En Disney World, se toman medidas biométricas de los visitantes con pase de varios días para asegurarse de que el pase es usado por la misma persona todos los días.
La biometría (del griego bios vida y metron medida) es la toma de medidas estandarizadas de los seres vivos o de procesos biológicos. Se llama también biometría al estudio para el reconocimiento inequívoco de personas basado en uno o más rasgos conductuales o físicos intrínsecos.
En las tecnologías de la información (TI), la «autentificación biométrica» o «biometría informática» es la aplicación de técnicas matemáticas y estadísticas sobre los rasgos físicos o de conducta de un individuo, para su autentificación, es decir, «verificar» su identidad.
Las huellas dactilares, la retina, el iris, los patronesfaciales, de venas de la mano o la geometría de la palma de la mano, representan ejemplos de características físicas (estáticas), mientras que entre los ejemplos de características del comportamiento se incluye la firma, el paso y el tecleo (dinámicas). Algunos rasgos biométricos, como la voz, comparten aspectos físicos y del comportamiento.
Historia
La biometría no se puso en práctica en las culturas occidentales hasta finales del sigloXIX, pero era utilizada en China desde al menos el sigloXIV. Un explorador y escritor que respondía al nombre de Joao de Barros escribió que los comerciantes chinos estampaban las impresiones y las huellas de la palma de las manos de los niños en papel con tinta. Los comerciantes hacían esto como método para distinguir entre los niños jóvenes.
En Occidente, la identificación confiaba simplemente en la memoria de Eidetic (memoria fotográfica) hasta que Alphonse Bertillon, jefe del departamento fotográfico de la Policía de París, desarrolló el sistema antropométrico (también conocido más tarde como Bertillonage) en 1883. Este era el primer sistema preciso, ampliamente utilizado científicamente para identificar a criminales y convirtió a la biométrica en un campo de estudio. Funcionaba midiendo de forma precisa ciertas longitudes y anchuras de la cabeza y del cuerpo, así como registrando marcas individuales como tatuajes y cicatrices. El sistema de Bertillon fue adoptado extensamente en occidente hasta que aparecieron defectos en el sistema –principalmente problemas con métodos distintos de medidas y cambios de medida. Después de esto, las fuerzas policiales occidentales comenzaron a usar la huella dactilar– esencialmente el mismo sistema visto en China cientos de años antes.
En estos últimos años la biométrica ha crecido desde usar simplemente la huella dactilar, a emplear muchos métodos distintos teniendo en cuenta varias medidas físicas y de comportamiento. Las aplicaciones de la biometría también han aumentado –desde sólo identificación hasta sistemas de seguridad y más.
La idea para usar patrones de iris como método de identificación fue propuesto en 1936 por el oftalmólogo Frank Burch. En la película de culto: 2001: A Space Odyssey (película) de 1968, aparece una escena en que el Doctor Floyd se somete a un reconocimiento de voz como requisito para acceder a las instalaciones interiores de la estación espacial. Para la década de 1980 la idea el concepto ya había aparecido en películas de James Bond, pero permanecía siendo ciencia ficción.
En 1985 los doctores Leonard Flom y Aran Safir retomaron la idea. Su investigación y documentación les concedió una patente en 1987. En 1989 Flom y Safir recurrieron a John Daugman para crear algoritmos para el reconocimiento de iris. Estos algoritmos, patentados por Daugman en 1994 y que son propiedad de Iridian Technologies, son la base para todos los productos de reconocimiento de iris.
En 1993 la Agencia Nuclear de Defensa empezó a trabajar con IriScan, Inc. para desarrollar y probar un prototipo. 18 meses después el primer prototipo se completó y está disponible comercialmente.
La comercialización de productos biométricos, han evolucionado significativamente desde la década de 1960, cuando se introdujeron los primeros sistemas de reconocimiento de huellas digitales en aplicaciones gubernamentales. Con los avances tecnológicos en hardware y software, estas soluciones se han extendido a sectores comerciales y personales, transformando la manera en que se gestiona la autenticación y la seguridad.
