La guía explica que la huella dactilar o el reconocimiento facial son datos personales que revelan información sensible sobre las personas, como su origen étnico, su estado de salud o sus creencias religiosas. Por eso, su uso debe estar justificado por una necesidad real y proporcionada, y no puede basarse en el consentimiento de los afectados.

La AEPD considera que el consentimiento no es una base jurídica válida para el tratamiento de estos datos, ya que no se puede garantizar que sea libre, específico, informado e inequívoco. Además, el consentimiento puede ser revocado en cualquier momento, lo que dificulta la gestión de estos sistemas.

La guía establece que el uso de la huella dactilar o el reconocimiento facial solo se podrá realizar cuando exista una ley que lo autorice expresamente, cuando sea necesario para proteger intereses vitales de las personas o cuando se trate de fines de interés público. En estos casos, se deberán adoptar medidas de seguridad adecuadas y garantizar los derechos de los afectados.

La AEPD sí permite el uso de estos sistemas biométricos cuando se trate de controlar el acceso a lugares restringidos por motivos de seguridad, como aeropuertos, puertos o instalaciones militares, siempre que se cumplan las garantías legales y técnicas. También se podrá utilizar la huella dactilar o el reconocimiento facial para verificar la identidad de las personas en servicios presenciales, como hoteles, gimnasios o bibliotecas, siempre que se obtenga el consentimiento expreso de la persona y se informe de forma clara y transparente.

La AEPD recomienda a las entidades que utilicen estos sistemas biométricos que realicen una evaluación de impacto previa y que adopten medidas de seguridad adecuadas para proteger los datos personales. Asimismo, recuerda a los ciudadanos que tienen derecho a acceder, rectificar, suprimir y limitar el tratamiento de sus datos biométricos.

La AEPD advierte de que el uso indebido de estos datos puede suponer un riesgo para la privacidad y la dignidad de las personas, y recuerda que su tratamiento está sometido a una evaluación de impacto previa y a la autorización previa de la Agencia. Asimismo, recomienda a los responsables del tratamiento que informen a los afectados sobre el uso de estos sistemas y que les faciliten los medios para ejercer sus derechos.

La entrada Protección de Datos cambia de criterio en el uso de huella dactilar o reconocimiento facial se publicó primero en Adaptación RGPD.

La huella digital del dispositivo es un conjunto de datos extraídos del dispositivo del usuario que permiten individualizar de forma unívoca dicho terminal. Dado que lo habitual es que las personas no compartan sus equipos, individualizar el terminal supone individualizar a la persona que lo utiliza y, en consecuencia, poder realizar un perfil de la misma. El perfilado no se limita a recopilar y analizar los hábitos de navegación o las búsquedas que realiza, sino a extraer geolocalización, datos de configuración del sistema y las aplicaciones, programas instalados, movimientos del ratón, etc. La combinación de esta y otra información detallada en el estudio permite confeccionar una huella digital única del dispositivo que lo singulariza y, por lo tanto, diferencia de forma unívoca a cada usuario en internet.

El estudio afirma, entre otras conclusiones, que con mucha frecuencia se emplean estas técnicas para recoger datos del equipo del usuario sin ofrecerle información y sin solicitarle su consentimiento, y que el conjunto de datos recabados puede ser tan extenso, o enriquecerse de tal forma, que puede llegar a recoger incluso categorías especiales de datos. El documento añade que, en la mayoría de los casos, al usuario no se le proporcionan herramientas para poder evitar de forma efectiva la recogida de datos y no se le ofrecen medios para ejercer los derechos establecidos en el RGPD cuando se recogen o asocian a datos personales.

Fuente: AEPD

Puede ver más información en el siguiente enlace:

Estudio Fingerprinting o huella digital del dispositivo.

La entrada La AEPD publica un estudio sobre cómo la huella digital de los dispositivos afecta a la privacidad de los ciudadanos se publicó primero en Adaptación RGPD.

A menudo, y más ahora que recibimos información masiva sobre el nuevo Reglamento de Protección de Datos a nivel Europeo, nos plantean la duda  sobre cómo debe una entidad operar en el supuesto de que recabe datos de huella dactilar de sus trabajadores, por ejemplo, para el control de acceso a edificios.

Para aclarar esta cuestión, haremos una breve referencia al actual tratamiento otorgado por la LOPD, y al nuevo conferido por el Nuevo Reglamento 679/2016 (UE).

La huella dactilar, ya sea total o ya sea parcial (siempre que ésta permita la identificación de un sujeto, diferenciándolo de los demás), es un dato de carácter personal sujeto a la normativa de protección de datos.

• Según la actual LOPD 15/1999, dado que este dato no contiene ningún aspecto concreto de la personalidad de un individuo, su tratamiento no tendrá mayor trascendencia que el de los datos relativos a un número de identificación personal, por lo que será considerado un dato similar al DNI, al cual habrá que aplicar un nivel de seguridad BÁSICO. Además, su tratamiento no requiere el consentimiento de su titular.
• Con el nuevo RGPD de Europa, este dato biométrico, pasará a formar parte de las categorías especiales de datos, que requieren un tratamiento especial, pues sólo podrán ser tratados si se cumplen una serie de circunstancias, entre ellas, contar con el consentimiento implícito del interesado.

IMPORTANTE
Son datos de carácter personal cualquier información referida a las personas físicas, que sea capaz de diferenciarla de cualquier otra.

La entrada Datos de la huella dactilar se publicó primero en Adaptación RGPD.