Análisis sobre la necesidad, libertad de elección y riesgo efectivo en el tratamiento de datos biométricos

• La AEPD responde a la consulta planteada por una empresa sobre el uso de un sistema biométrico de verificación facial uno-a-uno para verificar de forma remota la identidad de sus clientes. Esta respuesta está considerada de alto nivel estratégico, siguiendo los parámetros establecidos en el Plan estratégico 2025-2030.
• La Agencia considera que una alternativa menos intrusiva no hace innecesaria por sí sola la biometría, siendo potencialmente posible su utilización cuando permite satisfacer la misma necesidad con un nivel de eficacia equivalente o superior.
• El consentimiento explícito puede legitimar un tratamiento biométrico cuando existe una elección real. Para ello, la persona debe poder rechazar la biometría y acceder a una alternativa no biométrica efectiva, que no tiene que ser idéntica ni ofrecer necesariamente el mismo canal, tecnología, rapidez o comodidad. Esta cuestión es distinta del juicio de necesidad.
• El responsable dispone de un margen de apreciación técnico y organizativo, por su conocimiento del contexto y de los riesgos de su actividad, pero debe justificar objetivamente su decisión conforme al principio de responsabilidad proactiva.
• La respuesta a esta consulta anticipa criterios que se desarrollarán en la futura guía de biometría de la AEPD y es coherente con la evolución europea, incluida la propuesta de Digital Omnibus.

La Agencia Española de Protección de Datos (AEPD) ha respondido a una consulta sobre la utilización de un sistema de verificación facial uno-a-uno en el proceso de verificación remota de la identidad de los clientes de una empresa. Esta respuesta está considerada de alto nivel estratégico, siguiendo el Plan estratégico 2025-2030, que prevé analizar tecnologías emergentes con alto impacto en los derechos de las personas para emitir recomendaciones tempranas y anticipar riesgos.

La respuesta aplica a un caso concreto algunos de los criterios que la AEPD desarrollará en su futura guía sobre tratamientos biométricos. Estos criterios parten de la especial protección que el Reglamento General de Protección de Datos (RGPD) atribuye a los datos biométricos utilizados para identificar o verificar de manera unívoca a una persona, pero exigen al mismo tiempo valorar la finalidad, necesidad, arquitectura, garantías y riesgos efectivos de cada tratamiento.

En el supuesto examinado, la Agencia considera que el tratamiento proyectado puede superar, en términos ex ante, los juicios de idoneidad, necesidad y proporcionalidad, atendiendo a las circunstancias y garantías analizadas. Esta conclusión no constituye una autorización general de los sistemas biométricos ni una certificación de la tecnología utilizada, ya que el responsable deberá mantener las condiciones que justifican inicialmente su utilización y revisar la evaluación si cambian sus premisas.

Una alternativa menos intrusiva solo excluye la biometría si ofrece una eficacia equivalente

Uno de los principales criterios aplicados en la respuesta se refiere al juicio de necesidad.

La existencia de una medida menos intrusiva no determina, por sí sola, que el tratamiento biométrico sea innecesario. Para producir ese efecto, la alternativa debe permitir satisfacer la misma necesidad con un nivel de eficacia equivalente.

El juicio de necesidad no consiste, por tanto, en localizar cualquier otra solución técnicamente posible. Exige comparar la capacidad real de las distintas medidas para responder a la necesidad concreta que justifica el tratamiento.

En términos generales, dos procedimientos pueden servir para verificar la identidad de una persona y presentar, sin embargo, capacidades diferentes frente a determinados riesgos de suplantación, manipulación documental o alteración de imágenes. Si esas diferencias son relevantes para la finalidad perseguida, debe analizarse si la medida menos intrusiva permite afrontarlos con una eficacia equivalente.

En el caso examinado ya existía un procedimiento remoto no biométrico basado en documentación, vídeo y comparación visual por personal especializado que había permitido detectar intentos de fraude. 

La documentación aportada identifica ciertas limitaciones y permite considerar, en términos ex ante, que el procedimiento anterior no ofrece una eficacia equivalente frente a los riesgos específicamente analizados. Sobre esa base, la Agencia considera superado el juicio de necesidad.

La normativa de protección de datos no obliga a conservar una tecnología por el mero hecho de ser menos intrusiva, sino a justificar que la nueva solución responde a una necesidad real y que no existe otra medida menos intrusiva capaz de satisfacerla con una eficacia equivalente.

El responsable debe justificar el nivel de eficacia necesario

El responsable del tratamiento se encuentra inicialmente en mejor posición para conocer su actividad, los riesgos a los que se enfrenta, las características de sus procesos, la experiencia obtenida con los sistemas existentes y las obligaciones sectoriales que debe cumplir. Dispone por ello de un margen de apreciación técnico y organizativo para determinar qué nivel de seguridad y eficacia resulta razonablemente necesario.

Ese margen forma parte de la responsabilidad proactiva, pero no constituye una potestad discrecional exenta de control. El responsable debe definir la necesidad que pretende satisfacer, justificar el nivel de fiabilidad exigido, identificar y comparar las alternativas razonablemente disponibles y documentar las razones de su decisión.

La AEPD no sustituye al responsable en esa valoración ni fija, por ejemplo, el porcentaje de fraude que una empresa considera aceptable. Tampoco homologa un determinado algoritmo. Sí debe comprobar que la necesidad invocada es real y suficientemente concreta, que el nivel de eficacia exigido está objetivamente justificado y que la afectación de los derechos de las personas resulta proporcionada.

Esta evaluación puede realizarse antes del despliegue completo del sistema cuando exista evidencia objetiva suficiente —pruebas técnicas, ensayos, métricas, análisis de amenazas u otros elementos pertinentes—. Pero la conclusión debe contrastarse después con el funcionamiento real. Si la mejora de eficacia prevista no se produce o aparecen alternativas menos intrusivas con eficacia equivalente, el responsable deberá revisar su decisión.