Funcionamiento y rendimiento
En un sistema de Biometria típico, la persona se registra con el sistema cuando una o más de sus características físicas y de conducta es obtenida, procesada por un algoritmo numérico, e introducida en una base de datos. Idealmente, cuando entra, casi todas sus características concuerdan; entonces cuando alguna otra persona intenta identificarse, no empareja completamente, por lo que el sistema no le permite el acceso. Las tecnologías actuales tienen tasas de acierto que varían ampliamente (desde valores bajos como el 60%, hasta altos como el 99,9%).
El rendimiento de una medida biométrica se define generalmente en términos de tasa de falso positivo (False Acceptance Rate o FAR), la tasa de falso negativo (False NonMatch Rate o FNMR, también False Rejection Rate o FRR), y la tasa de fallo de alistamiento (Failure-to-enroll Rate, FTE o FER).
En los sistemas biométricos reales el FAR y el FRR puede transformarse en los demás cambiando cierto parámetro. Una de las medidas más comunes de los sistemas biométricos reales es la tasa en la que el ajuste en el cual acepta y rechaza los errores es igual: la tasa de error igual (Equal Error Rate o EER), también conocida como la tasa de error de cruce (Cross-over Error Rate o CER). Cuanto más bajo es el EER o el CER, se considera que el sistema es más exacto.
Las tasas de error anunciadas implican a veces elementos idiosincrásicos o subjetivos. Por ejemplo, un fabricante de sistemas biométricos fijó el umbral de aceptación alto, para reducir al mínimo las falsas aceptaciones; en la práctica, se permitían tres intentos, por lo que un falso rechazo se contaba sólo si los tres intentos resultaban fallidos (por ejemplo escritura, habla, etc.), las opiniones pueden variar sobre qué constituye un falso rechazo. Si entró a un sistema de verificación de firmas usando mi inicial y apellido, ¿puedo decir legítimamente que se trata de un falso rechazo cuando rechace mi nombre y apellido?
A pesar de estas dudas, los sistemas biométricos tienen un potencial para identificar a individuos con un grado de certeza muy alto. La prueba forense del ADN goza de un grado particularmente alto de confianza pública actualmente (ca. 2004) y la tecnología está orientándose al reconocimiento del iris, que tiene la capacidad de diferenciar entre dos individuos con un ADN idéntico.
Beneficios de la tecnología biométrica
Uno de los beneficios que otorga la tecnología biométrica es que hace que no sea necesario llevar una tarjeta o llave para acceder a un edificio. Las infraestructuras de grandes redes empresariales, las identificaciones en el gobierno, las transacciones bancarias seguras, y los servicios sociales y de salud, entre otros ámbitos, ya se benefician del uso de este tipo de verificaciones.
Asociada a otras tecnologías de restricción de accesos, la biometría garantiza uno de los niveles de autenticación menos franqueables en la actualidad. Además, los inconvenientes de tener que recordar una password o un número de PIN de acceso serán pronto superados gracias al uso de los métodos biométricos, debido a que estos últimos presentan notables ventajas: están relacionados de forma directa con el usuario, son exactos y permiten hacer un rastreo de auditorías.
La utilización de un dispositivo biométrico permite que los costos de administración sean más pequeños, ya que sólo se debe realizar el mantenimiento del lector, y que una persona se encargue de mantener la base de datos actualizada. Otro beneficio: las características biométricas de una persona son intransferibles a otra.
