Datos biométricos en bancos: qué cambiará con la nueva norma de la CNBV

La Comisión Nacional Bancaria y de Valores (CNBV) autorizó a las instituciones financieras incorporar el reconocimiento facial para validar la identidad de los usuarios en operaciones presenciales, así como la creación y uso de bases de datos biométricos.

La medida fue publicada en el Diario Oficial de la Federación (DOF) y entró en vigor el 2 de julio de 2026 y los bancos cuentan con 90 días hábiles para adecuarse a esta.. Tiene como objetivo, de acuerdo con el órgano de difusión, brindar mayor certeza, seguridad y veracidad en los procesos de autentificación.

La reforma modifica la Circular Única de Bancos para incorporar formalmente la biometría facial como mecanismo de verificación de identidad, complementando las huellas dactilares que ya existían para abrir una cuenta , solicitar un crédito , realizar retiros o depósitos de alto monto en ventanilla.

El reconocimiento facial de los clientes se utilizará para operaciones presenciales en bancos, como retiros o depósitos de grandes cantidades de dinero, también al abrir nuevas cuentas, solicitar créditos y para aquellas operaciones que requieran de mayor seguridad.

¿ Qué incluye la nueva normativa? 

Uno de los cambios más relevantes es que los bancos ahora pueden usar biometría facial para verificar en operaciones presenciales de mayor riesgo, especialmente en cuentas de niveles 3 y 4.

Una cuenta de nivel 3 es aquella que de débito o nómina que puede recibir abonos mensuales de hasta 81 mil pesos. Las cuentas de nivel 4 es la categoría más alta para cuentas de depósito y, a diferencia de los tres primeros niveles, esta no tiene límite mensual de depósito.

La verificación debe alcanzar al menos un 90% de coincidencia con bases oficiales del Instituto Nacional Electoral (INE), Secretaría de Relaciones Exteriores (SRE), SAT u otras dependencias federales autorizadas.

Se permite a las instituciones conformar sus propias bases de datos biométricas de clientes. Estas bases son exclusivas de cada banco y, de acuerdo con lo publicado en el DOF, su uso está limitado estrictamente a procesos de autenticación interna. Los bancos deben notificar a la CNBV al iniciar o dejar de usar estas bases.

Ariana De Santiago, abogada con especialidad en información y datos personales, informó que el artículo 51 Bis 2 faculta a los bancos a conformar sus propios repositorios de datos biométricos de los clientes. Aunque la norma prohíbe formalmente vender o transferir estas bases entre instituciones, obliga a una infraestructura dedicada centralizada que eleva exponencialmente el riesgo informático de filtración irreversible.

Añade también que, antes de esta normativa, los bancos no guardaban los datos dactilares de los clientes, pues al realizar un trámite, estos duraban en el sistema 12 horas y después se generaba un folio, por medio del cual se identificaba a los clientes.

También se establecen requerimientos técnicos detallados y obligatorios en el nuevo Anexo 71, alineados con estándares internacionales para huellas como la resolución mínima, prueba de huella viva, calidad NFIQ. Para facial se requiere de una imagen 2D frontal, distancia entre ojos, detección de suplantación (presentation attack detection), iluminación controlada, entre otros.

El hecho de que el regulador asuma de origen que los usuarios intentarán “simular la información biométrica de otra persona” justifica un estado de sospecha permanente, sometiendo al ciudadano a auditorías corporativas algorítmicas cada vez que interactúa con su propio patrimonio, explica la abogada.

Empleados y directivos, los primeros en registrar sus datos

Según la nueva resolución, los bancos deben registrar primero los datos biométricos de sus propios empleados, directivos y funcionarios antes de comenzar a capturar los de los clientes.

Al tener registrados los datos biométricos del personal, el banco genera una trazabilidad que permite auditar quién realizó cada registro y detectar posibles irregularidades.

La norma establece que la primera captura de datos biométricos dentro del banco debe ser la de sus empleados y personas responsables del proceso, solamente después de cumplir este requisito podrán proceder a registrar las huellas dactilares o la biometría facial de los clientes. 

Además, los bancos están obligados a verificar anualmente, a través de su Contraloría Interna, que este procedimiento se esté cumpliendo correctamente y que ningún empleado pueda registrar sus propios datos en sustitución de los de un cliente.

¿Cuál es la importancia de los datos biométricos? 

Ariana de Santiago apunta que los datos biométricos de las personas son irreversibles, pues un usuario puede cambiar su NIP, su correo electrónico o su domicilio tras un hackeo. Sin embargo, no puede cambiar las crestas papilares de sus dedos, la geometría de su rostro, la voz, ni el iris. 

“Una vez que una plantilla biométrica es vulnerada, el titular queda expuesto de por vida”, señala la especialista.

Al obligar a la captura masiva y al almacenamiento de la biometría facial y dactilar para operar cuentas bancarias, el decreto del DOF convierte al cuerpo del ciudadano en el único factor de autenticación, ignorando que la suplantación algorítmica de plantillas o las técnicas de IA de alta fidelidad pueden burlar estos sistemas, dejando al usuario en total estado de indefensión patrimonial, expone.

De Santiago señala que la resolución de la CNBV entra en colisión directa con varios de los principios normativos del tratamiento de datos en México.

El primero es el principio de proporcionalidad, el cual exige que los datos personales tratados sean estrictamente necesarios, adecuados y relevantes para la finalidad perseguida. 

En el contexto de la contratación bancaria, este principio se vulnera al exigir un escaneo facial 2D frontal completo como requisito para abrir cuentas o retirar efectivo. Existen alternativas menos invasivas y suficientemente seguras, como la autenticación multifactor, firmas electrónicas avanzadas o tokens físicos. El banco excede así la necesidad comercial legítima e impone una medida de control desproporcionada sobre los usuarios.

El segundo es el principio de finalidad, que establece que los datos deben recabarse solo para finalidades determinadas, explícitas y legítimas. Aunque la norma prohíbe vender o transferir estas bases de datos biométricos entre bancos o terceros, obliga a las instituciones a conectar y verificar en línea los datos contra el INE y la SRE, detalla la abogada.

El principio de seguridad obliga al responsable a implementar medidas administrativas, técnicas y físicas para proteger los datos contra daños, pérdidas o accesos no autorizados. El Anexo 71 pretende garantizar esto mediante infraestructura dedicada, algoritmos de deduplicación y pruebas anti-suplantación. 

Sin embargo, descentralizar la custodia de datos biométricos entre múltiples bancos privados, con niveles dispares de madurez en ciberseguridad, genera un ecosistema de “islas” altamente atractivas para ciberdelincuentes. Una brecha en cualquiera de ellas provocaría un daño irreversible a la identidad biométrica de los usuarios, finaliza De Santiago.