Novedades introducidas con el Reglamento General de Protección de Datos: calificación de datos biométricos
Una de las múltiples novedades introducidas por el nuevo Reglamento General de Protección de Datos (RGPD), es el cambio producido en la calificación de los datos biométricos, que pasan a ser considerados datos de categoría especial, tal y como dispone el artículo 9.1 del RGPD. El precepto hace referencia, en concreto, a los “datos biométricos dirigidos a identificar de manera unívoca a una persona física”, impidiendo su tratamiento, salvo que concurra alguna de las excepciones contempladas en el apartado 2 del art. 9 RGPD.
Entre las excepciones a las que alude el art. 9.2 RGPD, nos encontraríamos, fundamentalmente la existencia del consentimiento explícito del interesado, el cumplimiento de obligaciones o ejercicio de derechos por parte del Responsable del Tratamiento, la protección de intereses vitales del titular de los datos, o la presencia de un interés público, entre otros.
¿Qué son los datos biométricos?
Según el art. 4 del RGPD, los datos biométricos se definen como aquellos “datos personales obtenidos a partir de un tratamiento técnico específico, relativos a las características físicas, fisiológicas o conductuales de una persona física que permitan o confirmen la identificación única de dicha persona, como imágenes faciales o datos dactiloscópicos”. De este modo, se reconoce una cierta amplitud de procedimientos o sistemas basados en la obtención de esta categoría de datos personales; cualquier sistema de identificación mediante huella dactilar o reconocimiento facial, sería objeto de las directrices contempladas para esta materia por el RGPD.
Esta modificación en la calificación otorgada a los datos biométricos, implicará que se deban revisar los sistemas implementados, y posiblemente, un incremento en las medidas de seguridad a adoptar por el Responsable del Tratamiento, con el fin de dotar de una mayor protección a esta categoría especial de datos personales. Precisamente en relación a las medidas de seguridad aplicables, el nuevo RGPD ha introducido modificaciones interesantes en esta materia.
Las medidas de seguridad aplicadas a los datos biométricos
Hasta el momento, y con las disposiciones de la actual normativa todavía vigentes, las medidas de seguridad aplicables al tratamiento de datos biométricos variaban en función de la finalidad para la que se recabasen dichos datos. De este modo, podíamos distinguir entre las medidas de seguridad de nivel básico, para los casos en los que el dato se utilizaba fundamentalmente para identificar a una persona física; y entre las medidas de seguridad de nivel medio, para aquellos supuestos en los que, por ejemplo, el dato se emplease con el objetivo de elaborar un perfil del interesado.
Sin embargo, con la nueva normativa europea en la mano –y suponiendo que, previsiblemente, la futura regulación a nivel nacional implementará todas las directrices y recomendaciones planteadas por el RGPD- el triple nivel aplicado por la actual LOPD a las medidas de seguridad (básico, medio y alto) desaparecería, para dejar paso a la implantación de medidas adecuadas y tendentes a garantizar la seguridad de los datos.
De otra parte, también sería necesario tener en cuenta, que dependiendo del sistema de biometría empleado y el riesgo que éste pudiera suponer para los interesados, resultaría conveniente la realización de una Evaluación de Impacto en materia de protección de datos (EIPD), dado que el propio artículo 35.3 b) del RGPD, dispone que se requerirá dicha EIPD, en casos de tratamiento a gran escala de las categorías especiales de datos a que se refiere el art. 9.1 RGPD (y por tanto, entre ellos, los datos biométricos).
No obstante, al margen de todas las cuestiones señaladas, habrá que esperar para ver qué directrices concretas establece la nueva regulación a nivel nacional, habida cuenta de que el Proyecto para una nueva Ley Orgánica de Protección de Datos ya ha sido aprobado.
