La guía explica que la huella dactilar o el reconocimiento facial son datos personales que revelan información sensible sobre las personas, como su origen étnico, su estado de salud o sus creencias religiosas. Por eso, su uso debe estar justificado por una necesidad real y proporcionada, y no puede basarse en el consentimiento de los afectados.

La AEPD considera que el consentimiento no es una base jurídica válida para el tratamiento de estos datos, ya que no se puede garantizar que sea libre, específico, informado e inequívoco. Además, el consentimiento puede ser revocado en cualquier momento, lo que dificulta la gestión de estos sistemas.

La guía establece que el uso de la huella dactilar o el reconocimiento facial solo se podrá realizar cuando exista una ley que lo autorice expresamente, cuando sea necesario para proteger intereses vitales de las personas o cuando se trate de fines de interés público. En estos casos, se deberán adoptar medidas de seguridad adecuadas y garantizar los derechos de los afectados.

La AEPD sí permite el uso de estos sistemas biométricos cuando se trate de controlar el acceso a lugares restringidos por motivos de seguridad, como aeropuertos, puertos o instalaciones militares, siempre que se cumplan las garantías legales y técnicas. También se podrá utilizar la huella dactilar o el reconocimiento facial para verificar la identidad de las personas en servicios presenciales, como hoteles, gimnasios o bibliotecas, siempre que se obtenga el consentimiento expreso de la persona y se informe de forma clara y transparente.

La AEPD recomienda a las entidades que utilicen estos sistemas biométricos que realicen una evaluación de impacto previa y que adopten medidas de seguridad adecuadas para proteger los datos personales. Asimismo, recuerda a los ciudadanos que tienen derecho a acceder, rectificar, suprimir y limitar el tratamiento de sus datos biométricos.

La AEPD advierte de que el uso indebido de estos datos puede suponer un riesgo para la privacidad y la dignidad de las personas, y recuerda que su tratamiento está sometido a una evaluación de impacto previa y a la autorización previa de la Agencia. Asimismo, recomienda a los responsables del tratamiento que informen a los afectados sobre el uso de estos sistemas y que les faciliten los medios para ejercer sus derechos.

La entrada Protección de Datos cambia de criterio en el uso de huella dactilar o reconocimiento facial se publicó primero en Adaptación RGPD.

La nota técnica ha sido desarrollada junto al Supervisor Europeo de Protección de Datos (EDPS, por sus siglas en inglés) en el marco de la colaboración que mantiene la AEPD en el ámbito tecnológico con diversas instituciones nacionales e internacionales. La colaboración con el EDPS se materializó por primera vez en el desarrollo de la nota técnica Introducción al hash como técnica de seudonimización de datos personales.

El Reglamento General de Protección de Datos (RGPD) define en su artículo 4 los datos biométricos como aquellos “datos personales obtenidos a partir de un tratamiento técnico específico, relativos a las características físicas, fisiológicas o conductuales de una persona física que permitan o confirmen la identificación única de dicha persona, como imágenes faciales o datos dactiloscópicos”. Asimismo, cuando los datos biométricos se usan como medio de identificación, el RGPD establece en su artículo 9 que se trata de categorías especiales de datos y prohíbe expresamente su tratamiento dirigido a identificar de manera unívoca a una persona física.

Entre los equívocos más comunes relacionados con la biometría se encuentra la afirmación de que los sistemas de identificación y autenticación biométrica son más seguros para los usuarios. En este sentido, la Agencia advierte de que el acceso no autorizado a datos biométricos en un sistema permitiría o facilitaría el acceso en el resto de los sistemas que utilicen dichos datos biométricos. Esto tendría el mismo efecto que usar la misma contraseña en muchos sistemas distintos y, a diferencia de los sistemas basados en contraseñas, una vez que la información biométrica ha sido comprometida, esta no se puede cancelar. También alerta de que la información biométrica se almacena cada vez en más entidades y dispositivos, lo que aumenta exponencialmente la probabilidad de una brecha de seguridad de información biométrica.

Fuente: AEPD

La entrada La AEPD publica un listado con los equívocos más comunes con el uso de la biometría y protección de datos se publicó primero en Adaptación RGPD.