Tabla comparativa de sistemas biométricos
Lo que sigue a continuación es una tabla en la que recogen las diferentes características de los sistemas biométricos:
Ojo (Iris)
Ojo (Retina)
Huellas dactilares
Vascular dedo
Vascular mano
Geometría de la mano
Escritura y firma
Voz
Cara 2D
Cara 3D
Fiabilidad
Muy alta
Muy alta
Muy alta
Muy alta
Muy alta
Alta
Media
Alta
Media
Alta
Facilidad de uso
Media
Baja
Alta
Muy alta
Muy alta
Alta
Alta
Alta
Alta
Alta
Prevención de ataques
Muy alta
Muy alta
Alta
Muy alta
Muy alta
Alta
Media
Media
Media
Alta
Aceptación
Media
Baja
Alta
Alta
Alta
Alta
Muy alta
Alta
Muy alta
Muy alta
Estabilidad
Alta
Alta
Alta
Alta
Alta
Media
Baja
Media
Media
Alta
Principales participantes en la industria biométrica
La industria de biométrica ofrece varias tecnologías. Cada tecnología es considerada como un segmento de mercado diferente. Las más conocidas son las huellas dactilares, reconocimiento de cara y reconocimiento de iris (ojos). El cuadro abajo contiene las diferentes tecnologías, aplicaciones horizontales y los principales mercados verticales (en el sector privado y público) que ofrece la industria biométrica:
Tecnología
Aplicación horizontal
Principales mercados verticales
AFIS/Lifescan
Controles de vigilancia
Servicios policiales y militares
Reconocimiento de cara
Identificación sin contacto
Farmacéuticas, hospitales, industria pesada y obras
Geometría de mano
Identificación criminal
Hospitales y sector salud
Reconocimiento de iris (ojo)
Acceso a sistemas
Industria manufacturera
Reconocimiento de voz
Acceso a instalaciones
Viajes y turismo
Escritura y firma
Vigilancia
Estándares asociados a tecnologías biométricas
En los últimos años se ha notado una preocupación creciente por las organizaciones regulatorias respecto a elaborar estándares relativos al uso de técnicas biométricas en el ambiente informático. Esta preocupación es reflejo del creciente interés industrial por este ámbito tecnológico, y a los múltiples beneficios que su uso aporta.
No obstante, la estandarización continua aún sigue siendo deficiente y como resultado de ello, los proveedores de soluciones biométricas continúan suministrando interfaces de software propietario para sus productos, lo que dificulta a las empresas el cambio de producto o vendedor.
A nivel mundial el principal organismo que coordina las actividades de estandarización biométrica es el Sub-Comité 17 (SC17) del Joint Technical Committee on Information Technology (ISO/IEC JTC1), del International Organization for Standardization (ISO) y el International Electrotechnical Commission (IEC).
En Estados Unidos desempeñan un papel similar el Comité Técnico M1 del INCITS (InterNational Committee for Information Technology Standards), el National Institute of Standards and Technology (NIST) y el American National Standards Institute (ANSI).
Existen además otros organismos no gubernamentales impulsando iniciativas en materias biométricas tales como: Biometrics Consortium, International Biometrics Groups y BioAPI. Este último se estableció en Estados Unidos en 1998 compuesto por las empresas Bioscrypt, Compaq, Iridiam, Infineon, NIST, Saflink y Unisis. El Consorcio BioAPI desarrolló conjuntamente con otros consorcios y asociaciones, un estándar que promoviera la conexión entre los dispositivos biométricos y los diferentes tipos de programas de aplicación, además de promover el crecimiento de los mercados biométricos.
Algunos de los estándares más importantes son:
Estándar ANSI X.9.84: creado en 2001, por la ANSI (American National Standards Institute) y actualizado en 2003, define las condiciones de los sistemas biométricos para la industria de servicios financieros haciendo referencia a la transmisión y almacenamiento seguro de información biométrica, y a la seguridad del hardware asociado.
Estándar ANSI / INCITS 358: creado en 2002 por ANSI y BioApi Consortium, presenta una interfaz de programación de aplicación que garantiza que los productos y sistemas que cumplen este estándar son interoperables entre sí.
