Biometría en pagos: por qué tu móvil te pide la huella unas veces sí y otras no

Última actualización: 11 de septiembre de 2026

Dinero online
Actualizado septiembre 2026

Que tu móvil te pida la huella para pagar 40 € y no te pida nada para pagar 12 € no es una decisión del banco ni un fallo de la app: está escrito en un reglamento europeo con importes exactos. Y de ahí sale el dato que más te conviene saber de todo esto: si tu proveedor no te exigió autenticación reforzada y acaban colándote un cargo, la ley española dice que solo soportas las consecuencias económicas si actuaste de forma fraudulenta. Ni 50 €, ni franquicia. Nada.

Por qué te la piden: no es seguridad, es una obligación legal

La autenticación reforzada de cliente —SCA, por sus siglas en inglés— viene de la PSD2 y se concretó en el Reglamento Delegado (UE) 2018/389, cuyas obligaciones se aplican desde el 14 de septiembre de 2019. Su artículo 4 exige que la autenticación se base en dos o más elementos pertenecientes a categorías diferentes:

Conocimiento, algo que solo tú sabes: una contraseña, un PIN. Posesión, algo que solo tú tienes: tu móvil, la tarjeta física. Inherencia, algo que tú eres: la huella, la cara, la voz. La biometría es únicamente la tercera pata, y ahí está el malentendido más común: la huella sola no es autenticación reforzada. Lo que la convierte en válida es ir acompañada del móvil concreto que el banco ha vinculado a tu cuenta. Un factor nunca basta.

Por eso la biometría se impuso tan rápido: cuando la ley te obliga a pedir dos factores en cada pago, el segundo tiene que ser algo que no arruine la experiencia. Teclear un código recibido por SMS en cada compra habría hundido la conversión del comercio electrónico. Poner el dedo no.

Por qué a veces no te la piden: las exenciones, con sus importes

Esta es la parte que explica tu día a día y que prácticamente ningún artículo traduce a euros. El reglamento permite saltarse la autenticación en supuestos concretos, con límites individuales y acumulados. Y ojo, porque los acumulados no son el mismo número para el pago presencial y para el online:

Ahí está la explicación de la escena que todo el mundo ha vivido: llevas cuatro cafés pagados con el móvil sin que te pida nada y al quinto, por 1,80 €, te exige el PIN. No se ha estropeado el datáfono. Has agotado la cuenta de cinco operaciones consecutivas del artículo 11, o los 150 € acumulados, y el contador se reinicia con una autenticación completa.

Conviene subrayar algo: estas exenciones son una facultad del proveedor, no un derecho tuyo. El banco puede pedirte autenticación aunque legalmente podría ahorrártela. Lo que no puede es lo contrario, saltársela donde no toca, y si lo hace el coste no es tuyo. Vamos con eso.

El párrafo del BOE que conviene tener guardado

El régimen general de las operaciones no autorizadas está en el artículo 46 del Real Decreto-ley 19/2018: si te roban o pierdes el instrumento de pago, puedes quedar obligado a soportar hasta 50 € de las pérdidas, y todas ellas si actuaste de forma fraudulenta o incumpliste tus obligaciones de custodia por negligencia grave. Hasta ahí, lo conocido.

Lo que casi nadie cita es el apartado 2 del mismo artículo, y es el que cambia una reclamación:

Hay más munición en el mismo artículo. El apartado 3 dice que, salvo actuación fraudulenta, no soportas consecuencia económica alguna por el uso posterior a que hayas notificado el extravío o la sustracción; de ahí que la hora de la llamada o del bloqueo en la app sea la prueba más valiosa que tienes. Y el apartado 1 te exime por completo cuando la operación se hizo a distancia usando únicamente los datos impresos en la propia tarjeta, siempre que no haya fraude ni negligencia grave por tu parte y lo notificaras sin demora.

Cómo se presenta la reclamación, los plazos que tiene el banco para contestarte y qué hacer si se niega está en la guía para reclamar a tu banco.

¿Dónde acaba tu huella?

La preocupación razonable es esta: una contraseña filtrada se cambia, una huella no. Y el marco legal lo reconoce. Los datos biométricos, cuando se tratan con el fin de identificar de manera unívoca a una persona, son una categoría especial del artículo 9 del RGPD, con un régimen mucho más estricto que un dato corriente.

Ese listón alto es, en la práctica, la razón de que en la implementación habitual en móviles el banco no llegue a manejar tu biometría: la plantilla se guarda en el elemento seguro del dispositivo, la comprobación la hace el propio teléfono y lo que viaja a la entidad es la confirmación de que la autenticación tuvo éxito, no tu dedo. Dicho esto, no es una garantía automática que puedas dar por supuesta en todos los casos: quién trata qué tiene que estar en la política de privacidad de tu banco o de tu app, y si no lo encuentras, eso mismo ya es una respuesta.

La otra cara de la PSD2 —qué ve una aplicación cuando la conectas a tu cuenta y qué puede hacer con ello— la desmenuzamos en GDPR en fintech. Y las diferencias prácticas entre pagar con Bizum, con tarjeta o con una cartera digital, en la comparativa de sistemas de pago. Si de paso quieres que la tarjeta que uses te devuelva algo, en la guía de cashback están las condiciones reales de cada programa, y el resto de comparativas de banca y pagos, en la sección de dinero online.