Evolución de las leyes sobre privacidad de la información biométrica

En 2008, Illinois se convirtió en el primer estado en promulgar una Ley de Privacidad de la Información Biométrica (BIPA). La BIPA regula «la recopilación, el uso, la protección, el manejo, el almacenamiento, la conservación y la destrucción de identificadores e información biométricos» (es decir, huellas dactilares, escáneres de iris, huellas vocales). Prohíbe a las entidades privadas recopilar identificadores biométricos y generar información de «perfiles» individuales derivada de identificadores biométricos sin notificarlo previamente a las personas cuya información se está recopilando, obtener su consentimiento y revelarles información específica. La ley también exige a las entidades privadas que publiquen información detallada sobre sus políticas de retención y destrucción de datos, y les prohíbe vender los identificadores biométricos recopilados.

Desde que Illinois promulgó la BIPA, otros cuatro estados han adoptado leyes basadas en el modelo de la BIPA: Arkansas, California, Texas y Washington. Véase Ark . Code § 4-110-104, Cal. Civ. Code § 1798.100, Tex. Bus. & Com. Code § 503.001, Wash. Rev. Code § 19.375.020. Otros veintisiete estados tienen legislación basada en la BIPA pendiente a fecha de junio de 2021:

Solo cinco estados —Georgia, Kansas, Míchigan, Misuri y Dakota del Sur— no cuentan con legislación vigente o pendiente que regule la privacidad de la información biométrica. Los demás estados abordan la privacidad biométrica a través de leyes vigentes sobre información personal o privacidad y/o legislación pendiente que no se basa en la BIPA:

Aplicación de las leyes de privacidad de la información biométrica

De los cinco estados que han promulgado leyes sobre privacidad biométrica, solo dos permiten el derecho de acción privada: Illinois y California. Sin embargo, las recientes decisiones relativas a la BIPA de Illinois aportan poca claridad y, en cambio, ponen de manifiesto lo poco desarrollado que sigue estando el panorama jurídico de la BIPA y la gran cantidad de cuestiones legales que cabe esperar que sigan surgiendo en futuros litigios (tratadas por separado aquí). La ley de privacidad biométrica de California no comenzará a aplicarse a la información biométrica de los empleados hasta el 1 de enero de 2022. Por lo tanto, los empleadores deben ser conscientes de cómo procesan la información personal de los empleados y deben estar atentos a los nuevos acontecimientos y a la jurisprudencia que interprete la ley en los próximos años.

Además, de los 27 estados con legislación pendiente basada en el modelo BIPA, solo cinco estados (Connecticut, Indiana, Minnesota, Montana y Utah) no proponen una causa de acción privada, lo que aumenta la probabilidad de futuros litigios sobre privacidad biométrica. Suponiendo que se apruebe la legislación en aquellos estados que permiten el derecho de acción privada, cabe esperar un aumento significativo de los casos en los que se interpreten esos estatutos. Algunas de las leyes propuestas por esos estados permitirían la recuperación del triple de los daños (Alaska, Carolina del Norte, Washington) y los honorarios de los abogados (Alaska, Kentucky, Carolina del Norte, Washington). De hecho, un examen más detallado de la legislación propuesta por Washington ilustra el amplio alcance de la legislación pendiente en materia de privacidad biométrica y la posibilidad de que las empresas incurran en una responsabilidad significativa. Cabe destacar que una infracción de la ley «constituiría una presunción refutable de daño a esa persona» y permitiría a los tribunales conceder una indemnización por daños y perjuicios de «10 000 dólares por infracción o los daños reales, lo que sea mayor», así como daños punitivos. 2021 WA H.B. n.º 1433. Además, la ley de Washington exige la concesión de honorarios de abogados a los demandantes que ganen el juicio. Id. ( «los tribunales concederán honorarios y costas razonables a cualquier demandante que gane el juicio»). (énfasis añadido).

Para llevar

Dado el continuo desarrollo de la legislación sobre privacidad biométrica y la posible exposición a daños punitivos y al pago de honorarios de abogados, el mejor consejo práctico disponible para cualquier empleador o empresa que utilice la tecnología para identificar a los empleados o facilitar las transacciones con los clientes sigue siendo contratar a un abogado para explorar estrategias proactivas de gestión de riesgos, en lugar de acabar en el lado reactivo de las acusaciones de violaciones de la BIPA.