¿Qué son los datos biométricos?

En 2023, el Comité Europeo de Protección de Datos (CEPD) actualizó la Directriz 05/2022, estableciendo que la identificación y autenticación mediante datos biométricos se considera un tratamiento de datos sensibles prohibido por el Reglamento General de Protección de Datos (RGPD), salvo que se cumpla alguna de las excepciones detalladas más adelante. Esta actualización obligó a la Agencia Española de Protección de Datos (AEPD) y a otras autoridades de control europeas a revisar y ajustar sus criterios en relación con el uso de datos biométricos

Antes de la actualización, la AEPD consideraba que la autenticación biométrica no constituía un tratamiento de datos sensibles, mientras que la identificación sí lo era. La autenticación se basaba en la verificación 1-a-1 de una ficha biométrica para confirmar la identidad de una persona, mientras que la identificación implicaba comparar la muestra con varias fichas biométricas almacenadas en una base de datos (1-a-varios) para determinar la identidad dentro de un grupo de individuos.

A finales del año pasado, la AEPD presentó la actualización de su criterio a través de la “Guía sobre el uso de sistemas biométricos para el control de presencia”. Este documento establece directrices claras para asegurar que el uso de la biometría ya sea para el control laboral o en otros contextos cumpla con las normativas de protección de datos, alineándose con el último criterio emitido por el CEPD.

En este artículo, analizaremos el impacto de las nuevas directrices adoptadas por la AEPD en el sector de automoción y sus implicaciones prácticas para concesionarios, agentes y marcas.

Antes de profundizar en el nuevo criterio de la AEPD, es crucial entender qué se considera como datos biométricos según el RGPD. Los datos biométricos son aquellos que se refieren a características únicas de una persona, como su rostro o huellas dactilares, y que se obtienen a través de procesos técnicos específicos para su identificación. Para ilustrar este concepto, veamos dos ejemplos: si un concesionario de automóviles guarda las huellas dactilares o fotografías de sus clientes en sus archivos, esto no sería considerado un tratamiento de datos biométricos, sino un tratamiento de datos personales bajo el RGPD. Sin embargo, si el concesionario digitaliza esos formularios y utiliza un sistema para identificar de forma precisa a cada individuo mediante sus huellas o características faciales, estaríamos ante un tratamiento de datos biométricos.

Requisitos para el uso de datos biométricos.

El tratamiento de datos sensibles, incluidos los datos biométricos, plantea desafíos significativos debido a la prohibición establecida en el artículo 9 del RGPD. Para que las empresas puedan utilizar estos datos, deben levantar previamente esta prohibición, lo cual se logra bajo ciertas circunstancias especificadas en el artículo 9.2.b del RGPD. Esto puede incluir obtener el consentimiento del individuo, cumplir con obligaciones legales, proteger intereses vitales, servir al interés público, entre otros criterios.

Uno de los principales retos que enfrentan las empresas es la implementación de sistemas biométricos en el ámbito laboral. Para que el uso de la biometría sea legal, es necesario que exista una normativa europea, nacional o un convenio colectivo que levante expresamente la prohibición de su uso, algo que la mayoría de las leyes no contempla. Un ejemplo claro es el control de la jornada laboral: aplicar un sistema biométrico resulta complicado, ya que se necesita una ley que autorice explícitamente su uso. Aunque el Real Decreto-ley 8/2019 establece la obligación de llevar un registro de jornada, no especifica que la biometría deba ser utilizada para cumplirla, permitiendo que el registro se realice mediante otros medios, como el uso de contraseñas.

En el caso de las relaciones laborales, si el concesionario o la marca decide utilizar el consentimiento como circunstancia para levantar la prohibición, esta puede no ser una base adecuada. Esto se debe a que podría existir un desequilibrio de poder entre el trabajador y la empresa, lo que invalidaría el consentimiento otorgado.

