08 de julio de 2026

CLIENT ALERT

Datos biométricos en operaciones bancarias: nuevas obligaciones para instituciones de crédito

La Comisión Nacional Bancaria y de Valores (en lo sucesivo, la “CNBV”) publicó en el Diario Oficial de la Federación la Resolución que modifica las Disposiciones de carácter general aplicables a las instituciones de crédito. La modificación establece nuevas facultades y obligaciones para las instituciones de crédito relacionadas con la recopilación, verificación y almacenamiento de datos biométricos de sus clientes.

A continuación, presentamos los cambios que consideramos más relevantes:

I. Recopilación de biometría facial

Se introduce la biometría facial como uno de los mecanismos oficiales de identificación para clientes que soliciten presencialmente la celebración de operaciones pasivas relacionadas con Cuentas Bancarias Nivel 4 —sin límite mensual de monto máximo de depósito—, así como operaciones activas, de servicios o medios de pago relacionadas con Cuentas Bancarias Niveles 3 y 4 —créditos o cargos—.

Por ejemplo, cuando una persona pretenda realizar depósitos o retiros de grandes cantidades, abrir cuentas de depósito con monto máximo de depósito superior a $24,000.00 (veinticuatro mil pesos 00/100 M.N.) o solicitar créditos relacionados con dichas cuentas, deberá proporcionar y sujetarse a una revisión de biometría facial, además de sus huellas dactilares.

Para ello, las instituciones de crédito podrán verificar en línea que la información biométrica coincida, al menos, en un 90% con los registros del Instituto Nacional Electoral o de la Secretaría de Relaciones Exteriores, según el documento oficial presentado.

II. Bases de datos de información biométrica

Las instituciones de crédito podrán crear bases de datos con la información biométrica de sus clientes, sujetas, entre otros, a los siguientes requisitos:

• cumplir con los requerimientos técnicos establecidos por la CNBV y utilizar la información exclusivamente para verificar la identidad de los clientes en las operaciones señaladas;
• verificar la información biométrica con registros del Instituto Nacional Electoral, la Secretaría de Relaciones Exteriores, las autoridades fiscales mexicanas o cualquier otra dependencia federal que provea un servicio de verificación de información biométrica;
• capturar primero la información biométrica de los empleados, directivos y funcionarios que operarán el sistema y, posteriormente, la de los clientes;
• realizar una validación anual de los mecanismos de seguridad de la base de datos y enviar a la CNBV, dentro de los 20 días hábiles posteriores, las acciones para atender las desviaciones identificadas; y
• atender los requerimientos de información adicional de la CNBV. La autoridad podrá ordenar la suspensión parcial o total, temporal o definitiva, del uso de la base de datos cuando se acredite un incumplimiento grave o reiterado.

III. Protecciones de privacidad

Se establece una prohibición absoluta para enajenar, vender, transferir, compartir u operar la información contenida en las bases de datos biométricos bajo esquemas de intercambio, resguardo, reutilización o interoperabilidad con terceras partes, así como entre las propias instituciones financieras.

Si una institución de crédito decide dejar de utilizar una base de datos biométrica, deberá notificarlo a la CNBV dentro de un plazo de 20 días hábiles y proceder a la supresión absoluta de los datos personales mediante técnicas que impidan su recuperación.

IV. Entrada en vigor y plazos de implementación

Las modificaciones entraron en vigor el 02 de julio de 2026, al día siguiente de su publicación. Sin embargo, las instituciones de crédito cuentan con un plazo de 90 días hábiles para implementar los cambios, lo que sitúa su cumplimiento aproximadamente a inicios de noviembre de 2026.

Las instituciones que ya cuenten con una base de datos de información biométrica de sus clientes deberán notificar esta situación a la CNBV dentro de un plazo de 30 días naturales.

V. Posibles implicaciones legales y comerciales

De un análisis preliminar, consideramos que las modificaciones exigirán a las instituciones de crédito nuevas acciones de cumplimiento, entre ellas:

• ajustes en los procesos de identificación de clientes;
• inversión en infraestructura tecnológica y mecanismos de protección de datos personales; y
• procesos de revisión para verificar el cumplimiento oportuno de las nuevas obligaciones regulatorias.

Estos cambios podrían tener un impacto relevante en el patrimonio de las instituciones de crédito y en su operación comercial cotidiana. Por ello, estimamos que existen elementos para analizar la promoción de un juicio de amparo acompañado, en su caso, de una solicitud de suspensión que busque frenar temporal o definitivamente las nuevas obligaciones impuestas.

* * * * *

El presente análisis tiene carácter exclusivamente informativo y no constituye asesoría ni recomendación legal alguna. En caso de requerir más información, ponemos a su disposición los correos institucionales de nuestros socios Javier Bravo (jbravo@bravoymoncada.com) y Elías Moncada (emoncada@bravoymoncada.com), así como de nuestros asociados Jacqueline Flores (jflores@bravoymoncada.com) y Martín Hernández (mhernandez@bravoymoncada.com).