La CNBV regula el uso de datos biométricos en el sector financiero mexicano

En el ambiente de los negocios y la transformación digital, la certeza jurídica y la seguridad en la identificación de personas son pilares indispensables para la automatización de procesos y la Comisión Nacional Bancaria y de Valores ha dado un paso hacia adelante con la publicación de una resolución que modifica las Disposiciones de carácter general aplicables a las instituciones de crédito, para regular el uso de datos biométricos.

Esta reforma, publicada el 1 de julio de 2026 en el Diario Oficial de la Federación, establece un precedente metodológico sobre cómo se deben gestionar y proteger los datos biométricos en México. En Estela, como aliados estratégicos en digitalización corporativa y certificación electrónica, te compartimos los puntos clave de esta reforma.

El salto a la biometría facial y el requisito del 90% de coincidencia

La normativa anterior ya exigía validar las huellas dactilares de los clientes presenciales, pero no contemplaba formalmente el reconocimiento facial en sucursales. Con esta reforma, la CNBV incorpora de forma expresa la biometría facial para identificar de manera fehaciente a los usuarios que realicen operaciones vinculadas a cuentas bancarias de Niveles 3 y 4.

El aspecto más crítico de esta digitalización es la verificación en línea. Las instituciones financieras deben cotejar en tiempo real que los datos biométricos recolectados (rostro o huellas dactilares) coincidan al menos en un 90% con los registros de autoridades federales, como el Instituto Nacional Electoral o la Secretaría de Relaciones Exteriores.

Un detalle relevante para la agilidad de los procesos de negocio es que, si una operación se efectúa a través de un representante legal, la validación biométrica en línea solo se aplicará a la persona que se presenta físicamente.

El blindaje absoluto de la información biométrica

Las instituciones que decidan optimizar la experiencia de sus clientes mediante la creación de bases de datos biométricas propias (evitando repetir la verificación externa en cada transacción) deben cumplir candados técnicos y de privacidad:

• Prioridad al control interno: antes de registrar a cualquier cliente, los bancos deben capturar de forma obligatoria los biométricos de todos sus empleados, directivos y funcionarios que operarán el sistema.
• Prohibición de comercialización y transferencia: estas bases de datos no podrán ser enajenadas, vendidas, transferidas ni compartidas bajo ningún esquema de intercambio, reutilización o interoperabilidad con terceros u otras instituciones.
• Aviso de inicio y fin: las instituciones deben notificar a la CNBV en un plazo de 20 días hábiles posteriores al inicio del uso de su base de datos y realizar una validación de seguridad anual sobre sus mecanismos de protección. Si deciden dar de baja la base, deben avisar con 20 días de antelación y realizar un borrado seguro e irreversible de la información.

Requerimientos de hardware y software de alta precisión

El Anexo 71 de la resolución detalla un manual de especificaciones tecnológicas que busca evitar fraudes de suplantación mediante técnicas avanzadas:

Plazos para la adopción

La resolución entró en vigor de manera inmediata al día siguiente de su publicación en el DOF. Los bancos que ya contaban con bases biométricas activas recibieron un plazo de 30 días naturales para presentar su aviso informativo ante la CNBV. Sin embargo, el plazo regulatorio definitivo para que todas las instituciones de crédito adecuen su infraestructura tecnológica a este nuevo estándar es de 90 días hábiles.

Conoce más en www.estela.com.