El uso de datos biométricos, como el reconocimiento facial, se ha convertido en una herramienta común en diversos sectores, incluidos los entornos laborales. Sin embargo, su implementación implica riesgos significativos para la privacidad y otros derechos fundamentales, lo que exige una regulación estricta. La Agencia Española de Protección de Datos, a través de una reciente resolución sancionadora (Expediente Nª EXP202212247), ha subrayado la importancia de adoptar medidas adecuadas para garantizar que el tratamiento de estos datos cumpla con el Reglamento General de Protección de Datos.
La Importancia de Regular el Uso de Datos Biométricos
Los datos biométricos, definidos en el artículo 4 del RGPD, se refieren a información personal que permite la identificación única de una persona, como patrones faciales, huellas dactilares o el reconocimiento del iris. Debido a su carácter único y permanente, el tratamiento de estos datos plantea riesgos inherentes, como su uso indebido, el robo de identidad o la falta de control por parte del titular.
Pilares de la Regulación
- Evaluación de Impacto (EIPD): El artículo 35 del RGPD establece la obligación de realizar una EIPD cuando el tratamiento pueda implicar altos riesgos para los derechos y libertades de las personas. Este paso es esencial en sistemas que emplean reconocimiento facial, ya que permite identificar, minimizar y gestionar los riesgos antes de iniciar el tratamiento.
- Necesidad y Proporcionalidad: Cualquier sistema biométrico debe justificarse como necesario y ser proporcional al objetivo que persigue. Es decir, debe demostrarse que no existe una alternativa menos invasiva que pueda cumplir la misma finalidad.
- Minimización de Datos: Solo deben tratarse los datos estrictamente necesarios para la finalidad declarada, evitando el almacenamiento o procesamiento de información adicional.
- Transparencia: Las personas deben estar plenamente informadas sobre el tratamiento de sus datos biométricos, incluyendo la finalidad, las bases legales y las medidas adoptadas para proteger su información.
La resolución de la AEPD pone de manifiesto varias deficiencias en la implementación de un sistema de reconocimiento facial utilizado para el control horario laboral. Entre los hallazgos más destacados se incluyen:
- Ausencia de una EIPD: Aunque el sistema involucraba datos biométricos, no se llevó a cabo una evaluación de impacto que analizara los riesgos inherentes y estableciera medidas de mitigación. Esto contraviene las exigencias del RGPD y evidencia una falta de diligencia en la gestión del cumplimiento normativo.
- Falta de alternativas menos invasivas: En el análisis del caso, se señaló que podrían haberse empleado otros métodos menos intrusivos, como sistemas de tarjetas o fichajes manuales, que respetarían de mejor manera los derechos de los trabajadores.
- Deficiencias en la atención al ejercicio de derechos: La resolución también detectó que no se atendieron adecuadamente las solicitudes de acceso a los datos personales de los interesados, vulnerando el artículo 15 del RGPD.
Implicaciones y Recomendaciones
El caso subraya la importancia de regular y supervisar el uso de datos biométricos para garantizar que no se vulneren los derechos fundamentales. Algunas recomendaciones clave incluyen:
- Implementar políticas de cumplimiento normativo: Es fundamental que las organizaciones adopten un enfoque proactivo para garantizar el respeto al RGPD, desde el diseño e implementación de los sistemas hasta su uso continuado.
- Priorizar la transparencia y la información: Las personas deben ser informadas claramente sobre cómo se tratarán sus datos biométricos, permitiéndoles tomar decisiones informadas y ejercer sus derechos.
- Optar por métodos menos invasivos siempre que sea posible: La minimización del impacto en los derechos de las personas debe ser un criterio prioritario al seleccionar sistemas de control y gestión.
- Monitoreo continuo de los riesgos: Los sistemas biométricos evolucionan rápidamente, por lo que es necesario realizar evaluaciones periódicas que detecten y mitiguen posibles nuevos riesgos.
La regulación de los datos biométricos no es solo una obligación legal, sino una garantía de protección de los derechos fundamentales. La reciente resolución de la AEPD resalta la importancia de tratar estos datos con la mayor responsabilidad, priorizando la minimización de riesgos y el respeto por la privacidad. Los responsables de tratamiento deben comprender que las tecnologías avanzadas solo pueden implementarse con éxito cuando están alineadas con principios éticos y legales que sitúan a las personas en el centro de las decisiones.
Accede a toda la información en nuestro Máster Profesional en Auditoría de Protección de Datos, Gestión de Riesgos y Cyber Compliance y conoce más entradas relacionadas en nuestro sobre Compliance en nuestro blog de Compliance.
