La Superintendencia de Protección de Datos Personales ha expedido la Norma General para el Tratamiento de Datos Biométricos, que regula las condiciones, garantías y límites aplicables al tratamiento de estos datos con fines identificativos, así como las reglas necesarias para su uso adecuado en procura de la tutela efectiva de los derechos y las libertades de los titulares.
A continuación, se detallan las obligaciones fundamentales de la nueva Resolución y su impacto en la gestión de riesgos organizacionales. Todo Responsable y Encargado debe observar estrictamente lo siguiente:
Categoría especial
• Los datos biométricos son datos sensibles y constituyen una categoría especial de datos personales cuando su tratamiento se realice por medios que permitan o tengan por finalidad identificar de manera unívoca a una persona natural.
Obligatoriedad de evaluacion de impacto
• Todo tratamiento biométrico debe estar precedido de un análisis de riesgos y de la correspondiente evaluación de impacto (EIPD), que justifique suficientemente la utilización de sistemas biométricos para la finalidad perseguida.
Tratamiento de alto riesgo
La Resolución clasifica como de alto riesgo los tratamientos de datos biométricos que:
• Tuvieren como resultado la identificación unívoca de personas naturales;
• Implicaren la evaluación sistemática o exhaustiva de aspectos personales mediante tratamientos automatizados, sobre cuya base se adopten decisiones que produzcan afectación a derechos y libertades fundamentales;
• Conllevaren la observación sistemática, a gran escala, de zonas de acceso público.
Base legitimadora
El tratamiento de datos biométricos será lícito únicamente cuando exista una base de legitimación válida conforme al régimen de datos sensibles de la LOPDP.
Cuando dicho tratamiento se sustente en el consentimiento, el Responsable o Encargado debe observar lo siguiente:
• El consentimiento debe ser previo, libre, específico, informado, inequívoco y explícito.
• Debe ofrecerse al titular al menos un mecanismo alternativo equivalente que no requiera el uso de biometría, salvo que se acredite imposibilidad técnica debida y suficientemente demostrada en la evaluación de impacto.
• El titular podrá revocar su consentimiento en cualquier momento, debiendo implementarse los medios para que dicha revocatoria se haga efectiva de manera expedita y célere.
Asimetría significativa
La Resolución introduce, además, el concepto de asimetría significativa, aplicable cuando exista una relación de subordinación jurídica o dependencia económica directa entre el Responsable o Encargado y el titular, un condicionamiento del acceso a derechos fundamentales o servicios esenciales, o una ausencia de alternativas reales y razonables para el titular. En estos casos, el consentimiento debe ser explícito y cumplir con todas las condiciones previstas en la LOPDP; como regla general, deberá ofrecerse igualmente una alternativa no biométrica razonable.
La Resolución exceptúa expresamente de la calificación de asimetría significativa a la biometría utilizada para fines de autenticación en operaciones sujetas a obligaciones de debida diligencia reforzada, de acuerdo con las normativas de prevención de fraude, lavado de activos y financiamiento del terrorismo.
Límites y prohibiciones de uso de biométricos
La Resolución establece límites específicos para determinados escenarios de tratamiento:
• El uso de tecnologías de reconocimiento facial deberá cumplir con el artículo 26 de la LOPDP, así como con el análisis de riesgos, la evaluación de impacto y las medidas de seguridad reforzadas correspondientes.
• Queda prohibido el uso de sistemas biométricos destinados a la identificación masiva e indiscriminada de personas naturales en espacios públicos, salvo mandato expreso de una norma con rango de ley, debidamente motivado.
• El tratamiento de datos biométricos de niñas, niños y adolescentes con fines identificativos está prohibido, salvo que no existieren otros medios menos invasivos y se cuente con el respectivo análisis de riesgos y la EIPD; los adolescentes de 15 a 17 años podrán otorgar su propio consentimiento explícito, en lenguaje sencillo y adaptado a su edad.
• Las decisiones que produzcan efectos jurídicos o afecten derechos y libertades fundamentales no podrán basarse exclusivamente en sistemas automatizados de identificación biométrica, ni en decisiones basadas mayoritariamente en biometría con una intervención humana meramente formal o testimonial.
Plazo de adecuación de procesos
Los responsables y encargados del tratamiento que, a la entrada en vigencia de esta Resolución, estuvieren utilizando sistemas biométricos disponen de un plazo de doce meses, contados desde la publicación de la Resolución en el Registro Oficial, para adecuar sus procesos y sistemas a las nuevas disposiciones, lo que en la práctica implica, entre otras acciones:
1. Inventariar los sistemas biométricos en uso y clasificar su nivel de riesgo.
2. Elaborar o actualizar la evaluación de impacto (EIPD) correspondiente a cada tratamiento.
3. Habilitar, cuando el tratamiento se base en consentimiento, un mecanismo alternativo no biométrico equivalente.
Dada las nuevas disposiciones y procedimientos de esta Resolución, es fundamental realizar una revisión exhaustiva de sus tratamientos biométricos actuales. Si desea obtener más información sobre esta disposición o requiere asistencia para la estructuración de su plan de adecuación, nos puede contactar al siguiente correo electrónico: comunicacionpbp@pbplaw.com
Consejo Editorial