Estándar NISTIR 6529: también conocido como CBEFF (Common Biometric Exchange File Format) es un estándar creado en 1999 por NIST y Biometrics Consortium que propone un formato estandarizado (estructura lógica de archivos de datos) para el intercambio de información biométrica.
Estándar ANSI 378: creado en 2004 por la ANSI, establece criterios para representar e intercambiar la información de las huellas dactilares a través del uso de minucias. El propósito de esta norma es que un sistema biométrico dactilar pueda realizar procesos de verificación de identidad e identificación, empleando información biométrica proveniente de otros sistemas.
Estándar ISO 19794-2: creado en 2005 por la ISO/IEC con propósitos similares a la norma ANSI 378, respecto a la que guarda mucha similitud.
Estándar PIV-071006: creado en 2006 por el NIST y el FBI en el contexto de la norma FIPS 201 del gobierno de EE. UU, establece los criterios de calidad de imagen que deben cumplir los lectores de huellas dactilares para poder ser usados en procesos de verificación de identidad en agencias federales.
Procesos de autentificación e identificación biométrica
En el proceso de autentificación (o verificación) los rasgos biométricos se comparan solamente con los de un patrón ya guardado, este proceso se conoce también como uno-para-uno ( 1:1 ). Este proceso implica conocer presuntamente la identidad del individuo a autentificar, por lo tanto, dicho individuo ha presentado algún tipo de credencial, que después del proceso de autentificación biométrica será validada o no.
En el proceso de identificación los rasgos biométricos se comparan con los de un conjunto de patrones ya guardados, este proceso se conoce también como uno-para-muchos ( 1:N ). Este proceso implica no conocer la identidad presunta del individuo, la nueva muestra de datos biométricos es tomada del usuario y comparada una a una con los patrones ya existentes en el banco de datos registrados. El resultado de este proceso es la identidad del individuo, mientras que en el proceso de autentificación es un valor verdadero o falso.
El proceso de autentificación o verificación biométrica es más rápido que el de identificación biométrica, sobre todo cuando el número de usuarios (N) es elevado. Esto se debe a que la necesidad de procesamiento y comparaciones es más reducido en el proceso de autentificación. Por esta razón, es habitual usar autentificación cuando se quiere validar la identidad de un individuo desde un sistema con capacidad de procesamiento limitada o se quiere un proceso muy rápido.
Un ejemplo de esto es la aplicación móvil OneID, diseñada para sistemas Single Sign-On, que utiliza la dactiloscopía. Una coalición de empresas de hardware y software denominada Alianza Fido, se dedica al estudio de sistemas biométricos para reemplazar el uso de contraseñas, ya sea con lectores de huellas dactilares, faciales o identificadores de voz. Un ejemplo de su producción es YubiKey, producto de la empresa Yubico.
El iris es una membrana pigmentada suspendida en el interior del ojo, entre la córnea y el cristalino. Regula el tamaño de la pupila para controlar la cantidad de luz que ingresa al ojo. Adquiere su pigmentación de la melanina.
Antes de que ocurra el reconocimiento de iris, se localiza el iris usando características del punto de referencia. Estas características del punto de referencia y la forma distinta del iris permiten digitalización de la imagen, el aislamiento de la característica, y la extracción. La localización del iris es un paso importante en el reconocimiento del iris porque, si está hecho incorrectamente, el ruido resultante (e.g., pestañas, reflexiones, pupilas, y párpados) en la imagen puede conducir al bajo rendimiento.
Debido a que el infrarrojo tiene energía insuficiente para causar efectos fotoquímicos, la modalidad potencial principal de daños es termal. Cuando se produce NIR usando los diodos electroluminosos, la luz que resulta es incoherente. Cualquier riesgo para la seguridad del ojo es remoto con una sola fuente de led usando tecnología de led de hoy. Los iluminadores múltiples de led pueden, sin embargo, producir daño en el ojo si no es diseñado y usado cuidadosamente.
