La protección de los datos biométricos no es una cuestión tecnológica, sino un derecho fundamental.
En un entorno donde la autenticación biométrica se presenta como sinónimo de innovación y seguridad, una reciente decisión de la Superintendencia de Industria y Comercio (SIC) deja un mensaje claro: ninguna empresa puede obligar a un usuario a entregar sus datos biométricos como condición para acceder a un servicio.
En Triana, Uribe & Michelsen, consideramos que este precedente marca un punto de inflexión en la protección del habeas data en Colombia y redefine los límites entre la innovación tecnológica y los derechos fundamentales de los ciudadanos.
Cuando el consentimiento deja de ser libre
El caso surgió a partir de un vendedor que llevaba años utilizando una plataforma de comercio electrónico sin inconvenientes. De un momento a otro, la empresa le exigió escanear su rostro para mantener el acceso a su cuenta. Aunque solicitó en varias oportunidades desactivar esa verificación biométrica, la respuesta fue siempre la misma: no era posible. Finalmente, accedió a entregar su imagen facial para no perder el historial, la reputación y el negocio que había construido durante años.
La situación evidencia una realidad cada vez más frecuente: cuando la única alternativa para continuar utilizando un servicio es entregar un dato biométrico, el consentimiento deja de ser verdaderamente voluntario.
Los datos biométricos merecen una protección reforzada
Los datos biométricos, como el reconocimiento facial, la huella dactilar o el iris, poseen una característica que los hace especialmente sensibles: identifican de manera única e irreversible a una persona.
A diferencia de una contraseña, estos datos no pueden modificarse si son comprometidos. Nadie puede cambiar su rostro o sus huellas digitales como quien cambia una clave de acceso.
Precisamente por ello, la legislación colombiana exige que su tratamiento responda a criterios estrictos de necesidad, proporcionalidad y consentimiento libre e informado.
Dos principios que fortalecen el habeas data
La decisión confirmada por la SIC dejó dos reglas de enorme importancia para empresas y usuarios.
La primera es que no puede condicionarse el acceso a una cuenta o servicio ya existente a la entrega de datos biométricos, incluso cuando la empresa presente ese mecanismo como “opcional”. Si en la práctica no existe una alternativa equivalente, el consentimiento pierde su carácter libre.
La segunda consiste en que el ejercicio del derecho de habeas data no requiere fórmulas jurídicas especiales. Cuando un usuario expresa que no desea entregar sus datos biométricos o solicita desactivar ese mecanismo, está ejerciendo legítimamente sus derechos, aunque nunca mencione expresamente la Ley de Protección de Datos Personales. Ignorar esa manifestación constituye una vulneración de sus derechos.
Un precedente que obliga a revisar las políticas empresariales
Cada vez más organizaciones incorporan sistemas de autenticación mediante reconocimiento facial con el propósito de fortalecer la seguridad digital y prevenir fraudes. Sin embargo, la implementación de estas tecnologías debe realizarse dentro del marco constitucional y legal que protege la privacidad de las personas.
Este precedente recuerda que la innovación no puede construirse sacrificando derechos fundamentales. La adopción de herramientas biométricas exige ofrecer alternativas razonables, transparentes y respetuosas de la autonomía del usuario.
La innovación también debe respetar los derechos
En Triana, Uribe & Michelsen creemos que la transformación digital y la protección de datos personales no son objetivos incompatibles. Por el contrario, las organizaciones que desarrollan modelos tecnológicos respetuosos de la privacidad fortalecen la confianza de sus usuarios y reducen significativamente sus riesgos legales.
La decisión de la SIC demuestra que la protección de los datos biométricos no constituye un obstáculo para la innovación, sino una condición indispensable para que esta sea sostenible, responsable y alineada con los principios que rigen el tratamiento de la información personal en Colombia.
