Derecho, Protección de datos

¿Te pueden pedir tu huella dactilar para acceder al gimnasio?

En primer lugar, cabe señalar que “se trata de un tema muy controvertido y cuya interpretación ha seguido una evolución con disparidad de opiniones. Dicho análisis se realiza a partir de la jurisprudencia más reciente, en concreto, de una sentencia de la Audiencia Nacional, en virtud de la cual estimó un recurso contencioso-administrativo interpuesto por un gimnasio frente a una resolución de la Agencia Española de Protección de Datos que le imponía una sanción.

Del mismo modo, señalaremos una serie de cuestiones que se deben tener en cuenta antes de instalar un sistema tecnológico basado en el tratamiento de datos biométricos, bajo RGPD.

Introducción

Cada vez está más extendido el tratamiento de datos biométricos en ámbitos muy diversos y para numerosas finalidades. Asimismo, cada vez es más notoria su utilización en los sistemas de control de acceso, y de control horario, en entidades públicas y privadas.

A este respecto, teniendo en cuenta que los datos biométricos, son considerados a todos los efectos y vienen definidos en la norma como datos personales, el tratamiento que se haga de los mismos debe cumplir la normativa de protección de datos aplicable.

Con el fin de ilustrar los elementos que se deben tener en cuenta a la hora de tratar esta tipología de datos, analizamos los argumentos que se tuvieron en cuenta en la resolución de la denuncia de un cliente de un gimnasio ante la Agencia Española de Protección de Datos Personales (en adelante, “AEPD”), y los que arguyó, en el mismo procedimiento, la Audiencia Nacional en su sentencia de fecha 19 de septiembre de 2019.

Conviene apuntar que los hechos denunciados son de febrero de 2017, y el procedimiento sancionador se inició el 30 de enero de 2018″.

En segundo lugar, hay que destacar que “la complejidad del análisis del sistema de tratamiento de datos biométricos analizado reside en determinar si se cumple el principio de calidad de los datos. Dado que los datos de carácter personal únicamente pueden utilizarse si son adecuados, pertinentes y no excesivos, ello implica analizar en cada caso la necesidad y proporcionalidad de los datos tratados, y si la finalidad perseguida podría alcanzarse de manera menos intrusiva.

Las resoluciones analizadas establecen que, para analizar la proporcionalidad de un determinado sistema biométrico, es necesario que supere los siguientes juicios:

1.Juicio de idoneidad: Consistente en valorar si el sistema utilizado es eficaz para conseguir el objetivo perseguido.

2.Juicio de necesidad: Consistente en analizar si el sistema biométrico en cuestión es necesario para dar respuesta a la necesidad detectada, y no únicamente es el sistema más adecuado o rentable.

3.Juicio de proporcionalidad en sentido estricto: Consistente en valorar si la pérdida de intimidad es proporcional a los beneficios o ventajas que se espera obtener. A la hora de efectuar este juicio, deben tenerse en cuenta las medidas de seguridad implantadas en el sistema analizado en cada caso”.

Como se puede destacar de lo expuesto, se puede observar que se trata de un tema bastante controvertido y que puede provocar problemas y vulneración de derechos fundamentales.

En segundo lugar, cabe señalar que “la complejidad del análisis del sistema de tratamiento de datos biométricos analizado reside en determinar si se cumple el principio de calidad de los datos. Dado que los datos de carácter personal únicamente pueden utilizarse si son adecuados, pertinentes y no excesivos, ello implica analizar en cada caso la necesidad y proporcionalidad de los datos tratados, y si la finalidad perseguida podría alcanzarse de manera menos intrusiva.

Las resoluciones analizadas establecen que, para analizar la proporcionalidad de un determinado sistema biométrico, es necesario que supere los siguientes juicios:

1.Juicio de idoneidad: Consistente en valorar si el sistema utilizado es eficaz para conseguir el objetivo perseguido.

2.Juicio de necesidad: Consistente en analizar si el sistema biométrico en cuestión es necesario para dar respuesta a la necesidad detectada, y no únicamente es el sistema más adecuado o rentable.

