¿La implantación de sistemas de reconocimiento facial en comercios y empresas vulnera la Protección de Datos?

La polémica se ha desatado tras anunciarse que Mercadona está implantando sistemas de reconocimiento facial en sus supermercados para utilizar datos biométricos, provocando preguntas en torno a la licitud de estos sistemas según la normativa de Protección de datos.

 

En IPF Consulting somos expertos en el análisis del cumplimiento de la normativa de Protección de Datos, así como en el desarrollo legal de las Nuevas Tecnologías, en base a ello vamos a analizar esta problemática que está cobrando cada vez más peso dada la importancia de los datos y algoritmos para el futuro de nuestras relaciones interpersonales y económicas.

Para empezar, vamos a diseccionar en qué consiste el reconocimiento facial. Esta técnica implica la identificación y/o autenticación de datos biométricos, los cuales, según el Reglamento General de Protección de Datos (RGPD) son aquellos datos relativos a “las características físicas, fisiológicas o conductuales de una persona física que permitan o que confirmen la identificación única de dicha persona”.

Como sabemos, datos personal es todo aquel dato que permite la identificación inequívoca de una persona, de modo que un dato biométrico es un dato personal y por tanto, está amparado en la normativa de Protección de Datos Personales. Además, incluso no sólo está amparado sino que está especialmente protegido, porque este dato biométrico puede revelar también información sensible, adicional de esa persona, como su raza, discapacidades, enfermedades, género, consumo de sustancias… etc. No obstante, que el reconocimiento facial pueda recoger datos especialmente protegidos no implica una restricción a priori de su tratamiento, sino la exigencia legal de adoptar ciertas medidas específicas en su tratamiento para garantizar la protección del dato.

Pero ¿para qué puede querer Mercadona o cualquier empresa nuestros datos biométricos?

Si esto fuera una conversación informal se nos ocurrirían multitud de razones, principalmente enfocadas al marketing y al consumo. No obstante, antes de eso, hay que tener en cuenta dos palabras que se han mencionado anteriormente: identificación y autenticación. Porque no significan lo mismo.

• “La identificación es el proceso de reconocer a un individuo particular entre un grupo. Este proceso compara los datos del individuo a identificar con los datos de cada individuo en el grupo.

• La autenticación es el proceso de probar que es cierta la identidad reclamada por un individuo. Este proceso compara los datos del individuo únicamente con los datos asociados a la identidad reclamada.”.

Esta nota comenzaba indicando cómo se almacena la información biométrica. Dicha información que ya hemos visto se puede extraer de un reconocimiento facial, se encuentra también por ejemplo en una huella dactilar y se almacena en un algoritmo, que, además, a diferencia de las contraseñas o certificados, no es 100% preciso. Nos habrá pasado seguramente que el parecido biométrico con hermanos o familiares haya podido confundir al sistema de reconocimiento.

Con todo ello presente y sus implicaciones, ¿está Mercadona legitimada legalmente para implantar un sistema de reconocimiento facial basado en datos biométricos?¿Pueden coger estos datos biométricos sin pedirnos consentimiento expreso?¿Puede que haya empresas recogiendo nuestros datos sin saberlo?

Otro planteamiento: nadie está obligado a entrar en ningún comercio/empresa. ¿El hecho de entrar legitima la toma de datos de sus clientes?

Vamos a darle respuesta. La AEPD indica que el consentimiento no solo se puede dar a través de una declaración de estar conforme, sino también por lo que se denomina “acción afirmativa”. Como se dejaba caer anteriormente, el acceso al supermercado no es obligatorio, por ello si previamente a acceder, existe información escrita y gráfica, visible, de la utilización de sistemas de reconocimiento facial, nuestro acceso conlleva la aceptación expresa de someternos a esta toma de datos. Así, Mercadona estaría legitimada para tratar datos de carácter personal, como imágenes captadas por sus cámaras de videovigilancia de sus clientes, por el hecho de acceder al supermercado, y en el mismo sentido, a tomar datos biométricos.

Pero ¿no estaban especialmente protegidos nuestros datos biométricos?

Sí. Una vez que se ha comprobado la legitimidad de la toma de datos, es fundamental tener en cuenta que los datos biométricos solo se podrán tratar si nos encontramos en algunas de las causas excepcionales del artículo 9.2 del RGPD.

Así, solo podría estar legitimada Mercadona para tratar los datos personales en función del artículo 9.2.f: “f) el tratamiento es necesario para la formulación, el ejercicio o la defensa de reclamaciones o cuando los tribunales actúen en ejercicio de su función judicial”. Esto es, únicamente de aquellos individuos con la finalidad de identificar personas concretas previamente condenadas y con medidas judiciales a cumplir respecto a la empresa y a sus trabajadores. En el resto de casos, los datos se eliminarán en 0,3 segundos.

En cualquier caso, seguro que no ha costado mucho imaginarse por qué le puede interesar a un comercio o empresa el tratamiento de datos biométricos, máxime si tenemos en cuenta la popularidad que están cobrando incluso los rastreos para protección de la salud pública, lo que podría ser otra causa de tratamiento excepcional.

Todo ello no hace sino poner de manifiesto la importancia de adecuarse a los avances tecnológicos en nuestra sociedad, así como de incorporar en nuestros negocios la tecnología segura y eficaz y dar a conocer a todos los interesados la capacidad de salvaguardar sus derechos. Para lo que somos especialistas en IPF Consulting.

¿Se puede denunciar esta práctica? Recordemos que el RGPD garantiza la protección de las personas físicas en lo que respecta al tratamiento de sus datos personales y su libre circulación. La rápida incorporación de los avances tecnológicos en nuestra sociedad, como la biometría, cuenta ya en Europa con una regulación que fomenta y potencia la incorporación de tecnología segura y eficaz cuando sea capaz de resguardar los derechos de los individuos.

Entretanto, como indica el Diario Expansión en su periódico de 8 de septiembre de 2020, solo “cabe esperar la resolución que dicte la AEPD sobre la utilización de esta clase de tecnologías, pues hasta ahora se percibe una postura reacia que plantea serias dudas, más aún cuando está en trámite la inspección a Mercadona por posible vulneración de la normativa actual”.

 

Desde IPF Consulting, como expertos en Derecho de la Protección de Datos, conocemos de la importancia de seguir los avances en Protección de Datos, pues ya no es el futuro, es el presente de nuestros derechos como consumidores y profesionales.