AEPD: nuevo criterio sobre el uso de datos biométricos
La AEPD ha cambiado su criterio sobre el uso de datos biométricos en procesos de verificación de identidad. El regulador acepta ahora que la biometría facial puede ser un medio necesario aunque existan alternativas menos invasivas. El dictamen responde a una consulta de una entidad financiera sobre el alta remota de clientes.
La consulta de una entidad financiera sobre el alta remota de clientes
El punto de partida es una consulta planteada por una entidad financiera. La compañía quería valorar la viabilidad de un sistema de verificación facial 1:1 para incorporar clientes a distancia.
Hasta ese momento, la entidad usaba un procedimiento de back office. Su personal comparaba visualmente el documento de identidad del cliente con un vídeo. La empresa consideraba que ese método dependía en exceso del ojo humano y no frenaba el fraude online.
El nuevo modelo sustituye esa revisión visual por una verificación biométrica facial 1:1 automatizada. El sistema genera referencias biométricas temporales a partir del documento y del vídeo. Luego las compara para confirmar que pertenecen a la misma persona. No consulta otras bases de datos ni conserva los datos, que se destruyen tras la comparación.
La AEPD ya no da por abusiva la biometría si existe otra vía
El cambio de doctrina es relevante. La Agencia sostiene que el uso de datos biométricos no es siempre innecesario, aunque sea más intrusivo que otras opciones.
El razonamiento parte del cumplimiento del Reglamento General de Protección de Datos (RGPD). Si la tecnología lo respeta, el tratamiento puede superar los juicios de idoneidad, necesidad y proporcionalidad. El regulador subraya el peso de proteger a los usuarios frente a la suplantación de identidad en entornos remotos.
La Agencia matiza además el nivel de riesgo. La verificación 1:1 propuesta, con datos efímeros y sin almacenamiento en una base de datos, presenta un riesgo sustancialmente menor que la identificación permanente.
Te puede interesar
El juicio de necesidad se reinterpreta: la alternativa debe ser igual de eficaz
El giro más fino afecta al juicio de necesidad. La mera existencia de una alternativa menos intrusiva, como la revisión visual humana, ya no invalida de forma automática el uso de la biometría.
Para desplazar a la biometría, la alternativa debe ofrecer un nivel de eficacia equivalente contra el fraude. Si la revisión humana no detiene las nuevas técnicas de suplantación, deja de considerarse equivalente. En ese caso, la biometría pasa a ser necesaria.
Un criterio que los despachos trasladarán a banca y a cualquier onboarding digital
La doctrina interesa más allá de la entidad consultante. Afecta a banca, aseguradoras y a cualquier operador con altas digitales de clientes. Los equipos de protección de datos y compliance deberán revisar sus evaluaciones de impacto.
El criterio no es un cheque en blanco. La Agencia condiciona la licitud al cumplimiento del RGPD y al diseño concreto del sistema. Que las referencias sean temporales y se destruyan tras la comparación resulta decisivo en el análisis de proporcionalidad.
Queda por concretar cómo aplicará el regulador esta lectura en procedimientos sancionadores. La AEPD es una autoridad administrativa con potestad para imponer sanciones, y su doctrina en consultas suele anticipar el criterio de sus actuaciones.
Información publicada originalmente por Confilegal.
Imagen: Pexels