3.Juicio de proporcionalidad en sentido estricto: Consistente en valorar si la pérdida de intimidad es proporcional a los beneficios o ventajas que se espera obtener. A la hora de efectuar este juicio, deben tenerse en cuenta las medidas de seguridad implantadas en el sistema analizado en cada caso”.

También hay que añadir que “esos sistemas de control de acceso también han sido impactados por la tecnología, de forma que a día de hoy muchos de los datos requeridos para hacer uso de una instalación o servicio se obtienen a partir de características fisiológicas, físicas o de comportamiento y son conocidos como datos biométricos.

En los últimos tiempos, el coste de todo lo relacionado con la tecnología se ha ido abaratando hasta conseguir que los lectores de huellas sean accesibles para casi cualquier tipo de compañía. Los sistemas de acceso más novedosos, como los de la huella, los faciales o los de retina, poco a poco han ido dejando atrás a los más tradicionales (tarjeta, contraseña…).

¿Cuál es el problema? Que los llamados datos biométricos son muy sensibles, ya que no se pueden revocar y, además, contienen información que puede ser relativamente fácil de clonar. Tampoco te emparanoies, que no estamos en Westworld y no hay 300 “tús” pululando por ahí. A lo sumo el doble que se supone que todos tenemos y poco más.

Gimnasios con acceso por huella dactilar

Algunos gimnasios han optado por el método de acceso mediante huella y por eso se han llevado alguna que otra denuncia. El Comité Europeo de Protección de Datos pone a estos centros deportivos de ejemplo de uso desproporcionado de los controles de acceso. Al menos por ahora, aunque es imposible descartar su normalización en un futuro prácxticamente inmediato.

Así que a la pregunta de si es legal el uso de la huella dactilar, la respuesta es que no o que, por lo menos, no puede constituir el único método de acceso, negarse no puede conllevar sanciones para el usuario y debe ser autorizado por este a la hora de celebrar un contrato privado con el gym o cualquiera que sea el establecimiento que solicita esta forma de acceso.

El gym te puede pedir la huella dactilar si tú aceptas darla

Antes de que veas en este tema la excusa definitiva para que el gimnasio no te vuelva a ver el pelo, y veas claras tus opciones por aquello de que para entrar al gym tienes que quebrantar la ley y para entrar a la heladería no, hagamos énfasis en el matiz que hemos hecho en el apartado anterior.

La celebración de un contrato privado (matriculación) que haces con el gym o, por ejemplo, con una empresa en la que deseas empezar a trabajar, puede dar lugar a concesiones que no estén plenamente estipuladas por la ley. Como cuando tu hermana recién parida te exige quitarte los zapatos para entrar a su casa sin contaminar al bebé y tú aceptas porque tu deseo de visitarla es mayor que tu asombro ante dicha petición, puede que realmente desees apuntarte a un determinado centro deportivo y por ello aceptes mediante un contrato privado que la forma de identificarte para acceder al recinto es con un lector de huellas.

No obstante, el establecimiento debería ofrecer otro mecanismo de identificación que complemente y en ocasiones pueda sustitur al biométrico, por ejemplo, una llave inteligente, una tarjeta de socio o tu propia ficha para que el recepcionista te deje pasar el torno si, por ejemplo, un día está estropeado el lector de huellas o te has lesionado el dedo (cortes, quemaduras, picaduras, etc…) y por lo tanto tu huella no es legible.

Otro punto relevante en este sentido es que la incorporación de la huella dactilar o cualquier otro sistema biométrico en los controles de acceso, no debería ser repentina ni una sorpresa para el usuario. Es decir, no es lícito que un día cualquiera estés yendo al gimnasio con intención de acceder con un carné de socio de siempre y te encuentres con que se han modernizado y ahora te exigen identificarte con tu huella. En este caso, estaríamos hablando de que el establecimiento ha modificado de manera unilateral e inconsulta un acuerdo previamente establecido contigo y dichas modificaciones quedarían sin efecto a no ser que te las planteen y tú las aceptes de forma explícita. En este caso podrías optar por poner una hoja de reclamaciones mientras decides si pasas por el aro torno con tu huella o te das de baja.

Para qué sirven los sistemas de identificación biométricos

Es interesante saber para qué suelen utilizarse estos métodos en la actualidad, aunque está claro que cada vez son más sus aplicaciones.

