El mes pasado la Agencia Española de Protección de Datos (AEPD) abrió un expediente sancionador al Tribunal Constitucional por una posible captación excesiva de datos personales en sus instalaciones. En concreto se ha indicado que el Tribunal Constitucional dispone en sus accesos a las instalaciones de controles de temperatura a través de un sistema de identificación biométrico, permitiendo que cualquier cámara identifique a la persona que accede a las instalaciones. Una medida que de primeras parece excesiva de cara a controlar a las personas que acceden al recinto.
No obstante, otra de las cuestiones que han supuesto la apertura del expediente se encuentra en que no se ha facilitado a los usuarios ninguna advertencia informativa respecto al tratamiento de datos que se realizaría.
Suponiendo lo anterior, no solo se trataría de una medida excesiva sino también un incumplimiento a la hora de ofrecer información previa a los usuarios. En la reclamación se indicó la vulneración de los artículos 5.1 c), 6.1, 9 y 13 del Reglamento General de Protección de Datos (RGPD). Tras la respuesta del Tribunal Constitucional, la AEPD ha concluido que “se aprecian indicios racionales de una posible vulneración de las normas en el ámbito de las competencias de la Agencia Española de Protección de Datos, sin perjuicio de lo que se determine en el curso de la tramitación”.
Con ello, hay que tener en cuenta que las técnicas de reconocimiento facial con fines de identificación biométrica suponen un tratamiento que exige garantías reforzadas respecto a otros sistemas.
¿Qué son los datos biométricos?
Se tratan de datos que permiten recoger características humanas o sus comportamientos para identificar a una persona (los utilizamos día a día en nuestros dispositivos móviles para su desbloqueo, tenemos los más famosos touch id o por ejemplo el sistema face id)
Si atendemos a la definición legal, conforme al RGPD, los datos biométricos son aquellos datos personales referidos a las características físicas, fisiológicas o conductuales de una persona que posibiliten o aseguren su identificación única.
En el blog de Type of Legal ya tratamos este tema con más detalle:
https://typeoflegal.com/los-datos-biometricos/
¿Cómo utilizan los datos de las cámaras biométricas?
Los sistemas de reconocimiento facial funcionan a través de la captura de la imagen mediante una cámara, ello puede ser mediante una imagen 2D o 3D.
Una vez obtenida la información se realiza la comparación con una base de datos para comprobar si alguna imagen de la misma coincide con la información capturada por el dispositivo (imagen estática o en movimiento). Una comparación que tiene poco margen de error al realizarse un análisis matemático que verifica los datos biométricos de forma precisa junto a tecnologías de inteligencia artificial.
De igual forma los datos biométricos también son recogidos en la LOPD con el mismo objetivo de garantizar la seguridad de su uso. Recordemos que a día de hoy este tipo de tecnología resultan muy útiles en diferentes ámbitos, pero pueden ser excesivas para su fin, por ejemplo, la identificación para fichaje en el entorno laboral o comercial.
El reconocimiento facial y el tratamiento de los datos
Por supuesto, el usuario medio entiende perfectamente que la utilización de técnicas de reconocimiento facial supone un tratamiento muy intrusivo para los destinatarios. Y es que la propia AEPD ha definido en su informe 36/2020 el reconocimiento facial, estableciendo la diferencia entre la identificación biométrica y la verificación biométrica:
- La identificación biométrica supone identificar a una persona por su cara comparando tal imagen con otras almacenadas en bases de datos.
- La verificación biométrica busca comparar la imagen del individuo con otra del mismo, es decir, buscar la coincidencia con 2 imágenes de la misma persona.
El RGPD trata estos datos como unos datos de categoría especial (art 9) prohibiendo su tratamiento salvo que el interesado haya dado su consentimiento o el tratamiento sea necesario por razones de interés público esencial, siempre de forma proporcional y además aplicando medidas específicas.
En Type of Legal estamos especializados en el asesoramiento de empresas en materia de protección de datos.