El consentimiento explícito puede constituir una base jurídica válida para el uso de biometría

La respuesta muestra, en un supuesto concreto, que el tratamiento de datos biométricos no excluye por sí mismo la posibilidad de acudir al consentimiento. Cuando concurran efectivamente sus requisitos, el consentimiento puede constituir la base jurídica del tratamiento conforme al artículo 6.1.a) del RGPD y, si es explícito, permitir el tratamiento de los datos biométricos conforme al artículo 9.2.a).

La cuestión es que el consentimiento sea realmente libre, específico, informado e inequívoco y que, tratándose de categorías especiales de datos, se manifieste de forma explícita. En particular, la persona debe poder rechazar el tratamiento biométrico sin quedar privada del servicio ni sufrir consecuencias que puedan condicionar materialmente su decisión.

Para ello debe existir una alternativa no biométrica real y efectiva. Pero alternativa real no significa alternativa idéntica. Los distintos procedimientos pueden utilizar tecnologías o canales diferentes y presentar diferencias razonables en rapidez, comodidad o funcionamiento. La libertad del consentimiento no exige reproducir en la opción no biométrica todas las características de la solución biométrica sino garantizar que quien no quiera utilizar esta última dispone de una vía practicable que no le imponga costes, pérdida de derechos, exclusiones o cargas desproporcionadas.

En el supuesto examinado, esta exigencia puede satisfacerse mediante la disponibilidad de alternativas no biométricas. Junto a la atención presencial, resulta necesario garantizar la existencia de otras vías de verificación en remoto sin necesidad de recurrir al tratamiento de biometría, como podrían ser, por poner algunos ejemplos, mecanismos de verificación de identidad electrónica a distancia reconocidos por el ordenamiento como la firma electrónica cualificada o determinados mecanismos asociados al DNI electrónico. Su incorporación permite apreciar la existencia de posibilidades reales de elección, especialmente en un proceso concebido para desarrollarse a distancia.

Esta respuesta constituye la aplicación concreta de un criterio que la futura guía de biometría de la AEPD desarrollará con mayor detalle: el consentimiento explícito no debe descartarse de manera general como fundamento de los tratamientos biométricos. Su validez debe analizarse atendiendo a las condiciones reales en las que se solicita y, en particular, a la existencia de una verdadera libertad de elección.

La alternativa para consentir libremente no es la misma que la alternativa del juicio de necesidad

Esta conclusión debe diferenciarse del juicio de necesidad. Una alternativa puede ser suficiente para que una persona rechace libremente la biometría y, sin embargo, no satisfacer con eficacia equivalente la necesidad que pretende cubrir el responsable.

En el análisis del consentimiento se pregunta si existe una elección real que garantice la libertad e igualdad en la toma de decisión. En el juicio de necesidad se pregunta si existe una medida menos intrusiva y de eficacia equivalente. Solo esta última determina que el tratamiento biométrico no resulte necesario.

Esta distinción permite comprender, por ejemplo, que una vía presencial o un mecanismo de verificación de la identidad electrónica pueda garantizar la libertad del consentimiento sin que de ello suponga automáticamente que proporcione, frente a todos los riesgos concretos de suplantación analizados por el responsable, una eficacia equivalente a la solución biométrica.

No todos los tratamientos biométricos presentan el mismo riesgo

La aplicación del artículo 9 del RGPD no significa que todos los tratamientos biométricos deban valorarse como si presentaran la misma intensidad.

Una identificación uno-a-varios, dirigida a localizar a una persona dentro de una población o una base de datos, plantea riesgos distintos de una verificación puntual uno-a-uno destinada a comprobar si una persona concreta coincide con la identidad que afirma tener.

También resultan relevantes la existencia de bases biométricas persistentes, el lugar en el que se generan y conservan las referencias, quién puede acceder a ellas, durante cuánto tiempo existen y si pueden reutilizarse para finalidades posteriores.

En el supuesto examinado se han valorado especialmente el carácter puntual y uno-a-uno de la operación, la inexistencia de una búsqueda sobre una población, la ausencia de un repositorio biométrico destinado a usos posteriores y la eliminación de las referencias utilizadas para realizar el cotejo.

Estas circunstancias no excluyen las exigencias del artículo 9 del RGPD, pero sí son relevantes para determinar el riesgo efectivo, las garantías exigibles y el resultado del juicio de proporcionalidad.

El Digital Omnibus apunta hacia una regulación más diferenciada

Esta evolución del análisis coincide con el debate normativo actualmente abierto en la Unión Europea.

La propuesta de Digital Omnibus plantea introducir en el artículo 9 del RGPD una excepción específica para determinados tratamientos de verificación biométrica destinados a confirmar la identidad de una persona cuando los datos biométricos o los medios necesarios para realizar la verificación permanezcan bajo su control exclusivo.

La AEPD valora favorablemente esta orientación concreta, en la medida en que puede aportar mayor seguridad jurídica a determinados sistemas de verificación biométrica cuya arquitectura y garantías presentan un riesgo significativamente diferente del de otros usos biométricos.

Se trata, no obstante, de una propuesta legislativa todavía no aprobada y en modo alguno condiciona ni la futura guía ni esta consulta concreta, basadas en el Derecho vigente y que obviamente se adaptarían al nuevo marco jurídico si se adopta. 

Si la modificación finalmente se adopta, reforzará una aproximación que la Agencia considera adecuada, la de diferenciar los tratamientos biométricos atendiendo a su función, arquitectura y riesgo efectivo, sin aplicarles de forma indiferenciada una misma valoración