– Puertas de acceso al trabajo: este tipo de sistemas suele ser muy utilizado para eliminar el uso de las llaves en las empresas. Hay negocios en los que los diferentes turnos pueden hacer un poco engorroso el intercambio de sistemas clásicos, así que optar por estos métodos suele ser una alternativa muy interesante. Además, hay casos en los que tener que abrir la puerta continuamente puede afectar a la productividad de los trabajadores. Actualmente su auge está en aumento porque muchas empresas quieren reducir el uso de plásticos y ven en la identificación biométrica una buena forma de hacerlo para eliminar las típicas tarjetas de identificación y reducir su impacto ambiental.

– Más seguridad: en organizaciones en las que suele entrar y salir mucha gente, este sistema es, sin duda, otra vía de aportar más seguridad. Controlar quién entra y quién sale es muy importante para evitar que al centro de trabajo puedan acceder intrusos; por eso, con un control de acceso solo podrá acceder al centro el personal que previamente haya sido autorizado.

– Delimitar las diferentes zonas: en una empresa no todos los empleados pueden acceder a todas las áreas del centro de trabajo, ya que es frecuente que en algunas zonas sean almacenadas o custodiadas cosas de mucho valor o materiales extremadamente peligrosos. Delimitar las zonas de un lugar de trabajo es otra de las funciones de los sistemas de acceso.

– Mayor control: a veces, los trabajadores pueden olvidarse de identificarse, y en estos casos un sistema de control de acceso es una buena elección, ya que hasta que el empleado sea identificado la puerta o el tipo de barrera que haya no se abrirá.

Sistemas de identificación biométrica (y no) más comunes

Por supuesto, hay sistemas de acceso para todos los gustos. Conocerlos te ayudará a escoger cuál se adapta más a las necesidades que puedas tener en tu empresa.

Identificación por huella

Como ya hemos comentado antes, el sistema de identificación por huella es uno de los más utilizados actualmente. Este método utiliza puntos biométricos para poder identificar a las diferentes personas que estén autorizadas a acceder.

¿Por qué es un sistema muy utilizado? Porque es uno de los más económicos y seguros y evita que un trabajador pueda fichar por otro a la hora de entrar o salir del trabajo.

Identificación facial

Este sistema también utiliza puntos biométricos para permitir el acceso a cualquier tipo de zona. Es casi igual de económico que el de la huella dactilar, así que dependiendo de las necesidades de tu empresa y de lo que te resulte más cómodo, puedes optar por uno o por otro.

Identificación por retina

Este es un poco menos utilizado, ya que puede resultar menos económico. Hay muchos tipos de establecimientos que lo utilizan. De hecho, hay un bar en Bélgica que lo tiene para que solo sus clientes puedan acceder a sus instalaciones. ¿Te parece exagerado?

Identificación por proximidad

Es un método mucho más clásico pero que se sigue utilizando. La desventaja de este tipo de sistema es que se necesita llevar un objeto encima para poder acceder a la zona (tarjetas, llaveros, pulseras…).

Suelen ser utilizados en empresas en las que los empleados se tienen que ensuciar mucho las manos, ya que es una manera de mantener el control de todas las entradas en perfectas condiciones y que dure el tiempo estimado.

Identificación por contraseña

Este sistema para poder entrar seguramente sea el más tradicional. Aun así, no se ha dejado de utilizar, y con él cada empleado escoge la contraseña que quiera para poder acceder al centro de trabajo. Es un sistema barato y que funciona, eso sí, es un poco más lioso que los otros que hemos descrito ya que cualquier persona puede olvidarse de la contraseña, lo que puede causar problemas y pérdidas de tiempo”.

Lo que se puede deducir, en primer lugar, es que el consentimiento debe ser esencial para dar tu huella. Y, en segundo lugar, no te pueden obligar a dar tu huella.

En tercer lugar, hay que señalar que “la huella dactilar es un dato biométrico (como el iris del ojo) y es un dato de los calificados en el Reglamento Europeo como de “categoría especial”, es decir una protección más intensa (otros ejemplos son datos como la ideología política, la orientación sexual, o datos de salud).

