Demandas colectivas BIPA en Illinois: huellas y reconocimiento facial sin consentimiento, guía 2026

¿Puede una huella digital costarle millones a una empresa?

Sí, y en mi opinión lo importante es entender por qué: la exposición nace del papeleo y no de un ataque informático. Bajo la ley de privacidad biométrica de Illinois, una empresa que recoge una huella, un rostro o un identificador parecido sin aviso escrito, sin autorización escrita y sin una política pública de conservación puede ser demandada por cada persona a la que se lo hizo. No hace falta filtración. No hace falta robo de datos. La infracción es la falta de consentimiento.

BIPA se entiende mejor como una ley de cumplimiento con un multiplicador de daños. El argumento de fondo es real: una contraseña se cambia, un rostro no. Pero en los tribunales la pregunta es mucho más terrenal: ¿entregó el empleador un formulario antes del primer escaneo y puede probarlo? Bufetes demandantes y defensores trabajan con esa misma lista.

Esta guía sirve a tres lectores: el trabajador o excliente que estuvo en Illinois y quiere saber si tiene un caso, quien recibió un aviso de acuerdo colectivo, y la empresa con empleados o compradores en ese estado, incluidas filiales de compañías latinoamericanas y españolas. Es información general, y los hechos de cada caso pesan más que cualquier regla.

¿Qué exige exactamente la ley BIPA?

El corazón es la sección 15. Las letras (a) y (b) concentran la mayoría de las demandas.

Sección	Obligación	Reclamo típico
15(a)	Política escrita y pública de conservación; destruir los datos al cumplirse el fin o a los 3 años del último contacto, lo que ocurra primero	No existe política escrita
15(b)	Antes de recoger: aviso escrito de que se recogen datos biométricos, su finalidad y duración, y autorización escrita	Huella registrada sin consentimiento firmado
15(c)	Prohibido vender, alquilar o lucrar con datos biométricos	Monetización de los datos
15(d)	No revelar a terceros sin consentimiento	El proveedor del reloj recibe las plantillas
15(e)	Estándar razonable de seguridad	Almacenamiento débil

Los identificadores cubiertos son escaneos de retina o iris, huellas dactilares, huella de voz y escaneos de la geometría de la mano o el rostro. Las fotografías comunes no están en la lista. Por eso los casos contra funciones de etiquetado giraron en torno a si el programa creaba una plantilla facial a partir de la imagen.

Hay exclusiones: organismos públicos y algunos contratistas, instituciones financieras sujetas a Gramm-Leach-Bliley y cierta información de salud bajo HIPAA. Los tribunales de Illinois la han aplicado, por ejemplo, a personal de hospital que usa huella para abrir armarios de medicamentos. Aun así, esas exclusiones se leen de forma estrecha. No le diría a un cliente que está a salvo solo por ser banco o clínica.

¿Cuánto se paga por cada infracción de BIPA?

El texto es sencillo: 1.000 dólares por infracción negligente, 5.000 si es intencional o temeraria, o el daño real si es mayor. El demandante que gana puede además cobrar honorarios y costas y pedir una orden judicial.

Lo difícil siempre fue contar las infracciones.

Fecha	Fallo o ley	Efecto
Enero 2019	Rosenbach v. Six Flags	No se necesita daño real para demandar
Febrero 2023	Cothron v. White Castle (4 votos a 3)	Cada escaneo puede ser una infracción; la corte recordó que el juez tiene discreción sobre los daños
Febrero 2023	Tims v. Black Horse Carriers	Prescripción de cinco años para todos los reclamos
Agosto 2024	Reforma SB 2979	La recolección repetida por el mismo método cuenta como una infracción por persona; la firma electrónica vale como autorización escrita

Tras Cothron, los abogados defensores hicieron cuentas en las que un solo empleado que ficha dos veces al día durante años generaba una cifra teórica de seis dígitos. Eso asustó a las empresas y, a mi juicio, dañó la credibilidad de la ley. La reforma de 2024 cortó ese multiplicador. Hoy la exposición realista se parece más a personas afectadas por 1.000 o 5.000 dólares, rebajada por el riesgo del litigio.

Si la reforma se aplica a casos ya en curso es algo que los tribunales federales han resuelto de forma distinta. Algunos jueces de distrito la aplicaron de manera retroactiva y otros no. No voy a darle un marcador, porque cambia. Revise el expediente y las decisiones de apelación vigentes en su propio caso antes de tomar una decisión de acuerdo.

¿Cuál es el plazo de prescripción de BIPA?

Cinco años. La Corte Suprema de Illinois lo fijó en Tims, en 2023, después de un periodo en que los demandados defendían un año para algunas secciones.

