infracciones

Cambios en el Período de Subsanación

El cronograma de aplicación ha cambiado desde que la DPDPA entró en vigencia:

• Hasta el 31 de diciembre de 2025: el Fiscal General estaba obligado a emitir un aviso de infracción y dar a los controladores 60 días para subsanar el problema antes de tomar medidas de aplicación.
• Desde el 1 de enero de 2026: el período obligatorio de subsanación ha terminado. El Fiscal General ahora tiene la facultad discrecional de considerar la gravedad de la infracción, el tamaño y la complejidad de la empresa, el número de consumidores afectados, y cualquier infracción previa al decidir si ofrece una oportunidad de subsanación.

Los consumidores pueden presentar quejas ante el Departamento de Justicia de Delaware en privacy@delaware.gov.

Historial Legislativo y Perspectivas Futuras

El camino de Delaware hacia la protección de la privacidad biométrica ha evolucionado a lo largo de varios años.

En 2018, la Asamblea General de Delaware presentó el HB 350, un proyecto de ley independiente de privacidad biométrica basado en la BIPA de Illinois. Ese proyecto habría exigido políticas de retención por escrito, consentimiento específico antes de la recolección, y una prohibición de vender datos biométricos. El HB 350 murió en el Comité de Desarrollo Económico/Bancario/Seguros/Comercio de la Cámara sin recibir una votación.

En lugar de retomar una ley biométrica independiente, Delaware adoptó un enfoque más amplio. La DPDPA, promulgada como ley en septiembre de 2023, incorporó las protecciones biométricas dentro de un marco integral de privacidad de datos del consumidor. Este enfoque aborda los datos biométricos como una categoría más de información sensible en lugar de crear un esquema regulatorio separado.

El interés de la Asamblea General de Delaware en las protecciones de privacidad de datos neuronales ha pasado de ser exploratorio a estar promulgado. El HB 380, que enmienda la DPDPA, aprobó ambas cámaras de la Asamblea General el 16 de junio de 2026 y espera la firma del gobernador. De ser firmado, el HB 380 agregaría los datos neuronales, definidos como datos generados al medir la actividad del sistema nervioso central de una persona, como una nueva categoría de datos sensibles bajo la DPDPA, separada de la definición existente de datos biométricos, con vigencia desde el 1 de enero de 2027.

Cómo Se Compara Delaware con Otros Estados

El enfoque de Delaware sobre la privacidad biométrica se ubica en un punto intermedio del panorama nacional:

Delaware ofrece protecciones biométricas sólidas, pero carece del derecho de acción privada que hace de la BIPA de Illinois la ley de privacidad biométrica más fuerte del país. La ausencia de un estatuto biométrico independiente también significa que Delaware no exige políticas escritas explícitas de retención y destrucción para los datos biométricos.

Para una visión más amplia del marco de privacidad de Delaware, consulte nuestra guía sobre las Leyes de Privacidad de Datos de Delaware.

Más Leyes de Delaware

• Leyes de Grabación de Reuniones con IA de Delaware
• Leyes de Pensión Alimenticia Conyugal de Delaware
• Leyes de Empleo a Voluntad de Delaware
• Leyes de Accidentes de Auto de Delaware
• Leyes de Asientos de Auto para Niños de Delaware
• Leyes de Custodia de Menores de Delaware
• Leyes de Manutención Infantil de Delaware
• Leyes de Matrimonio de Hecho de Delaware
• Leyes sobre Deepfakes de Delaware
• Leyes de Divorcio de Delaware
• Leyes sobre Mordeduras de Perro de Delaware
• Leyes de Emancipación de Delaware
• Leyes de Eliminación de Antecedentes Penales de Delaware
• Leyes de Choque y Fuga de Delaware
• Leyes de Propietarios e Inquilinos de Delaware
• Leyes del Limón de Delaware

---

Este artículo es solo para fines informativos y no constituye asesoría legal. La ley de privacidad biométrica está evolucionando rápidamente, y la información aquí presentada refleja la ley de Delaware a principios de 2026. Consulte a un abogado calificado con licencia en Delaware para obtener orientación sobre su situación específica.