El document estableix els criteris d'ús d'aquesta tecnologia tant en contextos laborals com no laborals

La Agència Espanyola de Protecció de Dades (AEPD) ha difós la Guia ‘Tractaments de control de presència mitjançant sistemes biomètrics’, un document que fixa els criteris per a la utilització de la biometria per al control d'accés, ja sigui amb finalitats laborals o no laborals. Aquesta guia estableix les mesures que cal tenir en compte perquè un tractament de dades personals que faci ús d'aquesta tecnologia compleixi amb el Reglament General de Protecció de Dades (RGPD), entre altres normatives






01/12/2023

Els sistemes biomètrics i el tractament de les dades que es poden obtenir d'ells estan evolucionant molt ràpidament. Els nous sistemes incrementen el detall de la informació recollida i fins i tot permeten la possibilitat de recopilar informació sense la cooperació de la persona, que en algunes ocasions ni tan sols en és conscient. A això s'afegeix el desenvolupament de la intel·ligència artificial, que pot utilitzar-se per inferir informació addicional sobre les persones.

L'Agència considera el tractament de dades biomètriques, tant per a la identificació com per a l'autenticació, com un tractament de alt risc que inclou categories especials de dades. Conforme al RGPD, per poder tractar aquestes categories, cal que hi hagi una circumstància que aixequi la prohibició del seu tractament i, a més, una condició que el legitimi.

Pel que fa al registre de jornada i control d'accés amb finalitats laborals, si la derogació de la prohibició es basa en l'article 9.2.b) del RGPD, el responsable ha de disposar d'una norma amb rang de llei que autoritzi específicament l'ús de dades biomètriques per a aquesta finalitat. L'Agència precisa que, en el marc d'aquests tractaments, el consentiment no pot aixecar la prohibició ni ser la base per determinar la legalitat del mateix, donat que hi ha un desequilibri entre la persona sotmesa al tractament i qui el realitza.

Pel control d'accés fora del context laboral, el consentiment tampoc pot ser una circumstància que aixequi la prohibició, ja que es tracta d'un tractament de alt risc i no compleix el requisit de necessitat (article 35.7.b).

La Guia també estableix restriccions als tractaments biomètrics realitzats per al control de presència quan es prenen decisions automatitzades sense intervenció humana que tinguin efectes jurídics o afectin significativament la persona de manera similar.

En tot cas, la Guia precisa que, si es pretén captar dades biomètriques, abans de començar el tractament, serà obligatòria la realització d'una Avaluació d'Impacte per a la Protecció de Dades en la qual, entre altres aspectes, s'acrediti la superació del triple anàlisi d'idoneïtat, necessitat i proporcionalitat del tractament.

Finalment, l'Agència afegeix un llistat de mesures que cal prendre si es compleixen tots els requisits de compliment dels principis del RGPD:

- Informar les persones sobre el tractament biomètric i els riscos elevats associats al mateix.

- Implementar en el sistema biomètric la possibilitat de revocar el vincle d'identitat entre la plantilla biomètrica i la persona física.

- Implementar mitjans tècnics per assegurar la impossibilitat d'utilitzar les plantilles per a qualsevol altre propòsit.

- Emprar xifrat per protegir la confidencialitat, disponibilitat i integritat de la plantilla biomètrica.

- Utilitzar formats de dades o tecnologies específiques que impedeixin la interconnexió de bases de dades biomètriques i la divulgació de dades no comprovada.

- Suprimir les dades biomètriques quan no es vinculin a la finalitat que va motivar el seu tractament.

- Implementar la protecció de dades des del disseny.

- Aplicar la minimització de les dades recollides, amb una avaluació objectiva que no hi hagi tractament de categories especials de dades.