El rostro de la persona es una característica física que permite la identificación de la persona de manera única y estable. Existen equipos que capturan el patrón 2D (proyección en el plano) y equipos que capturan el patrón 3D (descripción volumétrica del rostro).
La desventaja de los equipos 2D es que el sistema no distingue si lo que está capturando es realmente un rostro o una fotografía de un rostro, por lo que no ofrecen un nivel de seguridad suficiente en la mayoría de aplicaciones de control de acceso.
Los equipos con tecnología biométrica facial 3D incluyen la tecnología infrarroja combinada con la 3D, con lo que inhabilitan el uso de caretas o fotografías para falsificar el rostro. Gracias a esto, la biometría facial 3D permite la identificación sin contacto de forma muy rápida y segura, debido a que se consigue construir un patrón 3D del rostro de la persona identificada.
Por lo tanto, los equipos 3D ofrecen una seguridad mucho más elevada ya que necesitan un rostro real (no una fotografía) para identificar el usuario. Por esta razón en aplicaciones de control de acceso y control de presencia es aconsejable usar equipos de reconocimiento facial 3D.
Otra característica importante de los sistemas de reconocimiento facial es la capacidad de identificar a la persona sin contacto (normalmente del orden de decenas de centímetros), por lo que estos sistemas son mucho menos intrusivos que los basados en biometría dactilar, de iris o vascular. Aparte de ser menos intrusivos, esta capacidad de identificación a distancia, hace que tengan muy buena aceptación para aplicaciones de control de acceso o control de presencia en entornos en que el contacto directo del usuario con el terminal pueda representar problemas (ya sea por cuestiones de higiene o bien por qué los usuarios llevan guantes).
Reconocimiento vascular
En la biometría vascular se extrae el patrón biométrico a partir de la geometría del árbol de venas del dedo. A diferencia de la huella dactilar el patrón biométrico es interno, por esta razón no deja rastro y solo se puede conseguir en presencia de la persona. Es por tanto muy difícil el robo de identidad.
Debido a estas características es especialmente indicado para entornos de alta seguridad, así como en entornos duros, en que la superficie del dedo (y por consiguiente la huella superficial) pueden estar en mal estado, erosionados o poco limpios.
Pulsaciones cardíacas
Criptógrafos de la Universidad de Toronto desarrollaron una pulsera , que mediante el uso de un voltímetro detecta las pulsaciones cardíacas y utiliza el electrocardiograma como un método de identificación biométrico. La pulsera se puede utilizar para activar a distancia distintos dispositivos que requieran verificar identidad, aunque aún se encuentra en fase de desarrollo. Para el científico Karl Martin es un método eficaz, porque, a diferencia de las contraseñas, la frecuencia cardíaca «no se puede romper».
Principales aplicaciones de la biometría
Las aplicaciones de la tecnología biométrica son muchas y están relacionadas con la identificación de la persona. Entre las principales aplicaciones están las aplicaciones de control de acceso físico, control de presencia (o fichaje laboral), control de acceso a información y recursos o control de firma biométrica.
Para las aplicaciones de control de acceso y control de presencia es habitual el uso de la tecnología biométrica en combinación con otras tecnologías de identificación por tarjeta, como por ejemplo las tarjetas RFID. Esta combinación permite que el patrón biométrico se guarda en la tarjeta, por lo que es el usuario quién custodia esta información y no se guarda en el dispositivo de control.
El avance de la tecnología y la miniaturización de los dispositivos ha permitido recientemente el uso de escáneres de huella dactilar en dispositivos electrónicos de consumo, como ordenadores portátiles y móviles.
Suelen incorporarse sistemas biométricos para el control de asistencia, el sistema reconoce la entrada y salida del individuo, lo que facilita un control de las horas trabajadas, además de evitar falsedades en el registro de asistencia.
