La Agencia
Española de Protección de Datos (AEPD) ha respondido a la consulta
formulada por el delegado de protección de datos de una entidad bancaria sobre
la utilización de un sistema de verificación biométrica facial
uno-a-uno en el alta remota de nuevos clientes.
La contestación
considera que el sistema descrito supera, en términos ex ante, los
juicios de idoneidad, necesidad y proporcionalidad. Esta valoración, no
obstante, queda condicionada al cumplimiento efectivo de las garantías
examinadas y no constituye una autorización del tratamiento, la homologación de
la tecnología o una certificación del algoritmo. La respuesta es meramente
informativa, carece de efectos vinculantes y no constituye un acto recurrible.
Una
verificación 1:1 sometida al artículo 9 del RGPD
El sistema
compara la imagen facial obtenida durante el alta con la fotografía del
documento de identidad para comprobar si ambas corresponden a la misma persona.
No realiza búsquedas frente a una pluralidad de referencias ni incorpora las
plantillas a una base biométrica para usos posteriores.
La AEPD
diferencia esta verificación o autenticación 1:1 de la identificación
biométrica uno-a-varios. Aunque ambas implican el tratamiento de categorías
especiales de datos sometido al artículo 9
del RGPD, la distinción resulta relevante para valorar la
intensidad de la injerencia, el riesgo y las garantías necesarias.
Consentimiento
explícito y una alternativa remota no biométrica
Las obligaciones
de identificación derivadas de la normativa de prevención del blanqueo de
capitales pueden fundamentar el tratamiento de los datos necesarios en el
artículo 6.1.c) del RGPD. Sin embargo, esta obligación legal no justifica
automáticamente el empleo de una concreta tecnología biométrica: también debe
concurrir una circunstancia que levante la prohibición del artículo 9.1.
En el supuesto
consultado, la operación biométrica se apoya en el consentimiento explícito
del artículo 9.2.a) del RGPD. Para que sea válido, deberá ser libre, específico,
informado, inequívoco y explícito. El cliente ha de poder rechazar la biometría
sin sufrir costes injustificados, pérdida de condiciones, exclusiones, retrasos
desproporcionados u otras cargas que condicionen su decisión.
La AEPD precisa
que una opción presencial no basta por sí sola en las circunstancias
examinadas. La entidad deberá ofrecer también una vía remota no biométrica,
que podría articularse mediante mecanismos de identificación electrónica
reconocidos por el ordenamiento, como la firma electrónica cualificada o,
cuando proceda, el DNI electrónico. No es necesario que esta alternativa
reproduzca la misma tecnología, rapidez o intervención humana del sistema
biométrico, pero sí que sea real, cierta y razonablemente accesible.
El sistema
supera inicialmente el triple juicio
Idoneidad.
La comparación facial 1:1 presenta una conexión directa con la finalidad de
comprobar que quien solicita el alta es titular del documento aportado y de
reforzar la prevención de la suplantación de identidad. Las pruebas técnicas,
los controles documentales, la prueba de vida y la revisión humana permiten
apreciar inicialmente su aptitud, aunque no certifican su eficacia global en
condiciones reales.
Necesidad.
La mera existencia de un método menos intrusivo no convierte automáticamente la
biometría en innecesaria. Para desplazarla, la alternativa debe alcanzar
razonablemente la misma finalidad con un nivel de eficacia equivalente. Según
la información aportada, existen razones objetivas para considerar que el
procedimiento manual anterior no proporciona esa equivalencia frente a los
riesgos identificados.
Proporcionalidad.
La AEPD valora especialmente que el cotejo sea puntual y uno-a-uno, que no
exista búsqueda en bases poblacionales, categorización o inferencia de
atributos, que no se cree una base biométrica de clientes y que las referencias
se eliminen después de la comparación. También tiene en cuenta las medidas de
seguridad, la limitación de accesos, la trazabilidad y la revisión humana de
los resultados positivos.
Seguimiento,
conservación y decisiones automatizadas
La valoración
favorable exige que la entidad contraste las estimaciones iniciales con los
resultados obtenidos en producción. El piloto y la monitorización deberán medir
errores y desviaciones y permitir revisar la evaluación si no se confirma la
mejora de eficacia o aparecen alternativas menos intrusivas con resultados
equivalentes.
La entidad
también deberá justificar los plazos de conservación de las distintas
evidencias, documentar la destrucción de las plantillas y someter al proveedor
biométrico a las garantías del artículo 28
del RGPD. Esto comprende el tratamiento conforme a
instrucciones, el control de subencargados, la seguridad, la localización de
las operaciones, la supresión efectiva y la prohibición de utilizar los datos
para fines propios.
Además, deberá
valorar las consecuencias de los resultados negativos automatizados. Si
producen efectos jurídicos o afectan significativamente al interesado,
resultará aplicable el artículo 22
del RGPD con todas sus garantías. La mera derivación a una
oficina no equivale por sí sola al derecho a obtener intervención humana sobre
la concreta decisión automatizada.
Impacto
práctico para las entidades financieras
El criterio de
la AEPD no supone un aval general a la biometría bancaria. Su viabilidad
depende de la configuración concreta del sistema, de la validez del
consentimiento, de la existencia de una alternativa remota no biométrica y de
una evaluación documentada y revisable.
Las entidades
que pretendan utilizar esta tecnología, deberán justificar separadamente la base
jurídica del tratamiento ordinario y la excepción aplicable a los datos
biométricos, acreditar el triple juicio, limitar la generación y conservación
de plantillas, supervisar al proveedor y revisar periódicamente si siguen
siendo válidas las premisas de eficacia y seguridad.