La Agencia Española de Protección de Datos (AEPD) se ha pronunciado sobre los datos biométricos, y sobre el uso de los mismos en sistemas de seguridad y tratamiento de datos. Un nuevo criterio en el que la Agencia valora que no siempre el uso de la biometría, a pesar de ser más intrusivo, sea innecesario.
Ante los avances de las nuevas tecnologías, muchos son los trámites que, actualmente, ya pueden realizarse a través de Internet, sin necesidad de desplazarse a una oficina física.
Sin embargo, esto no siempre supone una garantía de fiabilidad, siendo ya muchos sectores y empresas los que han dado la voz de alarma ante los muchos fraudes que se están produciendo «online».
Algo que ha llevado a muchas entidades a reforzar sus sistemas de seguridad. Ello, incluso, planteándose el uso de datos biométricos para confirmar la identidad de sus trabajadores y clientes.
Una necesidad de garantizar la protección de empresa y usuario que ha llevado a una entidad financiera a realizar una consulta a la AEPD sobre la viabilidad de implantar un sistema de verificación biométrica facial 1:1 en el proceso de alta remoto de nuevos clientes.
Datos biométricos para la seguridad de los clientes
Así pues, el sistema anterior de la entidad bancaria implicaba que el cliente aportara la imagen de su documento de identidad y un video, realizándose un cotejo persona-documento por parte del personal de bakoffice de la empresa, a través de una estructura exclusivamente visual.
Un sistema que, tal y como lamentaba la empresa, dependía en exceso del ojo humano, y resultaba insuficiente para evitar los fraudes online.
El nuevo modelo planteado por la empresa sustituía esta revisión visual por una operación automatizada de verificación biométrica facial 1:1.
Así, se generarían referencias biométricas temporales del individuo a partir del documento y el video aportados, comparándose estas referencias biométricas para confirmar que correspondan a la misma persona.
Un procedimiento en el que el sistema no realiza búsquedas en otras bases de datos, ni almacena estos datos biométricos, que son destruidos después de la comparación.
La posición de la AEPD abre la puerta a su uso
Un planteamiento ante el que la AEPD es clara: el uso de los datos biométricos no siempre se considera abusivo, a pesar de existir otras metodologías menos intrusivas con estos datos personales.
Ello, considerando que, de cumplirse el Reglamento General de Protección de Datos (RGPD) en esta tecnología, este uso de datos biométricos podría superar los juicios de idoneidad, necesidad y proporcionalidad.
Especialmente, ante la importancia de proteger a los usuarios ante la suplantación de identidad en entornos remotos.
Así, clarifica la Agencia que la verificación biométrica puntual 1:1 planteada por la entidad bancaria, donde los datos son efímeros y no se guardan en una base de datos, supone un nivel de riesgo sustancialmente menor a la identificación permanente.
Del mismo modo, reinterpreta aquí la AEPD el juicio de necesidad.
Ello, estableciendo que la mera existencia de una alternativa menos intrusiva (como la revisión visual humana) no invalida automáticamente el uso de la biometría.
Y es que, para que una alternativa desplace a la biometría, debe ofrecer un nivel de eficacia equivalente contra el fraude. Si la revisión humana no logra detener las nuevas técnicas de suplantación, deja de considerarse equivalente y la biometría pasa a ser necesaria.