Para un trabajador, la regla práctica es contar cinco años hacia atrás desde la fecha en que presentaría la demanda y ver si su primer registro cae dentro. Si se inscribió en 2022 y se fue en 2024, probablemente está bien de tiempo. Si fue en 2019, algunas infracciones tempranas pueden haber vencido, aunque los últimos escaneos podrían contar según cómo un tribunal trate el devengo tras la reforma.

Mi consejo: no espere un aviso de acuerdo. Anote la fecha de registro, la última vez que usó el equipo y de qué aparato se trataba.

¿Qué casos terminaron en acuerdos millonarios?

Estos son los ejemplos públicos más conocidos. Los montos son los ampliamente reportados; consulte los sitios oficiales para los términos de pago vigentes.

Caso	Asunto	Resultado reportado
Facebook (Patel v. Facebook)	Plantillas faciales de fotos etiquetadas	Cerca de 650 millones de dólares, aprobado en 2021
Google Photos	Agrupación de rostros	Cerca de 100 millones, 2022
TikTok	Datos de rostro y voz (litigio multidistrito)	Cerca de 92 millones, 2021
Snap	Escaneo facial de filtros	Cerca de 35 millones, 2022
BNSF Railway	Huellas de camioneros	Veredicto de jurado de 228 millones en 2022; tras un nuevo juicio, acuerdo reportado de 75 millones en 2024
Clearview AI	Base de rostros armada con imágenes públicas	Aprobado en 2025; la clase recibe una participación en el valor de la empresa y no efectivo directo

Lo que importa al reclamante no es el titular sino el tamaño del grupo. Los casos contra tecnológicas con millones de miembros suelen pagar a cada persona entre decenas y unos pocos cientos de dólares. Los casos pequeños de empleadores, donde unos cientos de trabajadores reparten un fondo, son los que a veces pagan cuatro cifras por persona. Cualquier estimación individual antes del cierre del plazo de reclamos es una conjetura.

Usé un reloj de huella en el trabajo. ¿Qué sigue?

La secuencia habitual es esta.

1. Reunir pruebas. Paquete de contratación, acuses del manual, capturas de pantalla del registro, nóminas. La pregunta clave es si alguna vez firmó un consentimiento biométrico.
2. Elegir tribunal. Los tribunales estatales de Illinois, como el del condado de Cook, no exigen un daño concreto. Los federales sí.
3. Revisar cláusulas de arbitraje. Una renuncia a demandas colectivas en la carta de oferta puede llevarlo a un arbitraje individual.
4. Revisar cobertura sindical. Los empleados bajo convenio colectivo enfrentan la defensa de desplazamiento federal.
5. Esperar un acuerdo. La mayoría de los casos BIPA se resuelven así. Los abogados de la clase suelen cobrar un porcentaje del fondo, de modo que el trabajador no adelanta dinero.

Esa estructura de cobro por resultado es la misma de la abogacía de lesiones. Si su problema es una lesión en el trabajo y no un escaneo, la vía es otra, como explica la guía del abogado de accidentes en alta mar. Y si le interesa cómo funciona un reclamo grupal de otro tipo, mire nuestra guía del litigio de los tapones auditivos 3M Combat Arms (MDL 2885), donde miles de demandantes avanzan con procesos coordinados. Eso sí, ahí el daño es físico y en BIPA el daño es un incumplimiento de forma.

Una nota para quienes trabajan desde América Latina o España: en la Unión Europea el RGPD trata los datos biométricos de identificación como categoría especial, y en varios países latinoamericanos las leyes de protección de datos exigen consentimiento. Pero ninguna de esas normas da la demanda directa con indemnización fija que ofrece BIPA. Si el trabajo ocurrió en Illinois, aplica la ley de Illinois.

¿Es más riesgoso el reconocimiento facial en las tiendas?

Para las empresas, sí. Un empleador arregla el reloj de huella con un formulario en la incorporación. Un cliente que entra a una tienda no pasa por ninguna incorporación.

Los montajes más riesgosos son las cámaras antirrobo que comparan rostros con listas de vigilancia, las aplicaciones de probador virtual o maquillaje que mapean la geometría del rostro, los quioscos que estiman la edad con un escaneo y cualquier arreglo con un proveedor en el que imágenes o plantillas salgan de la tienda. El detonante legal es un escaneo de la geometría facial. Una cámara de seguridad que graba video no es lo mismo que un software que convierte un rostro en una plantilla comparable.

Confiar en el proveedor no es una defensa. Los demandantes suelen nombrar tanto al proveedor de tecnología como a la empresa que lo usó, y el deber de avisar y obtener consentimiento recae en quien recoge los datos. Una cláusula de indemnidad puede ayudarle a recuperar dinero después, pero no detiene la demanda.

¿Qué debe hacer una empresa antes de que la demanden?

Si yo asesorara a una compañía, lo primero sería preguntar si realmente necesita biometría. Para un negocio de cuarenta personas, una tarjeta de proximidad cuesta menos que un juicio.