Cuestiones y preocupaciones
Como con otros procesos tecnológicos y de gran alcance, las excesivas dudas en lo referente a la biometría pueden eclipsar una crítica más general. La biometría puede llegar a asociarse con fallos severos de la justicia en aquellos casos en los que la tecnología ha desviado la atención del verdadero foco, así, un individuo podría:
introducir deliberadamente ADN en la escena de un crimen
relacionar sus propios parámetros biométricos con la identidad de otra persona
Robo de identidad
Las preocupaciones acerca del robo de identidad por el uso de la Biometría aún no han sido resueltas. Si el número de tarjeta de crédito de una persona es robado, por ejemplo, puede causarle a esa persona grandes dificultades. Si sus patrones de escaneado de iris son robados, sin embargo, y eso permite a otra persona acceder a información personal o a cuentas financieras, el daño podría ser irreversible ya que a diferencia del uso de claves o frases clave, los datos biométricos de un individuo no pueden cambiarse y una vez comprometidos no se podría volver a tener seguridad en su uso.
Frecuentemente, las tecnologías biométricas han sido puestas en uso sin medidas adecuadas de seguridad para la información personal que es resguardada a través de las mismas.
Privacidad
Aunque la biometría es frecuentemente utilizada como un medio para combatir la criminalidad, existe la preocupación de que la biometría pueda ser utilizada para disminuir las libertades personales de los ciudadanos.
Los desarrollos en tecnología video digital, infrarrojos, rayos X, inalámbricas, sistemas de posicionamiento global, biometría, escaneado de imágenes, reconocimiento de voz, ADN, e identificación de ondas cerebrales le proveen al gobierno con nuevos métodos para "buscar e investigar" vastas bases de datos individuales y colectivas de información sobre la población en general.
En Colombia, la Ley 1581 de 2012 establece disposiciones generales para la protección de datos personales y clasifica los datos biométricos como datos sensibles.
Protección de datos y privacidad
El tratamiento de datos biométricos en los controles migratorios plantea desafíos particulares de protección de datos personales, dado que estas características son intrínsecas a la persona y no pueden modificarse en caso de que la información se vea comprometida, a diferencia de otros identificadores como contraseñas o documentos.
En la Unión Europea, el Reglamento General de Protección de Datos (RGPD) define los datos biométricos como aquellos obtenidos mediante un tratamiento técnico específico relativo a las características físicas, fisiológicas o conductuales de una persona, que permiten confirmar su identidad de forma unívoca, como las imágenes faciales o los datos dactiloscópicos. El artículo 9 del RGPD clasifica estos datos, cuando se usan con fines de identificación unívoca, como una categoría especial cuyo tratamiento está prohibido salvo que se cumpla alguna de las excepciones previstas, como el consentimiento explícito del titular o una norma con rango de ley que autorice su uso.
En Colombia, la Ley 1581 de 2012, que establece el régimen general de protección de datos personales, incluye los datos biométricos como las huellas dactilares, el reconocimiento facial o el patrón de voz, dentro de la categoría de datos sensibles, es decir, aquellos que afectan la intimidad del titular o cuyo uso indebido puede generar discriminación. Conforme a esta ley, el tratamiento de datos sensibles requiere, como regla general, la autorización previa, expresa e informada del titular, salvo excepciones puntuales contempladas en la norma. La Superintendencia de Industria y Comercio, autoridad de protección de datos del país, ha aplicado este principio en distintos sectores, sancionando a entidades que condicionaron el acceso a un servicio a la entrega obligatoria de datos biométricos sin el consentimiento correspondiente. En el ámbito migratorio, Migración Colombia aplica el mismo criterio al clasificar como sensibles los datos biométricos recolectados a través de sistemas como BIOMIG, señalando que su tratamiento se limita a fines de identidad y control migratorio.
En Estados Unidos, una propuesta del Departamento de Seguridad Nacional (DHS) busca ampliar la recopilación rutinaria de datos biométricos, incluyendo imágenes faciales, huellas dactilares, escaneo de iris, huella vocal y ADN, a todas las personas vinculadas con solicitudes de beneficios migratorios, manteniendo el requisito hasta que el solicitante obtenga la ciudadanía.
