Espero que hayan ustedes pasado un buen verano.
¡Yo lo he hecho!
Cualquier día de estos enviaremos por aquí (i) un resumen de estos meses locos locos locos…, (ii) un par de consejillos sobre qué hacer cuando te viene alguien pidiendo -exclusivamente- que le revises un papel que ha sacado con IA, y (iii) un par de aplicaciones prácticas de la doctrina SRB / Scania…
Pero antes:
Comentarios rápidos sobre el nuevo borrador de guía de control de acceso biométrico circularizado por la AEPD y que espera input de asociaciones empresariales y profesionales hasta el próximo 25 de septiembre.
La lectura es netamente positiva y se aprecia un esfuerzo sincero por reinstalar la cordura en la materia.
Por eso, parece poco arriesgado pensar que cualquier cambio derivado del input que reciba la Agencia no desbaratará el esfuerzo previo, sino todo lo contrario.
Lo que sigue es una breve descripción y comentario: todo lo que tenía que decir sobre el tema lo he ido diciendo a lo largo de los años, fundamentalmente aquí y aquí.
Cosas que no eran compatible con la antigua guía, pero sí con este borrador.
1 Oro parece, plátano es
La primera novedad llamativa era obligada después del tirón de orejas de la Audiencia Nacional al anular la antigua guía sobre el tema por, en corto, no cumplimentar las formalidades correspondientes a una circular.
Se trata de un párrafo donde la AEPD advierte que el documento es “informativo, orientador y de apoyo“, que no es circular ni disposición general, que no crea obligaciones y que no predetermina el ejercicio de sus potestades sancionadoras.
2 Arquitectura técnica como eje de riesgo
El borrador flexibiliza las rigideces de la infausta guía de 2023 en varios niveles: importa la terminología de ISO/IEC 24745, y reestructura su approach diferenciando:
a) Los conceptos de “referencia biométrica“, “referencia de identidad” y “atributos de autorización”. Esta triada puede traer suculentas consecuencias de segundo orden al combinarlas con la doctrina SRB / Scania.
b) Se postulan tres propiedades de diseño para las referencias biométricas: irreversibilidad, no vinculación y revocabilidad.
c) Tres modelos de custodia de las mismas: bajo control del responsable, bajo control del individuo (tarjeta o dispositivo, opcionalmente cifradas con secreto que sólo él conoce) y compartido (distribuidas, cifradas o ambas).
La arquitectura decidida (o adquirida) por cada responsable al combinar los anteriores elementos contrae un riesgo inherente muy distinto.
El riesgo es mayor con base de datos centralizada bajo control exclusivo del responsable, referencias reversibles o vinculables, registro remoto, carácter masivo, terceros); “se mitiga” con custodia compartida y “se evita” cuando los datos están bajo control exclusivo del interesado, protegidos por secreto y revocables.
3 Autenticación / identificación
El borrador mantiene la consideración de la autenticación “uno a uno” como categoría especial. Pero recupera la sensatez:
“aunque desde el plano formal los usos anteriores pueden estar incluidos en el artículo 9, el impacto real sobre los derechos y la intensidad de las medidas requeridas pueden variar sustancialmente“.
No puede exigirse “el mismo nivel de densidad normativa“ a una identificación masiva y sin conocimiento del afectado que a una “autenticación puntual, localizada y consentida“ donde el interesado conserve el control efectivo.
4 Consentimiento: El retonno
El borrador deja atrás el argumento circular previo y se impone la cordura: ofrecer una alternativa ya no equivale a que la biometría sea innecesaria.
· En la sección de necesidad afirma que “el principio de proporcionalidad no excluye el empleo de sistemas biométricos por la mera existencia de otros medios posibles“, que la alternativa debe ser “igualmente eficaz“ y que esa valoración “corresponde al responsable“.
· En la de consentimiento admite que éste “puede levantar la prohibición y legitimar el tratamiento“, que la alternativa puede consistir en “dos mecanismos de control de acceso que obviamente no son iguales“ (basta con que no imponga carga, penalización, esperas o costes) y que, en contextos de asimetría, empleadores y empleados incluidos, “también podrá darse el consentimiento, guardándose las garantías exigibles“.
· “El consentimiento, en su caso, podrá darse en el contexto de un contrato. Sin embargo, al evaluar la validez del consentimiento, se deberá prestar especial atención cuando exista un desequilibrio de poder entre el interesado y el responsable del tratamiento. (…) En estos contextos también podrá darse el consentimiento, guardándose obviamente las garantías exigibles.”
· La sección 5.2 lo confirma explícitamente para el registro de jornada, con un examen “especialmente riguroso“ pero no excluyente.
Incluso llega a reconocer que tarjetas y códigos pueden ser no idóneos cuando son fácilmente compartidos o usados por otro interesado.
En definitiva, se recupera la tranquilidad en el uso del consentimiento como vía de legitimación.
Dicho esto, y como apuesta personal, creo que volveremos a ver sanciones por uso y abuso de consentimientos truchos.
5 Habilitación legal, convenio colectivo: the way we were
En relación con la habilitación legal del 9.2.b RGPD: se reafirma que ni el art. 20.3, ni el 34.9 ET ni el 54.2 del Estatuto del Empleado Público constituyen habilitación suficiente para tratamientos biométricos.
6 Evaluación de impacto: en su sitio.
La EIPD sigue siendo obligatoria en todo caso, pero si el responsable opta por una arquitectura de las recomendadas, el tratamiento puede pasar de ser “de alto riesgo“ a tener “probabilidad de entrañar alto riesgo“, con riesgo inherente evaluable y consulta previa sólo si el riesgo residual es alto.
El responsable “debe poder justificar tanto la eficacia exigida en ese contexto como la inexistencia de una alternativa menos intrusiva que permita alcanzarla con un nivel equivalente”.
Es interesante vincular la expresa preferencia de la AEPD por arquitecturas técnicas privadas por diseño y la anterior declaración (sobre la “densidad normativa” exigible para cada alternativa). Cuanto más riesgo se evite en la arquitectura, menos vueltas habrá que darle a la PIA.
Además se concretan muchas medidas técnicas (quioscos sin conexión a Internet, enclave seguro, verificación local, borrado de muestras tras crear la referencia, prohibición de capturar a terceros no sujetos al control).
7 Decisiones automatizadas. Art 22 RGPD
Detectamos una incongruencia -que ¡ojo! parece voluntaria-, primero se habla del consentimiento explícito del 9.2.a como vía plausible para tratar datos de categoría especial en este contexto, pero luego en la conclusión se sigue afirmando -como en el 2023- que sólo cabe habilitarlo mediante interés público esencial (omitiendo el consentimiento explícito).
En el lado positivo -por lo facilitador-, el borrador no parece considerar decisión automatizada en sí misma el “match/no match” de identidad del sistema, y sí sólo el efecto que se le anude después a dicho resultado.
Jorge García Herrero
Abogado y delegado de protección de datos
Interesantísimo análisis, este tema ha sido un auténtico quebradero de cabeza desde el 23, especialmente en empresas con entornos industriales. A seguir la versión definitiva.