Dentro de la legalidad, los datos biométricos se usan, sobre todo, con fines de seguridad, como es utilizarlos para el control de acceso a zonas restringidas o como sustituto de las contraseñas para desbloquear dispositivos móviles o autorizar operaciones, como puede ser un pago en un e-commerce. Sin embargo, los datos biométricos también pueden usarse con fines menos éticos, así como directamente ilícitos. En este artículo abordamos esta cuestión para saber qué pueden hacer con mis datos biométricos, especialmente en caso de robo de datos biométricos
¿Cuáles son los riesgos de usar datos biométricos?
Usar o ceder datos biométricos puede suponer los siguientes riesgos tanto para los propios datos como para sus titulares:
- Filtraciones y robo de datos biométricos: Los datos biométricos, como la huella dactilar, el patrón del iris o de la cara, deben almacenarse en una base de datos para poder hacer la correspondiente autenticación de la persona a través de sistemas biométricos como el escáner de huella o la identificación facial. Este almacenamiento supone estar expuesto al riesgo de filtración y robo de datos personales en caso de brechas de seguridad, que puede acabar en el acceso y uso de los mismos por parte de terceros no autorizados. Un riesgo que aumenta cuando las bases de datos no están cifradas (de estarlo, aunque se produjera la filtración de datos, estos no serían accesibles si el atacante no cuenta con la clave de descifrado).
- Clonación: Los datos biométricos corren el riesgo de ser clonados y utilizados por otras personas con diferentes fines (por ejemplo, se puede duplicar una huella dactilar o clonar una voz mediante inteligencia artificial), lo que provoca que queden inservibles para fines de seguridad, puesto que los datos biométricos son únicos y no cambian a lo largo de la vida de una persona (salvo ciertas excepciones).
- Falsos positivos: Pese a que los datos biométricos ofrecen una tasa alta de acierto en la identificación y la autenticación de personas, pueden, en algunos casos, conducir a falsos positivos, es decir, identificar erróneamente a una persona a través de un dato biométrico. Esto puede ocurrir especialmente con el reconocimiento facial y de otros patrones fisiológicos (como la forma de andar) en tiempo real y conducir a confusiones con las fuerzas de seguridad.
¿Qué se puede hacer con los datos biométricos de una persona?
Lo que se puede hacer en caso de filtración o robo de datos biométricos no es muy diferente a lo que pueden hacer con mis datos personales, aunque sí entrañan un mayor riesgo, puesto que, cómo hemos dicho más arriba, los datos biométricos son características únicas de una persona, que raramente cambian y que tienen un alto grado de confianza y acierto a la hora de autenticar o identificar a un individuo.
Más allá de los usos lícitos de los datos biométricos, cuando estos se roban y pueden ser accedidos por actores maliciosos o con intenciones poco éticas por parte de organismos oficiales o incluso gobiernos, se pueden usar para:
- Suplantación de identidad: La clonación o falsificación de datos biométricos se puede usar para suplantar la identidad de una persona y no hace falta pensar en escenas de películas en las que cortan dedos para robar huellas dactilares, ya que se ha demostrado que es posible, con algo de esfuerzo y tiempo, obtener copias de huellas dactilares que podrían usarse para superar controles de acceso. Si se roba una base de datos con plantillas biométricas no cifradas, los cibercriminales podrían utilizarlas para suplantar la identidad de otras personas. La clonación de voz mediante IA o los deepfake de personas ya se usan en ataques de ingeniería social para robar dinero a las víctimas.
- Perfilado: Los datos biométricos también pueden usarse para el perfilado de individuos con diferentes fines y en este caso no es ni siquiera necesario que los datos hayan sido filtrados, ya que hay diversas empresas que ya obtienen datos biométricos con el consentimiento del interesado (es el caso, por ejemplo, de las gafas de realidad virtual Meta Quest 2), que pueden ser utilizados con estos fines, muchas veces comerciales.
- Comercialización de los datos: Un robo de datos biométricos también puede acabar en una venta de los mismos, como ocurre con el resto de datos personales, para llevar a cabo el perfilado que indicábamos arriba o usarlos con otros fines, como el del siguiente punto.
- Entrenamiento de sistemas de IA: Grandes cantidades de datos biométricos pueden usarse para el entrenamiento de modelos o sistemas de IA destinados a la identificación de individuos o para la verificación de personas frente a otras IA. Estos sistemas de IA podrían ser usados para el desarrollo de sistemas de seguridad, pero también para el desarrollo de sistemas de vigilancia masivos y potencialmente invasivos (suena a ciencia ficción, pero ya conocemos cómo se usa el reconocimiento facial en tiempo real en China o cómo la empresa detrás de Worldcoin, Tools for Humanity, ofrece a las empresas y gobiernos su sistema de identificación mediante datos biométricos, lo que podría llevar a un mayor control de los ciudadanos; por si os preguntabais si es peligroso escanear el iris a cambio de criptomonedas, puede que vuestros datos se estén empleando para entrenar este tipo de sistemas de IA, cuyo uso la Ley de Inteligencia Artificial).
¿Cómo puedo proteger mis datos biométricos?
Para proteger los datos biométricos lo más importante es saber dónde los usamos y para qué, ya que es la mejor forma de saber a qué riesgos pueden estar expuestos y para ello lo que hay que hacer es leer la política de privacidad de servicios y aplicaciones en los que vayas a usar algún dato biométrico para proteger el acceso a tu cuenta o dispositivo.
Si bien los datos biométricos que usamos para desbloquear el smartphone se guardan cifrados de manera local en el dispositivo, otras aplicaciones pueden almacenarlos fuera, por lo que es importante saberlo. Así mismo, hay empresas que pueden destinar esos datos biométricos para otras finalidades, estas deben estar indicadas en la política de privacidad. Si consideras que alguna puede suponer un riesgo o no estás de acuerdo con se cedan tus datos biométricos, la mejor opción es no facilitarlos.
Más allá de controlar y saber dónde y para qué facilitamos nuestros datos biométricos y estar pendientes de posibles filtraciones de datos que puedan afectar a empresas que puedan tener en sus bases de datos nuestra información biométrica, porque hacemos uso de algún servicio o aplicación suya (descubre cómo saber si filtraron mis datos) y tomar las medidas de seguridad oportunas para evitar males mayores, no hay mucho más que como usuarios podamos hacer, la seguridad de nuestros datos biométricos depende en gran medida de las medidas de seguridad y protección de datos aplicadas por los responsables y encargados del tratamiento a quienes «confiamos» nuestros datos biométricos.
La biometría puede ser una de las medidas de seguridad más útiles, pero conservar esa utilidad depende de que esos datos se mantengan seguros y no los cedamos sin asegurarnos antes de cómo y para qué se van a usar y que se cuentan con garantías de seguridad. Es cierto que el riesgo cero no existe y siempre puede existir alguna vulnerabilidad, pero el responsable o encargado del tratamiento debe adoptar medidas de seguridad proactivas, desde el diseño y por defecto para evitar que en caso de filtración o robo, los datos biométricos puedan ser accedidos y usados (puede que te interese leer cómo saber si han robado mis datos).
Además, recordemos que los datos biométricos pertenecen a las categorías especiales de datos y están especialmente protegidos, es decir, que para su tratamiento se requiere del consentimiento expreso del interesado o de que concurra alguna de las condiciones especiales del artículo 9.2 del RGPD. Por lo tanto, si das tu consentimiento para el tratamiento de datos biométricos, hazlo con toda la información relativa a ese tratamiento posible y si el responsable no es claro al respecto en su política de privacidad, lo mejor es evitar cederlos.