Cuando una empresa u organización valora la instalación de un lector de huellas en el ámbito laboral (habitualmente como medida de control de acceso o para controlar los fichajes, la hora de incorporación y salida al puesto de trabajo) necesita legitimar el tratamiento en general de datos, y específicamente, el del dato “huella dactilar”, por ser de categoría especial.

Lector de huella dactilar para entrar al gimnasio

En relación concretamente con la huella dactilar, se ha hecho muy popular la sanción impuesta por la AEPD a un gimnasio, que de la noche a la mañana impuso a sus clientes el control de acceso vía captura y lectura de la huella dactilar, sin justificar debidamente la medida. La resolución se puede consultar aquí.

En realidad, esto se veía venir, y creo que empeorará con la aplicación del reglamento. La  poca diligencia que se demuestra en muchos casos podrá traer consigo multas considerables.

“No sé -ni me importa- qué parte de la huella captura ese cacharro”

“No sé dónde se almacenan las huellas. Entiendo que la empresa instaladora hace las cosas bien”.

“¿Cómo van incumplir mis nuevos cacharritos, si los veo en todos sitios?”

Por mi parte me voy a centrar en la presencia de estos cacharros en el ámbito laboral, me parece más interesante. Pero casi todo lo que viene a continuación es aplicable fuera de dicho ámbito.

Consentimiento explícito

La empresa podría pedir el consentimiento “explícito” del trabajador (esta forma de consentimiento exige especiales formalidades, al autorizar datos de categoría especial). Pero como vengo insistiendo, el consentimiento del trabajador presenta problemas:

Problemas jurídicos: ese consentimiento siempre estará bajo sospecha: hay grandes posibilidades de que el trabajador se sienta presionado para prestarlo, por miedo a represalias, problemas o incluso el despido, si no lo presta.

Problemas operativos: Aun asumiendo que el consentimiento fuera válido, (y opino que lo deberíais evitar salvo necesidad imperiosa y que no haya otra manera) el consentimiento, por  definición, se puede revocar en cualquier momento.

Nada ni nadie puede impedir al trabajador revocar el consentimiento prestado en relación con este tema.

Si un grupo de trabajadores –conscientes, por ejemplo de este asunto- revocaran formalmente el consentimiento prestado en su día, tendrías que tener preparado otro sistema alternativo para controlar su “fichaje”, o renunciar a este control en relación con ellos.

Interés legítimo corporativo

Así que nos queda el interés legítimo de la empresa, allí donde sea posible.

Pero el interés legítimo exige un juicio de ponderación, un “sopesamiento” entre el interés de la empresa, en este caso, por ejemplo, en controlar el fichaje de los empleados, y los derechos de estos a que se respete su derecho a la protección de datos personales.

Uno de los pasos críticos para soportar la prevalencia del interés legítimo de la empresa es poder sostener que ese tratamiento (la captura en mayor o menor medida de la huella dactilar) es proporcional al fin perseguido (control de acceso o de fichajes).

Será necesario poder argumentar que el tratamiento es, (i) o bien el único modo de cumplir tu interés, o que (ii) el resto de las alternativas menos intrusivas –Ej: las tarjetas magnéticas o perforadas de toda la vida- no son, por alguna razón de peso, suficientes para cumplir dicho interés legítimo.

Al estar implicados datos de especial protección de los trabajadores, el resultado de esta ponderación debería ser especialmente claro y favorable al interés de la empresa”.

En cuarto lugar, cabe destacar que “la Agencia Española de Protección de Datos establece dos cuestiones fundamentales sobre la implantación de la huella dactilar.

Por un lado, si con la utilización de la huella se cumple el principio de calidad de datos y, por otro lado, si es necesario el consentimiento de los titulares de los datos cuando se trate de un servicio de uso privado, abierto a los consumidores.

Fundamenta que los datos sólo pueden utilizarse si son adecuados, pertinentes y no excesivos, implicando una evaluación estricta de la necesidad y de la proporcionalidad de los datos tratados y de si la finalidad prevista podría alcanzarse de manera menos intrusiva.

Finalidad y proporcionalidad

Si la finalidad perseguida en un determinado contexto puede ser lograda sin necesidad de llevar a cabo el tratamiento de un determinado dato, debería optar necesariamente por esta posibilidad.

