<\/p>\n\n\n\n
Los datos biom\u00e9tricos son aquellos obtenidos a trav\u00e9s de un tratamiento t\u00e9cnico espec\u00edfico relativos a caracter\u00edsticas f\u00edsicas, fisiol\u00f3gicas o conductuales de una persona f\u00edsica, que permitan identificarla de manera \u00fanica, como recoge el art\u00edculo 4.14<\/a> del Reglamento General de Protecci\u00f3n de Datos (RGPD).\u00a0<\/p>\n\n\n\n Ejemplos de este tipo de datos son las huellas dactilares o los obtenidos mediante reconocimiento facial, as\u00ed como detecci\u00f3n del iris o la voz para identificar a una persona concreta. Este tipo de datos son cada vez m\u00e1s frecuentes, ya que muchas empresas los adoptan en sus instalaciones o software como alternativa al uso de contrase\u00f1as o PIN. Pueden ser empleados para registrar la jornada laboral, para dar acceso a una zona restringida de la empresa o para revisar una base de datos.<\/p>\n\n\n\n Los datos biom\u00e9tricos est\u00e1n basados en rasgos \u00fanicos e inalterables del cuerpo y pueden permitir identificar a una persona aunque no realice una intervenci\u00f3n activa, como una c\u00e1mara de reconocimiento facial, por ejemplo. En el caso de las fotograf\u00edas, en principio no se consideran datos biom\u00e9tricos, salvo que permitan la identificaci\u00f3n inequ\u00edvoca de una persona f\u00edsica.<\/p>\n\n\n\n El art\u00edculo 9 del RGPD<\/a>, que hace referencia al tratamiento de categor\u00edas especiales de datos personales, incluye los datos biom\u00e9tricos. Este tipo de datos est\u00e1n directamente vinculados a la identidad f\u00edsica de una persona. Si son robados, mal utilizados o compartidos sin autorizaci\u00f3n, pueden dar lugar a violaciones graves de la privacidad, incluyendo vigilancia indebida o robo de identidad.<\/p>\n\n\n\n Adem\u00e1s, el uso il\u00edcito de estos datos puede conducir a situaciones de discriminaci\u00f3n, ya que ciertas caracter\u00edsticas biom\u00e9tricas podr\u00edan ser utilizadas para excluir o identificar injustamente a personas en funci\u00f3n de su raza, g\u00e9nero u otros aspectos.<\/p>\n\n\n\n Este tipo de datos requieren un tratamiento especial que los diferencia de los datos personales comunes. Debido a su car\u00e1cter sensible y al impacto de su mal uso en la privacidad y la seguridad, exigen a las empresas un mayor compromiso en cuanto a la solicitud de consentimiento, las medidas de seguridad necesarias para su tratamiento y otras exigencias del RGPD para los datos especialmente protegidos<\/a>.<\/p>\n\n\n\n A este respecto, la Polic\u00eda Nacional de Espa\u00f1a ofrece una serie de directrices para compartir el DNI<\/a> de forma segura en el entorno digital. Se recomienda pixelar algunos datos irrelevantes para poder utilizar el documento de identidad para los fines que corresponda, es decir, minimizando los datos.<\/p>\n\n\n\n El Reglamento de la UE establece los criterios para tratar datos de categor\u00edas especiales en el art\u00edculo 9, entre los que se encuentran los datos biom\u00e9tricos para identificar a personas f\u00edsicas.<\/p>\n\n\n\n En el apartado 1 del art\u00edculo 9 se indica que queda prohibido el tratamiento de este tipo de datos. Esto se debe al car\u00e1cter sensible de este tipo de informaci\u00f3n, y c\u00f3mo puede afectar a los derechos fundamentales de las personas. Sin embargo, en el apartado 2 se indican los casos en los que est\u00e1 permitido el tratamiento, entre ellos:<\/p>\n\n\n\n Estos son algunos de los supuestos en que los datos biom\u00e9tricos pueden ser recopilados, procesados y almacenados por las organizaciones. Se puede ver la lista exhaustiva en el art\u00edculo 9.2 del reglamento<\/a>.\u00a0<\/p>\n\n\n\n \u00bfTienes dudas sobre el uso correcto de este tipo de datos en el entorno empresarial? La propia Agencia Espa\u00f1ola de Protecci\u00f3n de Datos ofrece una gu\u00eda pr\u00e1ctica<\/a> con directrices concretas para ello.