Estas iniciativas han generado debate sobre aspectos como el tiempo de conservación de los datos biométricos, las condiciones bajo las cuales pueden compartirse entre agencias u organismos, y las garantías existentes frente a filtraciones o usos no autorizados de la información.
Clasificación legal de los datos biométricos
Los datos biométricos son considerados, en la mayoría de los marcos regulatorios, una categoría especial de datos personales, debido a que derivan de características físicas, fisiológicas o conductuales intrínsecas a la persona y, a diferencia de otros identificadores como contraseñas o documentos, no pueden modificarse en caso de que la información se vea comprometida.
Identificación frente a autenticación
Un aspecto relevante en la regulación de los datos biométricos es la distinción entre identificación y autenticación. Según el Grupo de Trabajo del Artículo 29 —organismo consultivo independiente de la Unión Europea en materia de protección de datos, actualmente sucedido por el Comité Europeo de Protección de Datos—, la identificación biométrica es el proceso de comparar los datos de una persona con múltiples plantillas almacenadas en una base de datos (comparación uno contra varios), mientras que la verificación o autenticación biométrica compara dichos datos contra una única plantilla previamente asociada a esa persona (comparación uno contra uno). La identificación responde a la pregunta de quién es una persona; la autenticación responde a si la persona es quien dice ser.
Marco regulatorio en la Unión Europea
El Reglamento General de Protección de Datos (RGPD) de la Unión Europea define los datos biométricos, en su artículo 4, como aquellos obtenidos mediante un tratamiento técnico específico relativo a las características físicas, fisiológicas o conductuales de una persona que permiten confirmar su identidad de forma unívoca. El artículo 9 del mismo reglamento clasifica estos datos, cuando se emplean con fines de identificación unívoca, como una categoría especial cuyo tratamiento está prohibido salvo que se cumpla alguna de las excepciones previstas, entre ellas el consentimiento explícito del titular.
Marco regulatorio en Estados Unidos
A diferencia de la Unión Europea, Estados Unidos carece de una ley federal integral de protección de datos biométricos, por lo que la regulación se ha desarrollado principalmente a nivel estatal. La Ley de Privacidad de Información Biométrica de Illinois (Biometric Information Privacy Act, BIPA, 740 ILCS 14), promulgada en 2008, exige a las entidades privadas obtener el consentimiento informado por escrito antes de recolectar datos biométricos, prohíbe su venta, y otorga a los individuos un derecho de acción privada para demandar directamente a las empresas que incumplan la norma.
En 2019, la Corte Suprema de Illinois resolvió, en el caso Rosenbach v. Six Flags Entertainment Corp., que una persona puede iniciar una demanda bajo la BIPA por la sola recolección no autorizada de sus datos biométricos, sin necesidad de alegar o probar un daño real adicional más allá de la violación de sus derechos estatutarios.
Marco regulatorio en Colombia
En Colombia, la Ley Estatutaria 1581 de 2012 incluye expresamente los datos biométricos dentro de la categoría de datos sensibles, definidos como aquellos que afectan la intimidad del titular o cuyo uso indebido puede generar discriminación, sujetos a autorización previa, expresa e informada.
Robo y falsificación de datos biométricos
El uso de sistemas biométricos ha aumentado como mecanismo para verificar la identidad de las personas mediante características físicas o comportamentales, como las huellas dactilares, el rostro, el iris o la voz. Sin embargo, la incorporación de estos sistemas también genera un problema particular de seguridad: los datos biométricos no funcionan como una contraseña convencional. Mientras una contraseña puede modificarse después de una filtración, una característica física como una huella dactilar o el rostro permanece asociada a la persona durante gran parte de su vida. Por esta razón, el robo o falsificación de información biométrica puede tener consecuencias prolongadas para la seguridad y la privacidad de los individuos.
