Biometría: la prohibición que no resuelve la suplantación

Contenido

El 16 de septiembre de 2025, mediante la Resolución 71154, la Delegatura de Protección de Datos Personales de la SIC confirmó la sanción impuesta a una plataforma de comercio electrónico por condicionar el acceso a una cuenta preexistente a la entrega de datos biométricos. Dos días después, esa misma entidad expidió la Circular Externa 001 de 2025, en la que reconoció que el tratamiento de datos biométricos es particularmente crítico para la prestación de servicios financieros y cuasifinancieros, e incluyó entre sus finalidades precisas y necesarias la prevención del fraude, la verificación de identidad y la validación de transacciones de riesgo alto.

Ambas posiciones son correctas, pero conviven mal. La regla de fondo no se discute. El artículo 2.2.2.25.2.3 del Decreto 1074 de 2015 dispone que ninguna actividad podrá condicionarse a que el titular suministre datos personales sensibles (como, por ejemplo, datos biométricos), y la SIC fue clara en advertir que las alternativas ofrecidas deben ser reales y equivalentes, no aparentes. Lo que quedó sin resolver es qué debe hacer una empresa cuando el titular se niega y, aun así, la regulación le exige verificar la identidad de manera efectiva.

Del lado financiero el panorama tampoco es claro. El numeral 2.3.9 de la Circular Básica Jurídica, reexpedida mediante la Circular Externa 006 de 2025, exige mecanismos alternativos únicamente cuando por razones médicas o físicas el cliente no pueda usar biometría. No se refiere a la voluntad del titular. Esto no elimina la prohibición de condicionar el acceso a la entrega de datos sensibles, pero sí genera una duda razonable sobre el alcance real de la obligación.

La discusión está lejos de cerrarse. La Ley 2573 de 2026 traslada a las entidades buena parte del costo de la suplantación, al obligarlas a suspender cobros y a cotejar documentos en plazos breves, y a la vez prevé que el titular debe someterse a la validación de identidad que disponga la entidad. El deber de validar crece mientras la herramienta más efectiva para hacerlo se restringe.

Hay un punto que suele pasarse por alto. Cuando la norma obliga a ofrecer siempre una vía alterna, el usuario legítimo escoge cualquiera, pero quien pretende cometer un fraude escogerá siempre la más laxa. La obligación de habilitar alternativas no distribuye el riesgo de forma neutra, sino que lo concentra en el canal más débil, que además queda señalizado por la propia regulación.

Nada de esto justifica imponer la biometría de manera indiscriminada. Se trata de datos sensibles cuya exposición es irreversible y la exigencia de proporcionalidad es razonable. El problema es que ninguna de las dos autoridades ha definido qué mecanismo no biométrico resulta suficiente, ni hasta dónde llega la obligación del responsable del tratamiento cuando el fraude ocurre por la vía alterna que la propia autoridad le obligó a habilitar.

Mientras esa coordinación llega, las empresas deben que ponerse creativas. Vale la pena explorar la verificación en el propio dispositivo del titular, el cotejo contra fuentes oficiales con supresión inmediata de la plantilla, el escalamiento del nivel de validación según el riesgo de la operación y, sobre todo, la documentación del análisis de necesidad antes del incidente y no en la investigación de la autoridad. El objetivo debe ser acercarse lo más posible a la efectividad de la biometría sin tratar datos sensibles. Hoy, esa sigue siendo una decisión de cumplimiento que cada organización tendrá que tomar por su cuenta.