<\/p>\n\n\n\n Cada situaci\u00f3n debe ser analizada en particular y conforme a la ley para poder saber si se trata de un tratamiento de datos biom\u00e9tricos leg\u00edtimo. En todo caso, en t\u00e9rminos generales, estos son algunos ejemplos de pr\u00e1cticas legales:<\/p>\n\n\n\n En cambio, estos son casos de pr\u00e1cticas no legales:<\/p>\n\n\n\n La empresa Worldcoin es un ejemplo reciente en cuanto a prohibici\u00f3n del uso de c\u00f3digos de iris<\/a> con los usuarios. Las autoridades de control de la Uni\u00f3n Europea, incluida la AEPD, han exigido a la empresa que elimine los datos, de acuerdo con el derecho a supresi\u00f3n recogido en el RGPD, m\u00e1s all\u00e1 de las sanciones administrativas correspondientes.<\/p>\n\n\n\n Las pr\u00e1cticas recomendadas para empresas en aras de proteger la privacidad de datos<\/a> son principalmente:<\/p>\n\n\n\n Se debe informar a los titulares de los datos sobre c\u00f3mo se recopilan, procesan y protegen sus datos biom\u00e9tricos. Adem\u00e1s, la empresa tiene la obligaci\u00f3n de facilitar datos de contacto para poder ejercer los derechos de acceso, rectificaci\u00f3n, supresi\u00f3n, limitaci\u00f3n, oposici\u00f3n y portabilidad.<\/p>\n\n\n\n El RGPD exige en el art\u00edculo 35 que, en un tratamiento de alto riesgo, se debe superar el triple juicio de idoneidad, necesidad y proporcionalidad estricta, tambi\u00e9n previsto por la doctrina del Tribunal Constitucional.<\/p>\n\n\n\n Los criterios de la AEPD, de acuerdo con lo que define el RGPD<\/a>, se\u00f1alan que el \u00e1mbito profesional ofrece un contexto particular en que hay que valorar el uso de datos biom\u00e9tricos. Esto se debe a que existe un desequilibrio de poder entre las partes.<\/p>\n\n\n\n El consentimiento es una base leg\u00edtima que queda cuestionada como suficiente para el tratamiento de datos de car\u00e1cter sensible en el entorno laboral. As\u00ed se indica en las Directrices 5\/2020<\/a> del CEPD (Comit\u00e9 Europeo de Protecci\u00f3n de Datos):<\/p>\n\n\n\n \u00abParece poco probable que un empleado pudiera responder libremente a una solicitud de consentimiento de su empleador para, por ejemplo, activar sistemas de vigilancia por c\u00e1mara en el lugar de trabajo o para rellenar impresos de evaluaci\u00f3n, sin sentirse presionado a dar su consentimiento. <\/p>\n\n\n\n Por tanto, el CEPD considera problem\u00e1tico que los empleadores realicen el tratamiento de datos personales de empleados actuales o futuros sobre la base del consentimiento, ya que no es probable que este se otorgue libremente. En el caso de la mayor\u00eda de estos tratamientos de datos en el trabajo, la base jur\u00eddica no puede y no debe ser el consentimiento de los trabajadores [art. 6, apartado 1, letra a)] debido a la naturaleza de la relaci\u00f3n entre empleador y empleado\u00bb.<\/p>\n\n\n\n Fuente: Directrices 5\/2020 sobre el consentimiento en el sentido del Reglamento (UE) 2016\/679, art. 3, apdo. 21.<\/p>\n\n\n\n El RGPD establece que el consentimiento debe ser espec\u00edfico, libre, informado y expl\u00edcito. Estas condiciones rara vez se cumplen en el entorno profesional, dada la relaci\u00f3n de desigualdad inherente en este contexto entre el trabajador y el responsable.<\/p>\n\n\n\n\u00bfPor qu\u00e9 los datos biom\u00e9tricos son considerados sensibles?<\/strong><\/h2>\n\n\n\n
Normativa del RGPD sobre el tratamiento de datos biom\u00e9tricos<\/strong><\/h2>\n\n\n\n
Situaciones en las que se permite el tratamiento<\/strong><\/h3>\n\n\n\n
\n
Ejemplos de pr\u00e1cticas legales y no legales<\/strong><\/h3>\n\n\n\n
\n
\n
Medidas de seguridad para el tratamiento de datos biom\u00e9tricos<\/strong><\/h2>\n\n\n\n
\n
\u00bfPuede una empresa usar datos biom\u00e9tricos para control de acceso?<\/strong><\/h2>\n\n\n\n
Obligaciones para las empresas que gestionan datos biom\u00e9tricos<\/strong><\/h2>\n\n\n\n