¿Se nos puede identificar a través de la voz? ¿Podemos considerar que la voz es un dato de carácter personal? ¿Se considera la voz como dato personal en el RGPD? En este artículo vamos a responder a estas dudas habituales en torno a la voz y si se trata o no de un dato personal.
En este artículo hablamos de:
¿Es la voz un dato personal según el RGPD?
La voz es considerada como un dato de carácter personal y, por tanto, su tratamiento está protegido por la Ley Orgánica de Protección de Datos.
Si nos atenemos a la definición que hace el RGPD de dato personal en su artículo 4.1, sí, la voz es un dato personal. Además, así lo viene reconociendo la AEPD en diferentes resoluciones y respuestas a consultas sobre este tema, así como la jurisprudencia del Tribunal Supremo y del Tribunal Constitucional.
Sin embargo, debemos tener en cuenta, tal y como recoge el considerando 26 del Reglamento General de Protección de Datos, que para que esa grabación de voz tenga carácter de dato personal, debe permitir identificar a una persona, bien al estar acompañada por otro identificador (como podría ser un número de teléfono o la imagen de perfil de una red social) o permitir la identificación razonable de la persona a través de la voz.
¿Cuándo se considera que la voz es un dato personal?
Visto los puntos anteriores, la voz se considera un dato personal cuando permite identificar a una persona. Normalmente, requerirá de ir acompañada de algún dato personal más, para considerarla como tal; por ejemplo, cuando realizamos una llamada a un servicio de atención al cliente y esta se graba, sí se considerará la voz como un dato personal, puesto que queda asociada a nuestro número de teléfono y resto de datos personales que podamos suministrar durante la llamada.
También se considerará dato personal cuando se use como medio de autenticación en un sistema de reconocimiento de voz, puesto que se usan medios técnicos para su tratamiento y se asocia una muestra de voz a la identidad de una persona, para poder obtener una identificación inequívoca a través de medios técnicos automatizados. En este caso, será un dato biométrico y, por tanto y como decíamos más arriba, un dato de categorías especiales.
¿Qué tipo de dato es la voz?
En principio, la voz entraría dentro de la categoría de dato básico, es decir, que no sería necesario aplicar medidas especiales de protección de datos para su tratamiento.
Sin embargo, si se usara la voz como medio de autenticación de personas, por ejemplo, mediante reconocimiento de voz como control de acceso, estaríamos ante el uso de la voz como dato biométrico, por lo que a la hora de llevar a cabo este tratamiento, el responsable deberá tener en cuenta los límites que establece el artículo 9 del RGPD.
Obligaciones RGPD respecto al tratamiento de la voz como dato personal
Que la voz tenga consideración de dato de carácter personal, implica que se deben tener en cuenta ciertas obligaciones del RGPD, puesto que grabarla o difundirla es un tratamiento de datos personales.
Por lo tanto, el responsable del tratamiento necesitará el consentimiento explícito de los interesados para poder realizar cualquier tratamiento que implique el uso de la voz, salvo que concurran algunas de las otras bases jurídicas del artículo 6 del RGPD.
También deberá incluir estas grabaciones de voz en el registro de actividades de tratamiento. Facilitar el acceso a las mismas, cuando los interesados ejerzan su derecho de acceso. No podrán usarse con otra finalidad para las que fueron recabadas. Deberán conservarse durante el plazo de tiempo necesario para cumplir con la finalidad para la que se recogieron. Y deberán aplicarse las medidas técnicas y organizativas de seguridad necesarias para garantizar su protección ante accesos o usos no autorizados.
En lo que respecta al tratamiento de la voz como dato biométrico, solo podrá hacerse cuando concurran algunas de las circunstancias recogidas en el apartado 2 del artículo 9. Además, la LOPDGDD suma a esas circunstancias el consentimiento explícito del interesado.
No cumplir con estas obligaciones respecto a la voz como dato personal, puede suponer la comisión de algunas de las infracciones recogidas en la LOPD, que conllevan la imposición de sanciones por parte de la AEPD.
Aparte de las infracciones LOPD, difundir grabaciones sin consentimiento puede considerarse como un delito contra el derecho al honor, la intimidad y la propia imagen, incluso de un delito de revelación de secretos (en el caso de conversaciones privadas). Si bien, la ley nos permite grabar conversaciones cuando somos parte de ellas, no permite que las difundamos sin consentimiento del otro u otros participantes.
Cabe señalar también que en el ámbito de la videovigilancia, salvo que haya una causa que realmente lo justifique, se considera que grabar audio con estas cámaras es una medida desproporcionada, por invadir el derecho a la intimidad de las personas (incluso si, por ejemplo, en una empresa se hubiera recabado el consentimiento en protección de datos de los empleados para ello, ya que se entendería que este consentimiento no es realmente libre por la relación desequilibrada de poder de las relaciones contractuales y porque la grabación captaría todo tipo de conversaciones no relacionadas con el ámbito laboral).
En definitiva, la voz es un dato personal cuando puede servir para identificar a las personas y, como tal, cualquier uso que se haga de ella, grabarla, almacenarla, usarla como medio de autenticación, etc., es un tratamiento de datos personales, que obliga a cumplir con el RGPD y la LOPDGDD.