Texas CUBI Act: definición
La Texas CUBI Act es el nombre común de la normativa de Texas sobre datos biométricos, es decir, la Capture or Use of Biometric Identifier Act. La ley fue aprobada en 2009 y está codificada en el Texas Business and Commerce Code, Chapter 503. Regula la captura, el almacenamiento, el uso y la divulgación comercial de identificadores biométricos. En la práctica del compliance, suele analizarse sobre todo en relación con los sistemas de reconocimiento facial, ya que una imagen del rostro puede utilizarse para extraer un patrón biométrico destinado a identificar a una persona.
En el contexto de la anonimización de fotos y vídeos, la Texas CUBI Act no prohíbe por sí sola el difuminado de rostros. La cuestión clave es si la organización, antes de difuminar la imagen, realiza operaciones que puedan considerarse captura o uso de un identificador biométrico. Si un sistema de IA analiza el material únicamente para detectar un rostro como objeto y aplicar de inmediato una máscara de desenfoque, el riesgo regulatorio suele ser menor que cuando se crean plantillas faciales permanentes, se comparan personas entre distintas grabaciones o se identifica a individuos concretos. En la práctica, la línea divisoria está entre la detección de objetos con fines de anonimización y la identificación o verificación biométrica de una persona.
Desde la perspectiva de las fuentes primarias, lo más importante es: el texto de la Texas Business and Commerce Code, Chapter 503; las posiciones y actuaciones de ejecución del Attorney General of Texas; y, de forma comparativa, la jurisprudencia y la práctica en torno a la ley de Illinois BIPA. La Texas CUBI Act es una norma estatal, no federal, y se aplica a actividades comerciales desarrolladas en Texas.
Ámbito subjetivo y material de la Texas CUBI Act
La ley se aplica a las entidades comerciales que capturan un identificador biométrico con una finalidad comercial. No es una norma limitada exclusivamente al sector de la videovigilancia o de la IA. Puede resultar relevante para fabricantes de software de análisis de imagen, integradores de CCTV, proveedores de herramientas de procesamiento de fotografías y administradores de material audiovisual.
Desde el punto de vista normativo, hay tres elementos esenciales: el tipo de datos, la finalidad de la operación y las obligaciones de la empresa. En la Texas CUBI Act, un identificador biométrico incluye un escaneo de retina o iris, una huella dactilar, una huella de voz y un registro de la geometría de la mano o del rostro. Este último punto tiene una importancia directa para los sistemas de procesamiento de imagen.
Área
Importancia práctica para fotos y vídeo
Geometría facial
Puede generarse cuando el sistema calcula un vector de rasgos faciales para identificar o vincular a una persona
Detección facial
La simple detección del área del rostro para difuminarla no siempre implica la creación de un identificador biométrico, pero requiere analizar la arquitectura del modelo y la lógica del tratamiento
Almacenamiento
El riesgo aumenta cuando los rasgos faciales se guardan, indexan o vinculan con metadatos de una persona
Divulgación
La transferencia de patrones biométricos a terceros está sujeta a limitaciones específicas
Obligaciones de las empresas bajo la Texas CUBI Act
La ley impone a las empresas obligaciones materiales que deben interpretarse de forma estricta. Para los equipos responsables de la anonimización de vídeo, lo más importante es identificar el momento en que el pipeline técnico empieza a generar datos biométricos en el sentido jurídico del término.
De forma simplificada, una organización comercial no puede capturar un identificador biométrico sin informar previamente a la persona y obtener su consentimiento. Además, la ley limita la venta, el arrendamiento y la divulgación de dichos datos, salvo que exista una base legal específica. También exige proteger los datos biométricos con la diligencia debida y eliminarlos en un plazo razonable, y en todo caso no más tarde de un año después de haberse cumplido la finalidad de su obtención.
- informar previamente a la persona sobre la captura del identificador biométrico,
- obtener el consentimiento antes de capturar los datos,
- prohibición de vender, arrendar o divulgar de otro modo el identificador biométrico en la mayoría de los casos,
- limitación de la divulgación de datos biométricos a terceros,
- aplicación de medidas razonables de seguridad, al menos comparables a las utilizadas para otros datos confidenciales,
- eliminación de los datos en un plazo razonable, como máximo dentro de 1 año desde la finalidad para la que fueron obtenidos.
En el caso del material fotográfico y audiovisual, esto significa que la conformidad no depende solo de si el archivo final tiene los rostros difuminados, sino también de lo que ocurre durante el proceso. Si el modelo crea un embedding facial, lo guarda y lo utiliza para volver a reconocer a la misma persona, las obligaciones de compliance son considerablemente mayores que en una detección puntual del área del rostro con fines de anonimización.