Fuera del ámbito laboral, el consentimiento tampoco es una base adecuada para el tratamiento de datos biométricos, debido a su alto riesgo y la falta de necesidad demostrada. El sector de la automoción debe prestar especial atención a este punto, ya que actualmente muchos concesionarios y agentes han implementado sistemas donde los empleados deben autenticarse mediante sus datos biométricos para acceder a herramientas o aplicaciones proporcionadas por los fabricantes como desbloquear teléfonos móviles o herramientas mediante la huella dactilar. Esto representa un riesgo tanto para los fabricantes como para los concesionarios y agentes, dado que, si no se ha levantado adecuadamente la prohibición del uso de datos biométricos, podrían estar expuestos a sanciones o multas.

La “Guía sobre el uso de sistemas biométricos para el control de presencia” establece limitaciones para la toma de decisiones automatizadas con datos biométricos, especialmente aquellas que puedan tener consecuencias legales o impacto significativo en las personas. Este aspecto es crucial para que las empresas lo consideren junto con sus departamentos de compras o los encargados de la gestión de proveedores. Muchas empresas subcontratan servicios (encargados del tratamiento), lo que podría llevar a que los proveedores realicen análisis de perfiles sin el conocimiento de las empresas responsables. Sin embargo, debido a que las empresas tienen la obligación de supervisar a sus proveedores, les corresponde asegurarse de que estos cumplan con las normativas aplicables.

Principios del RGPD en el Tratamiento de Datos Biométricos: Idoneidad, Necesidad y Proporcionalidad.

Continuando con los requisitos que deben cumplir los concesionarios, agentes o fabricantes para el uso de datos biométricos, es importante tener en cuenta que, si la empresa responsable del tratamiento ha levantado la prohibición, también debe cumplir con otras obligaciones. Una de las más importantes es realizar una evaluación de impacto para la protección de datos antes de iniciar cualquier tratamiento. Esta evaluación debe demostrar que el tratamiento cumple con un análisis exhaustivo en términos de idoneidad, necesidad y proporcionalidad.

• La idoneidad implica que el uso de los datos biométricos sea apropiado y adecuado para la finalidad prevista, es decir, que realmente contribuya a alcanzar los objetivos del tratamiento sin exceder su alcance.
• La necesidad se refiere a la obligación de utilizar datos biométricos únicamente cuando no existan alternativas menos intrusivas para lograr el mismo propósito.
• Por último, la proporcionalidad requiere que el tratamiento de datos biométricos esté en equilibrio con la importancia de la finalidad perseguida, evitando excesos o desproporciones que puedan afectar los derechos y libertades de las personas.

Estos tres principios buscan garantizar que el uso de datos biométricos sea pertinente, necesario y equilibrado con los fines legítimos del tratamiento, protegiendo así la privacidad y los derechos de los individuos.

Medidas obligatorias para el uso de datos biométricos en el sector automoción.

La AEPD, en su guía, también incluye una lista de medidas que deben implementarse si se cumplen todos los requisitos de conformidad con los principios del RGPD:

– Informar a las personas sobre el tratamiento biométrico y los riesgos asociados.

– Habilitar en el sistema biométrico la capacidad de desvincular los datos tratados en el sistema y la persona física.

– Implementar medios técnicos para garantizar que los datos no se utilicen para otros fines.

– Utilizar cifrado para proteger la confidencialidad, disponibilidad e integridad de los datos.

– Emplear formatos de datos o tecnologías específicas que impidan la interconexión de bases de datos biométricos y la divulgación no autorizada de datos.

– Eliminar los datos biométricos cuando ya no estén vinculados con la finalidad inicial de su tratamiento.

– Integrar la protección de datos desde la fase de diseño.

– Aplicar la minimización de los datos recopilados, con una evaluación objetiva para asegurar que no se traten categorías especiales de datos.

Al seguir todas estas pautas, las empresas que deseen continuar utilizando datos biométricos podrán hacerlo con seguridad. Aunque el desafío es considerable, y si no se logra superarlo, será necesario explorar nuevas alternativas. Es crucial tener en cuenta que la AEPD ha puesto un fuerte énfasis en este tema, imponiendo multas significativas en caso de incumplimiento. Por lo tanto, es esencial que las empresas se comprometan a cumplir con las regulaciones para proteger la privacidad y los derechos de los individuos.