El robo de datos biométricos puede producirse en diferentes etapas del proceso de identificación. Un sistema normalmente captura una característica, extrae determinados patrones y los compara con una representación almacenada, conocida como la plantilla biométrica. Esta plantilla no necesariamente corresponde a una fotografía completa de la huella o el rostro, pero contiene información suficiente para realizar una comparación. Una vulnerabilidad puede aparecer cuando estas plantillas son almacenadas, transmitidas o procesadas de manera insegura. El National Institute of Standards and Technology (NIST) identifica, entre otros riesgos, la manipulación de plantillas almacenadas, ataques a los canales de comunicación.
El problema no se limita al robo de una base de datos. También existen ataques destinados a engañar directamente al sensor biométrico. Estos se conocen como ataques de presentación: el atacante intenta presentar ante el dispositivo una característica falsa o manipulada con el objetivo de que el sistema la interprete como legítima. En reconocimiento facial, por ejemplo, pueden utilizarse imágenes, reproducciones u otros artefactos para intentar superar el proceso de identificación. La norma ISO/IEC 30107-3 establece procedimientos para evaluar mecanismos de detección de este tipo de ataques, mientras que NIST recomienda incorporar mecanismos de presentation attack detection (PAD) para reducir intentos de suplantación.
La falsificación también puede aprovechar herramientas digitales cada vez más sofisticadas. El desarrollo de técnicas de inteligencia artificial capaces de generar imágenes, voces y otros contenidos sintéticos amplia las posibilidades de intentar imitar las características de otra persona. Esto significa que la seguridad biométrica ya no depende únicamente de comprobar si dos imágenes son suficientemente parecidas, sino también de determinar si la característica presentada corresponde realmente a una persona presente durante la autenticación. NIST, por ejemplo, considera la detección de ataques de presentación como un componente importante de los sistemas modernos de verificación de identidad.
La consecuencias de una filtración pueden ser especialmente graves cuando una misma característica biométrica se utiliza en diferentes servicios. Una huella comprometida no puede sustituirse de la misma manera que una contraseña y, por ello, podría representar un riesgo para múltiples sistemas en los que esa característica haya sido utilizada. Además, los datos biométricos reciben un tratamiento especial en determinadas legislaciones. El reglamento general de protección de datos de la Unión Europea, por ejemplo, considera los datos biométricos utilizados para identificar de manera única a una persona como una categoría especial de datos personales y establece condiciones adicionales para su tratamiento.
Para reducir estos riesgos se han desarrollado mecanismos de protección de plantillas biométricas, entre ellos las denominadas biometrías cancelables. Estas técnicas buscan transformar la información biométrica original mediante procedimientos que dificulten su reconstrucción y que permitan generar una nueva representación si la anterior resulta comprometida. De esta manera, se intenta introducir en la biometría una propiedad que tradicionalmente tienen las contraseñas: La posibilidad de renovación y remplazo. Sin embargo, investigaciones recientes muestran que estos mecanismos también pueden presentar vulnerabilidades y requieren evaluación continua frente a nuevos tipos de ataques.
↑Superintendencia de Industria y Comercio (17 de octubre de 2012). «Ley Estatutaria 1581 de 2012». Superintendencia de Industria y Comercio. Consultado el 8 de septiembre de 2026.
↑Quintanilla Mendoza, Gabriela (2020). «Legislación, riesgos y retos de los sistemas biométricos». Revista Chilena de Derecho y Tecnología9 (1): 63-91. doi:10.5354/0719-2584.2020.53965.
12Patel, Vishal M.; Ratha, Nalini K.; Chellappa, Rama (1 de septiembre de 2015). «Cancelable biometrics: A review». IEEE Signal Processing Magazine (Institute of Electrical and Electronics Engineers Inc.) 32 (5): 54-65. ISSN1053-5888. doi:10.1109/MSP.2015.2434151. Consultado el 15 de septiembre de 2026.