Importancia de la Texas CUBI Act para la anonimización facial en fotos y grabaciones
En la práctica de la anonimización de imágenes, el objetivo es reducir la posibilidad de identificar a una persona. Esto suele reforzar la protección de la privacidad, pero no exime automáticamente del análisis regulatorio en la fase de tratamiento de entrada. Un sistema de difuminado de rostros suele funcionar sobre la base de modelos de deep learning que detectan el rostro en el encuadre, delimitan un rectángulo o una máscara de segmentación y luego aplican blur, pixelation o una máscara opaca. Ese modelo de IA debe haberse entrenado previamente con conjuntos de imágenes que contienen rostros. El simple hecho de utilizar deep learning no determina por sí mismo que se estén tratando identificadores biométricos de una persona concreta a partir de material de producción, pero la arquitectura de la solución resulta decisiva.
El modelo operativo más seguro para la anonimización es aquel en el que el sistema:
- detecta rostros localmente o en un entorno controlado,
- no crea plantillas faciales permanentes asociadas a una persona,
- no compara rostros entre archivos con fines de identificación,
- no guarda registros que contengan datos biométricos o resultados de reconocimiento de personas,
- tras la anonimización, limita la conservación del material original de acuerdo con la política de la organización.
Esta distinción también es importante desde el punto de vista de la evaluación práctica de herramientas. Un software de anonimización como Gallio PRO difumina automáticamente rostros y matrículas, pero no está diseñado para la identificación biométrica de personas. Tampoco realiza la anonimización de flujo de vídeo ni en tiempo real. Para la evaluación bajo la Texas CUBI Act, es importante determinar si el sistema se implementa como una herramienta de enmascaramiento de imagen o como una herramienta de reconocimiento de identidad.
Diferencias entre la Texas CUBI Act y la Illinois BIPA
La Texas CUBI Act suele compararse con la ley de Illinois BIPA, es decir, la Biometric Information Privacy Act, 740 ILCS 14, vigente desde 2008. Ambas normativas se refieren a datos biométricos, pero sus efectos prácticos para las empresas son diferentes.
Criterio
Texas CUBI Act
Illinois BIPA
Año
2009
2008
Ámbito
Captura de identificadores biométricos con fines comerciales, así como su almacenamiento, uso y divulgación
Recopilación, captura, compra, recepción mediante intercambio comercial y otras formas de obtención de datos biométricos
Acción privada
Por regla general, no existe un derecho privado de reclamación comparable al de la BIPA
Sí; esta es la principal causa del alto riesgo de litigios
Conservación
Eliminación en un plazo razonable, y a más tardar 1 año después de la finalidad de obtención
Exigencia de una política pública de conservación y un calendario de destrucción de datos
Importancia procesal
Mayor riesgo de ejecución por parte de la autoridad estatal
Riesgo muy alto de demandas colectivas e indemnizaciones legales tasadas
La diferencia más importante para el compliance es que la BIPA ha creado un régimen especialmente fuerte de litigios civiles, mientras que la Texas CUBI Act es principalmente un instrumento de ejecución pública. Esto no significa que el riesgo sea bajo. Solo implica un perfil distinto de riesgo jurídico y una forma diferente de documentar el cumplimiento.
Parámetros clave para evaluar el cumplimiento en sistemas de anonimización
Al evaluar una herramienta para el procesamiento de fotos y vídeos, conviene traducir los requisitos legales en características técnicas medibles. La mera eficacia en la detección de rostros no es suficiente. Es necesario analizar si la solución genera y conserva datos biométricos, durante cuánto tiempo los almacena y dónde se realiza el tratamiento.
- conservación de datos: tiempo máximo de almacenamiento del material original, máscaras, metadatos y posibles embeddings faciales,
- modo de implementación: una solución on-premise o en un entorno controlado reduce la exposición de los datos,
- precisión de la detección: el recall y la precision en rostros influyen en el riesgo de dejar a una persona sin anonimizar en la imagen,
- falsos negativos: los rostros omitidos representan un riesgo para la privacidad y el cumplimiento,
- ausencia de identificación: debe confirmarse que el sistema no está destinado al reconocimiento de identidad,
- registro de eventos: los logs no deberían contener datos personales ni patrones biométricos, salvo que sea estrictamente necesario.
En la práctica, puede aplicarse una regla sencilla de evaluación: cuanto menos operaciones existan más allá de la detección puntual del rostro para difuminarlo, menor será el riesgo de entrar en el régimen jurídico biométrico. Esto no sustituye al análisis legal, pero ayuda a ordenar la arquitectura de la solución.
Referencias normativas y fuentes
La definición y las obligaciones deben verificarse ante todo a nivel de fuentes primarias. En caso de discrepancias interpretativas, prevalecen el texto legal y la práctica oficial de ejecución.
- Texas Business and Commerce Code, Chapter 503 - Biometric Identifiers, normativa vigente en Texas
- Illinois Biometric Information Privacy Act - 740 ILCS 14
- Materiales y comunicaciones del Attorney General of Texas sobre la aplicación de la normativa biométrica
- Documentación técnica del sistema de procesamiento de imagen, necesaria para determinar si se crean patrones biométricos
Véase también
- RGPD
- Anonimización de datos
- Difuminado de rostros
- Protección de la privacidad