La AEPD flexibiliza su criterio sobre el uso de datos biométricos en procesos de identificación remota
La AEPD ha publicado su respuesta a una consulta sobre el uso de un sistema de verificación facial biométrica 1:1 para la identificación remota de clientes. La Agencia la califica como de alto nivel estratégico, ya que anticipa algunos de los criterios que previsiblemente desarrollará en su futura guía sobre tratamientos biométricos. Aporta una visión especialmente relevante sobre los juicios de necesidad y proporcionalidad, las alternativas existentes y la validez del consentimiento como base legitimadora. Analiza además uno de los principales retos del uso de tecnologías biométricas desde la perspectiva del RGPD: la relación entre la libertad del consentimiento y el juicio de necesidad exigible en estos supuestos.
La consulta nace del proyecto de una entidad para implantar un sistema de verificación facial biométrica 1:1 en su proceso de alta remota de cliente. Hasta entonces, la identificación se realizaba mediante documentación identificativa, grabaciones de vídeo y comprobaciones visuales efectuadas por personal especializado. Como la entidad pretendía basar el tratamiento en el consentimiento explícito de los interesados, planteó a la AEPD cuestiones sobre la validez de ese consentimiento, la necesidad de ofrecer alternativas no biométricas y la forma de analizar los juicios de necesidad y proporcionalidad.
La prohibición y los tres juicios que deben superarse
El análisis de la AEPD se estructura en torno al levantamiento de la prohibición del artículo 9.1 del RGPD y a los juicios de idoneidad, necesidad y proporcionalidad.
Levantamiento de la prohibición (art. 9.1 RGPD): la AEPD acepta el consentimiento explícito como base para levantar la prohibición de tratar datos biométricos, siempre que pueda prestarse libremente. En la verificación de identidad, considera necesario que, junto con la opción presencial, se ofrezcan alternativas no biométricas a distancia, como los mecanismos de identificación electrónica reconocidos por el ordenamiento jurídico.
La Agencia distingue entre el juicio de libertad del consentimiento y el de necesidad del tratamiento. Una alternativa a la biometría puede bastar para que el interesado rechace libremente el tratamiento biométrico, sin que alcance necesariamente un nivel de eficacia equivalente para la finalidad perseguida. Desde la perspectiva del consentimiento hay que analizar si el interesado dispone de una alternativa real que preserve su libertad de elección. Desde la perspectiva de la necesidad, hay que valorar si existe una medida menos intrusiva capaz de alcanzar razonablemente la misma finalidad con una eficacia comparable.
Juicio de idoneidad: la biometría debe ser apta para alcanzar la finalidad perseguida. Aunque no es el aspecto más controvertido, la AEPD considera que el sistema supera este primer nivel de examen. Entiende que la tecnología es apta para verificar de forma remota la identidad de los clientes y contribuir a prevenir el fraude documental y la suplantación de identidad. La verificación facial uno a uno es una medida adecuada para comprobar que quien realiza el proceso es quien afirma ser.
Juicio de necesidad: la mera existencia de una alternativa no excluye el uso de la biometría. La AEPD centra aquí su análisis y señala que la comparación entre alternativas debe hacerse desde una perspectiva funcional. Que una medida sea menos intrusiva es un elemento relevante, pero no suficiente. Para cuestionar la necesidad del tratamiento biométrico, la alternativa debe alcanzar la misma finalidad con un nivel de eficacia equivalente. Las consideraciones de la Agencia son:
- El juicio de necesidad exige comparar las medidas disponibles a la luz de la finalidad perseguida y de los riesgos concretos que el responsable pretende mitigar.
- Los procedimientos alternativos, presenciales o remotos no biométricos, son un elemento relevante del análisis, pero no determinan por sí solos su resultado.
- La evaluación debe tener en cuenta la eficacia de cada medida frente a los riesgos identificados por el responsable.
- Corresponde al responsable justificar, con elementos objetivos y conforme al principio de responsabilidad proactiva, por qué la solución propuesta responde adecuadamente a la necesidad identificada.
La Agencia sitúa así el análisis en una comparación de la eficacia práctica de las alternativas, y no en verificar si existe alguna medida menos intrusiva.
Juicio de proporcionalidad: consentimiento explícito y libertad de elección. La AEPD valora conjuntamente la finalidad perseguida, los beneficios esperados y las garant ías previstas para limitar el impacto sobre los derechos de los interesados. Destaca que:
- El tratamiento persigue una finalidad legítima, vinculada a la verificación remota de la identidad de los clientes y a la prevención del fraude.
- El consentimiento explícito puede ser una base jurídica válida para el tratamiento de datos biométricos, tanto a efectos del artículo 6.1.a) como del 9.2.a) del RGPD.
- La libertad del consentimiento exige que el interesado disponga de alternativas no biométricas que le permitan acceder al servicio sin verse obligado a usar la solución biométrica.
Esas alternativas no tienen que ser necesariamente equivalentes en rapidez, comodidad o experiencia de usuario. Lo relevante es que permitan una elección real y que el interesado no sufra consecuencias desproporcionadas por optar por una vía distinta. En el caso concreto, la AEPD estima necesario que, junto a la identificación biométrica, se ofrezcan alternativas presenciales y remotas no biométricas, utilizando mecanismos de identificación electrónica reconocidos legalmente.
Conclusiones: la consulta aporta criterios relevantes para evaluar la licitud de los tratamientos biométricos. Confirma que la mera existencia de alternativas menos intrusivas no excluye automáticamente el uso de la biometría y que el análisis debe atender a la eficacia real de las medidas, la finalidad perseguida y los riesgos que se pretenden mitigar. Distingue también claramente entre el juicio de necesidad del tratamiento y la valoración de la libertad del consentimiento.
Sin constituir una autorización general para el uso de tecnologías biométricas, el pronunciamiento parece reflejar una aproximación más flexible que la de criterios anteriores, sobre todo al admitir expresamente que el consentimiento explícito puede ser una base válida. Por ello, resulta especialmente recomendable que las entidades que pretendan implantar este tipo de soluciones cuenten con asesoramiento especializado que les permita evaluar su encaje en los artículos 6 y 9 del RGPD y documentar el cumplimiento de los principios de necesidad, proporcionalidad y responsabilidad proactiva.