Punto de control	Qué hacer	Error común
Aviso escrito	Describir qué se recoge, para qué y por cuánto tiempo	Una frase escondida en la política de privacidad
Autorización escrita	Firmada o con firma electrónica antes del primer escaneo; guardar los registros	Consentimiento verbal, firmas faltantes
Política de conservación	Publicarla; vincular la destrucción al fin de la finalidad o a los 3 años	Guardar datos de exempleados para siempre
Contrato con el proveedor	Limitar el uso, exigir borrado, repartir responsabilidad	El proveedor reutiliza plantillas para sus productos
Alternativas	Ofrecer PIN o tarjeta a quien rechace	Tratar la biometría como obligatoria
Seguro	Preguntar al corredor si BIPA está excluida	Suponer que la póliza general la cubre

El seguro merece su propia advertencia. La Corte Suprema de Illinois ya sostuvo en un caso que la cobertura de lesiones personales de una póliza podía activar el deber de defensa frente a un reclamo BIPA, y las aseguradoras respondieron añadiendo exclusiones expresas. Revise su póliza vigente en busca de exclusiones biométricas o por violación de leyes.

El mismo patrón de documentar para defenderse aparece en demandas por productos y medicamentos. En nuestra guía del litigio por juego compulsivo con Abilify se ve cómo la prueba de lo que la empresa sabía y avisó decide el caso, y en BIPA el aviso es todo.

¿En qué se diferencia de una demanda por filtración de datos?

Aquí la gente se confunde. Una demanda por filtración arranca cuando los datos se escapan y luego debe probar un perjuicio concreto derivado: robo de identidad, gastos, un riesgo que se materializa. Los tribunales federales descartan muchas en la etapa de legitimación.

BIPA lo invierte. No hace falta que nada se filtre. Recoger una huella sin autorización firmada es la infracción, y en tribunales estatales eso basta. Eso significa menos carga de prueba para el demandante y más riesgo para la empresa. Una compañía con excelente seguridad informática igual puede perder un caso BIPA.

Hay límites. La conducta debe conectarse con Illinois. Una empresa que obtuvo autorizaciones escritas válidas suele vencer pronto un reclamo de la sección 15(b). Y la reforma de 2024 bajó el techo de los daños.

Para ver un modelo opuesto, donde el daño físico y la causalidad lo son todo, lea el caso de las vacunas contra el VPH y Gardasil. BIPA es lo contrario: se gana o se pierde en el papel.

¿Qué debe cuidar quien reclama en un acuerdo?

• Verifique el aviso. Compare el número del caso con el expediente del tribunal. Existen sitios falsos.
• Nunca comparta claves. Un formulario real pide nombre, contacto y forma de pago.
• Respete cada plazo. Las fechas de reclamo, exclusión y objeción son distintas. Perder la del reclamo significa no cobrar.
• Entienda la renuncia. Quedarse en la clase implica renunciar a demandar al mismo demandado por los mismos hechos.
• Piense en impuestos. Pregunte a un asesor cómo se califica su pago, sobre todo si reside fuera de Estados Unidos.
• Tenga paciencia. Audiencias de aprobación, objeciones y apelaciones pueden retrasar los pagos muchos meses.

Para otro ejemplo de litigio donde los demandantes se organizan por una práctica común y no por un daño individual, vea nuestra guía de demandas colectivas antimonopolio por fijación de precios.

¿Hacia dónde va BIPA en 2026?

La reforma de 2024 le quitó el filo más cortante a la ley, pero no cerró la puerta. Siguen vivos los reclamos por falta de consentimiento, falta de política y revelación a terceros. Mientras tanto, el reconocimiento facial, las herramientas de clonación de voz y las funciones de IA que procesan rostros y voces crean hechos nuevos todo el tiempo.

En mi opinión, la exposición económica es más predecible que en 2023, y las demandas se desplazarán hacia tecnología de rostro y voz más que hacia los relojes de huella de siempre. Las empresas que tratan los registros de consentimiento como rutina operativa rara vez serán titular de prensa. Quien reclama debe confirmar una cosa antes que nada: ¿firmé algo alguna vez?

Texas y Washington tienen sus propias leyes biométricas, pero ninguna da al ciudadano la demanda directa que sí ofrece Illinois. Para el texto vigente, las reformas y los casos pendientes, acuda al sitio de la Asamblea General de Illinois (ilga.gov), a los expedientes judiciales y a las páginas oficiales de los acuerdos, y no a resúmenes de segunda mano, incluido este.

Este artículo es información general y no constituye asesoría legal. Las leyes, los fallos y las condiciones de los acuerdos cambian, y el resultado depende de los hechos concretos. Consulte a un abogado autorizado en Illinois antes de demandar, defenderse o aceptar un acuerdo.