1. ¿Se puede saber para qué sirve una cámara solo con mirar su apariencia?
La Comisión de Protección de la Información Personal (PPC, por sus siglas en inglés) llama "cámaras de seguridad tradicionales" a las que se instalan para prevenir delitos y no extraen datos de características faciales de las imágenes. En cambio, el sistema que combina una cámara que toma fotos del rostro y un mecanismo que extrae esos datos para identificar a la persona se denomina "sistema de cámara con función de reconocimiento facial". [1]
En el caso de las cámaras tradicionales, si la instalación deja claro que el objetivo es la seguridad, no se requiere notificar o publicar el propósito de uso. Sin embargo, si la persona no puede darse cuenta fácilmente de que la están grabando, se necesita un aviso de que la cámara está funcionando. [1]
Con las cámaras de reconocimiento facial, no se puede saber desde afuera que se está usando esa tecnología. Por eso, cuando las empresas están sujetas a la ley de protección de datos, deben indicar no solo que es para prevenir crímenes, sino también que usan reconocimiento facial. Se recomienda colocar en las entradas un aviso con el nombre del operador, el propósito, un contacto y un código QR con más detalles. [1]
2. ¿Los datos faciales cuentan como información personal?
La foto de tu rostro en sí misma, es decir, la imagen que permite identificar a una persona específica, es información personal. Además, los "datos de características faciales", que son códigos numéricos derivados de la estructura ósea, el color de piel y la posición de ojos, nariz y boca, se consideran "símbolos de identificación personal" bajo la ley. [1]
Imagina que recuerdas a un amigo sin etiqueta solo por su cara. La cámara no "recuerda" como un humano; compara una secuencia de números basada en tus rasgos con una lista pre-registrada para ver si coincide. La precisión depende del sistema, y no es exactamente como el juicio humano. [1]
Lo importante aquí es que, incluso sin tu nombre o dirección, tu rostro es una pista clave para identificarte. [1]
3. ¿Por qué los datos faciales son difíciles de cambiar y cuánto tiempo se guardan?
Si una contraseña se filtra, puedes cambiarla. Los rasgos faciales no son así. La PPC señala que los datos de características faciales son difíciles de cambiar y permiten rastrear las acciones de una persona, por lo que exige medidas de seguridad. [1]
Que sean "difíciles de cambiar" significa que no se pueden alterar fácilmente, como las huellas dactilares. La ley no dice que nunca cambien. [1]
Sobre el tiempo de almacenamiento, se debe decidir según la necesidad de uso y eliminar los datos sin demora cuando ya no sean necesarios. [1]
Nota: La PPC explica que los datos de características faciales son difíciles de cambiar y pueden permitir seguir las acciones de una persona. Por eso, pide medidas de seguridad. [1]
4. ¿Se pueden usar las imágenes de seguridad con fines comerciales como el marketing?
Para usar imágenes de seguridad o datos faciales con fines comerciales, como el marketing, se necesita el consentimiento previo de la persona. [1]
Si una cámara en un panel publicitario estima tu edad o sexo para mostrarte anuncios, aunque borre la imagen inmediatamente, se considera que está tratando información personal. Por tanto, debe especificar el propósito, notificarlo y publicar que está grabando. [1]
Por otro lado, si solo se usan datos de atributos como sexo o edad, o siluetas del cuerpo para medir el flujo de personas, y no se pueden comparar fácilmente con la imagen original o los códigos de identificación, no se consideran información personal. [1]
También hay reglas sobre quién se incluye en las bases de datos de reconocimiento facial. Deben definirse primero los delitos específicos y no incluir a nadie más allá de lo necesario. Si es para prevenir crímenes, se recomienda limitarlo estrictamente a personas con alta probabilidad de cometerlos. [1]
5. ¿Qué pautas sobre cámaras con reconocimiento facial se publicaron en 2023 y 2026?
