Datos biométricos y protección de datos RGPD

Los datos biométricos son aquellos que permiten identificar a una persona de acuerdo a sus características fisiológicas o sus conductas. En la actualidad, el tratamiento de datos biométricos con fines de identificación o autenticación los convierte en datos personales de categorías especiales. En este artículo detallamos cómo se regula el tratamiento de datos biométricos en el RGPD.

Los datos biométricos en la normativa de protección de datos RGPD

Los datos biométricos en el RGPD (Reglamento General de Protección de Datos) están definidos en el artículo 4.14 como aquellas características fisiológicas, físicas o conductuales empleadas para identificar a una persona de forma unívoca. Es decir, que permiten la identificación única de una persona.

Los datos biométricos son aquellos que permiten analizar los rasgos y características físicas de una persona. En relación a la identidad digital, se usan para comprobar las características físicas únicas y la singularidad de una persona para verificar que es quien dice ser.

Hablamos, por lo tanto, de huellas dactilares, el reconocimiento facial, el escáner del iris, la geometría de la mano, pulsación de teclas, forma de andar, etc., que, mediante el uso de medios tecnológicos, pueden emplearse para identificar a una persona.

Datos biométricos y la Protección de Datos en el RGPD

La ley de protección de datos biométricos (RGPD, LOPDGDD y dictámenes del CEPD) considera que cuando la información biométrica se emplea para la identificación o autenticación de las personas de forma unívoca, empleando medios técnicos específicos, estamos ante un tratamiento de categorías especiales y, por tanto, los datos biométricos deben considerarse como datos especialmente protegidos.

De manera que la protección de datos biométricos está regulada en el artículo 9 del RGPD (junto al resto de categorías especiales de datos personales). El apartado 1 de este artículo establece, como norma general, la prohibición de tratar datos biométricos con fines de identificación.

El artículo 9.2 del RGPD hace referencia a los casos en los que el tratamiento de datos biométricos está permitido, indicando que “el levantamiento de la prohibición se basa en el artículo 9.2.b) del RGPD, el responsable debe contar con una norma con rango de ley que autorice específicamente utilizar datos biométricos para dicha finalidad“.

Por su parte, la Ley Orgánica de Protección de Datos y garantía de derechos digitales (LOPDGDD) regula en los mismos términos que el RGPD el uso de datos biométricos, con la inclusión, en la disposición final undécima, de la siguiente condición para levantar la prohibición para su tratamiento: “[…] el acceso solo se podrá autorizar en caso de que se cuente con el consentimiento expreso del afectado o si aquel estuviera amparado por una norma con rango de ley”.

La ayuda de las empresas de protección de datos a la hora de tratar datos biométricos se antoja imprescindible, sobre todo ahora que el Consejo Europeo y la próxima reforma laboral española ya han prohibido el uso de la biometría con fines de autenticación o identificación.

¿Prohíbe la AEPD tratar datos biométricos para control de acceso?

Actualmente, la AEPD prohíbe tratar datos biométricos para el control de acceso, así como el uso de dispositivos biométricos para el registro de la jornada laboral. Así se recoge en su última Guía sobre tratamientos de control de presencia mediante dispositivos biométricos.

Tal y como señala la propia Agencia, la única posibilidad para que se levante esta prohibición es que exista una circunstancia que lo exija y una condición que lo legitime, es decir, que concurra alguna de las circunstancias del artículo 9.2 del RGPD, teniendo en cuenta que, debido al desequilibrio de poder en la relación entre empleador y empleado, el consentimiento del interesado no sería suficiente. Y que en España no existe, todavía, ninguna ley o norma con rango de ley que contemple el uso de datos biométricos para el control de presencia.

Cambio de criterio de la AEPD

Cabe recordar que hasta 2023, la AEPD venía aplicando un criterio diferente respecto a datos biométricos y protección de datos; distinguiendo entre identificación biométrica y autenticación biométrica.

Los datos biométricos para identificación (1:N, uno a muchos) eran considerados como categorías especiales de datos y, por tanto, debían tener una protección especial. Sin embargo, los datos biométricos para autenticación (1:1, uno a uno) no pertenecían a dicha categoría, lo que abría la puerta a su uso en diversos ámbitos, por ejemplo en sistemas para el registro de la jornada laboral de los trabajadores. Así se reflejaba en diversas sentencias del Tribunal Supremo que habían sentado jurisprudencia.

La AEPD cambia este criterio para adaptarse a los nuevos criterios del CEPD (Comité Europeo de Protección de Datos), que pasan a considerar tanto la identificación biométrica como la autenticación biométrica como tratamiento de categorías especiales de datos, de manera que son de aplicación siempre las obligaciones del RGPD para esta categoría de datos.

Obligaciones para empresas que tratan datos biométricos

Las obligaciones para las empresas que tratan datos biométricos según el RGPD son:

Obligaciones para empresas que tratan datos biométricos Respecto a LOPD/RGPD

• Deber de información: Aquellos que traten datos biométricos deben informar a los interesados sobre la identidad de los responsables, encargados del tratamiento o sus representantes, la finalidad del tratamiento, el plazo de conservación de datos, la cesión de datos a terceros o las vías para ejercer sus derechos ARSULIPO (acceso, rectificación, supresión, limitación, portabilidad y oposición).
• Consentimiento de los afectados: El afectado deberá dar su consentimiento explícito al tratamiento de dichos datos, con la finalidad de dicho tratamiento especificada. Es importante señalar que el consentimiento solo puede levantar la prohibición del tratamiento de datos biométricos, cuando este se da libre y voluntariamente, es decir, cuando el consentimiento no viene ‘viciado’ por una relación desigual (como ya hemos visto que ocurre con en la relación laboral).
• Deber de seguridad: Los responsables del tratamiento han de aplicar de manera proactiva todas las medidas necesarias para garantizar la seguridad e integridad de la información, con el objetivo de evitar la pérdida o el robo de datos o los accesos por parte de terceros no autorizados. También han de informar a la AEPD si se produce una brecha de seguridad en un plazo de 72 horas.
• Deber de confidencialidad: También se ha de cumplir con el deber de confidencialidad, esto es, no revelar a terceros los datos a los que se ha tenido acceso. Esto incluye la obligatoriedad de firmar un acuerdo de confidencialidad con los encargados del tratamiento o con los empleados que tengan acceso a los datos biométricos. 
• Evaluación de Impacto: Es obligatoria la realización de una EIPD del sistema que se usará para el tratamiento. A través de esta evaluación de impacto se determinarán las medidas necesarias para garantizar la protección y seguridad de los datos biométricos. 
• Principio de necesidad, idoneidad y proporcionalidad en el tratamiento: Los datos biométricos deben ser recogidos para unos fines determinados. Y no pueden realizarse tratamientos distintos a los que se recojan en el consentimiento prestado por el interesado:
  • El principio de necesidad implica que los datos biométricos que se vayan a recabar deben ser los adecuados y nunca excesivos para los fines que se vayan a tratar.
  • El principio de idoneidad y proporcionalidad hace referencia a los riesgos que se entrañan para la protección de los derechos y libertades fundamentales de las personas. Y para cuando los fines no pueden alcanzarse de otra forma menos agresiva.
• Registro de las actividades de tratamiento: Será obligatorio mantener un registro de las actividades de tratamiento que se efectúen bajo la responsabilidad de la entidad. Una base de datos biométricos deberá contener como mínimo la siguiente información:
  • Nombre y los datos de contacto del responsable del tratamiento y, en su caso, del encargado, el representante del responsable y el Delegado de Protección de Datos.
  • Fines del tratamiento
  • Descripción de las categorías de interesados y de las categorías de datos personales
  • Categorías de destinatarios a quienes se comunicaron o comunicarán los datos personales
  • Plazos previstos para la supresión de las diferentes categorías de datos
• Designar un Delegado de Protección de Datos.

Por lo tanto, siempre que hablemos de datos biométricos y RGPD, debemos observar y cumplir con las obligaciones descritas, siendo, probablemente, la más importante la realización de la evaluación de impacto y del triple juicio de necesidad, idoneidad y proporcionalidad, ya que van a ser las que determinen si el tratamiento de datos biométricos puede hacerse o no con garantías.

¿Qué seguridad utilizan los datos biométricos?

La seguridad de los datos biométricos incluye la adopción e implementación de diferentes medidas técnicas y organizativas cuyo objetivo es asegurar la confidencialidad, integridad y disponibilidad de los datos. Entre las más medidas de seguridad para datos biométricos más habituales están:

• El cifrado, tanto de los datos biométricos y de las plantillas biométricas como de las bases de datos en las que son almacenados. Cifrar la información garantiza que si esta es interceptada o robada, no podrá ser usada ni conocida por terceros no autorizados.
• Convertir los datos biométricos en plantillas biométricas (es decir, «traducir» las imágenes o la voz a un conjunto de datos mediante la aplicación de un algoritmo), también añade seguridad a los datos biométricos, ya que es muy complejo revertir una plantilla biométrica a su estado original.
• Almacenar los datos biométricos de forma local, sin subirlos a servidores externos.
• El acceso limitado a las bases de datos y sistemas biométricos, es decir, solo pueden acceder a estos elementos el personal autorizado.
• La anonimización o seudonimización de los datos biométricos para evitar que puedan usarse para identificar personas (aunque hay supuestos en los que, por la finalidad del tratamiento, esta medida no es siempre aplicable).
• Uso de tecnologías avanzadas antifraude para evitar el uso ilícito de datos biométricos robados o replicados (como la detección de vida para verificar que el rostro que se presenta no es una fotografía o vídeo).

Cabe señalar que la forma más adecuada para determinar qué medidas de seguridad se deben implantar para proteger los datos biométricos, es llevar a cabo la ya citada evaluación de impacto en protección de datos (que, además y cómo hemos visto, es obligatoria). Si el resultado de esa EIPD es que del tratamiento de datos biométricos puede derivarse un riesgo inaceptable para los derechos fundamentales de los interesados, el tratamiento no debe realizarse.

¿Tratas con datos biométricos en tu empresa o estás pensando en implantar algún tipo de sistema biométrico?

Aunque el uso de datos biométricos para el control de presencia está prohibido por la AEPD, eso no quiere decir que no existan otras instancias en las que se realicen tratamiento de datos biométricos (siempre que exista una base legitimadora válida para levantar su prohibición y se cumplan el resto de requisitos y obligaciones vistas a lo largo de este artículo).

Por lo que si tu empresa u organización trata o prevé tratar datos biométricos, debes asegurarte de que cumples con todos los preceptos de la ley de protección de datos y que lo haces de manera adecuada, para no incurrir en posibles infracciones y ser sancionado por ello.

Atico34 puede ayudarte a cumplir con todas las obligaciones exigidas por el RGPD para el tratamiento de datos biométricos. Somos una consultora con más de 12 años de experiencia ofreciendo servicios de protección de datos en empresas de todos los tamaños y sectores. Contamos con un equipo de abogados y asesores cualificados y especializados en el cumplimiento de las normativas de protección de datos. Estamos siempre a la vanguardia y por eso estamos al tanto de cómo adaptar las nuevas soluciones tecnológicas y digitales a la ley de protección de datos.