En marzo de 2023, la PPC publicó pautas sobre el uso de cámaras con reconocimiento facial para la seguridad. Se basaron en informes de expertos y cubren tres áreas: derechos de imagen y privacidad, leyes de protección de datos y esfuerzos voluntarios de las empresas. [2]
El 10 de julio de 2026 se aprobó una reforma a la ley de protección de datos, publicada el 17 de julio. Un pilar es establecer reglas según el riesgo, incluyendo datos de menores y biométricos. [3]
La nueva ley crea la categoría de "información personal biométrica específica". Esto incluye características corporales que se pueden obtener sin tecnología especial o gran costo, y que la persona no puede detectar fácilmente. La PPC aclara que se refiere a los datos de características faciales, no solo a las fotos. Las empresas deben notificar previamente el nombre, el propósito, el tipo de dato, que tratarán esos datos y cómo solicitar la detención del uso. También se prohíbe la provisión a terceros mediante opt-out y se facilitan las solicitudes para detener el uso. [4][10]
La entrada en vigor aún está lejos. La mayoría de las reglas entrarán en vigencia en una fecha definida por decreto, dentro de los 2 años posteriores a la publicación. A septiembre de 2026, esa fecha aún no se ha decidido. Algunas reglas sobre sanciones entran en vigor el 17 de enero de 2027. No ha cambiado todo de inmediato. [3][10]
Nota: La PPC publicó en marzo de 2023 las pautas para el uso de sistemas de cámaras con reconocimiento facial para la prevención del delito y la seguridad. [2]
6. ¿Qué prohíbe y qué permite la ley de IA de la Unión Europea sobre imágenes faciales?
El artículo 5 de la ley de IA de la Unión Europea prohíbe los sistemas de IA que recopilan imágenes faciales de internet o cámaras de seguridad sin objetivo específico para crear o expandir bases de datos de reconocimiento facial. Esta prohibición entró en vigor el 2 de febrero de 2025. [5]
Las autoridades alemanas explican esta práctica como "aspirar indiscriminadamente como una aspiradora". [6]
También se prohíbe, en principio, la identificación biométrica remota en tiempo real en espacios públicos para aplicar la ley. Las excepciones son estrictas: buscar personas desaparecidas o víctimas de secuestro, prevenir peligros inminentes para la vida o terrorismo, e identificar sospechosos de delitos graves. Generalmente se requiere autorización judicial previa, aunque en emergencias justificadas se puede usar primero y solicitar permiso dentro de las 24 horas siguientes. [6]
Las cámaras de reconocimiento facial en tiendas privadas no están cubiertas por este artículo. Decir que la UE prohibió totalmente el reconocimiento facial es inexacto; la prohibición se centra en la recopilación indiscriminada y la identificación en tiempo real para aplicar la ley. [6]
7. ¿Qué han decidido las autoridades sobre Clearview AI y otros casos de reconocimiento facial?
Se dice que la empresa Clearview AI, de EE. UU., creó una base de datos para buscar personas por su rostro usando imágenes recopiladas de la web pública. En una decisión del 10 de febrero de 2022, la autoridad italiana de protección de datos determinó que no había una base legal válida para procesar estos datos biométricos. Ordenó eliminar los datos de residentes italianos y prohibió la recopilación. La multa fue de 20 millones de euros, según informes de prensa. [7]
En Canadá, las autoridades federales y de tres provincias investigaron conjuntamente y determinaron en 2021 que se recopilaron más de 3 mil millones de imágenes sin consentimiento. Las órdenes fueron emitidas por las autoridades de esas tres provincias. [8]
En EE. UU., la ley de privacidad de información biométrica de Illinois (BIPA), creada en 2008, es una de las primeras leyes estatales que exige consentimiento escrito previo antes de recopilar datos biométricos como rostros. En un caso sobre una función de etiquetado de fotos que creó plantillas faciales sin consentimiento, se aprobó un acuerdo de 650 millones de dólares en febrero de 2021. Esto aplica a usuarios de Illinois. Esta información proviene de documentos de los abogados de los demandantes. [9]
8. ¿Qué avisos buscar en las entradas de tiendas y estaciones y qué deben decir?
Busca en las entradas de tiendas o estaciones si hay avisos de que se está grabando. Fíjate en si incluyen el nombre del operador, el propósito, un contacto y un código QR con más información. Así verás qué tan bien se aplican las recomendaciones de "avisos ideales" en la realidad. [1]
Sin embargo, la presencia o ausencia de un aviso no te dice con certeza si se usa reconocimiento facial. Si no ves un aviso, no significa necesariamente que no se esté haciendo. Que no se pueda saber desde afuera es el punto de partida de este problema. [1]
Por favor, no fotografíes rostros ni causes molestias en las tiendas. Si quieres leer las fuentes originales, la PPC publica en japonés su "Q&A sobre cámaras". [1]