Asimismo, las autoridades de control han señalado que, de ser posible, deben instalarse preferentemente sistemas de reconocimiento de huella dactilar que permitan que los medios de verificación (algoritmo de la huella dactilar del trabajador) permanezcan en poder de los afectados, sin ser incorporados al sistema informático de la empresa, por tratarse de medios más proporcionales.

Mayores obligaciones

Finalmente, conviene tener en cuenta que el hecho de tratar datos especiales conlleva más obligaciones para el empresario en relación a las medidas técnicas y organizativas necesarias a fin de garantizar y poder demostrar que el tratamiento es conforme con el RGPD (tales como la conversión de la huella a su algoritmo o el cifrado de la información), así como la obligación, en su caso, de realizar una evaluación del impacto de las operaciones de tratamiento de datos biométricos, en la protección de datos personales.

Un ejemplo lícito

Pinchando en el enlace podemos ver un informe de la Agencia española (65/2015) sobre la licitud de un sistema de este tipo, que tiene medidas de protección mediante la aplicación de sistemas de encriptación biométrica –sustancialmente, se graba la huella, se encripta y se apareja no a nombres y apellidos, sino a un identificador –en ese caso al nº de matrícula de un alumno-.

Un ejemplo ilícito

La AEPD sanciona a un gimnasio por el uso de la huella dactilar. Podéis ver la Resolución sancionatoria pinchando en este enlace.

El tratamiento del sistema de huellas para acceder a un establecimiento exige una especial atención a la proporcionalidad, no solo por el carácter excesivo en la recogida sino en la modalidad técnica para tratarlo reiteradas veces, es decir que el dato que figure en sus sistemas sea objeto de tratamiento en tanto resulte completamente imprescindible para el cumplimiento de la finalidad perseguida, la de autenticar la entrada al gimnasio».

La solución que ofrecen en dicha resolución de la AEPD es que «el propio dato biométrico o el algoritmo, permaneciese bajo el control del usuario y no fuera incorporado al sistema o base de datos».

Esto «garantizaría la identificación basada en un doble aspecto: algo que el socio es, su huella que ha de implantar, y algo que tiene, la tarjeta que autentica su huella que lleva el algoritmo».

A nadie se le escapa que el uso de la huella dactilar es mucho más seguro que la mera tarjeta, pero desde el punto de vista de la comodidad, parece un chiste tener que seguir llevando encima la tarjeta cuando pasas a identificarte con el dedo.

Conclusiones

Se debe incidir en los siguientes aspectos que han de tener en cuenta gestores y directores a la hora de planificar el control de accesos, o cualquier recogida de datos:

  • Es necesario conocer qué datos son considerados como de carácter personal.
  • El interés legítimo de la empresa para recoger ese dato debe ser proporcional al fin perseguido.
  • El usuario debe conocer los fines de la recogida, cómo se tratará el dato y quién lo hará.
  • El consentimiento por parte del usuario debe ser explícito.
  • La empresa que proporcione software y hardware, para almacenar datos de los usuarios, debe informar a la empresa de todos los procesos de tratamiento, para valorar su pertinencia, así como para poder incorporar lo que corresponda en los consentimientos explícitos”.

A modo de conclusión, se debe señalar que ha de mediar consentimiento expreso que no haya sido obtenido mediante coacción.

FUENTES:

  1. HUELLA DACTILAR. Gestiona abogados: https://protecciondatoscertificado.es/huella-dactilar/
  2. Huella Dactilar y RGPD. JORGE GARCÍA HERRERO: https://jorgegarciaherrero.com/huella-dactilar-y-rgpd/
  3. ¿Es lícito el tratamiento de datos biométricos? PERISCOPIO FISCAL Y LEGAL: https://periscopiofiscalylegal.pwc.es/es-licito-el-tratamiento-de-datos-biometricos/amp/
  4. Si te parece normal que te pidan la huella digital para entrar en un gimnasio, necesitas leer esto. ELDIARIO.ES: https://www.eldiario.es/tecnologia/gimnasios-municipales-madrid-saltan-proteccion_1_3823980.amp.html

Responder

Por favor, inicia sesión con uno de estos métodos para publicar tu comentario:

Logo de WordPress.com

Estás comentando usando tu cuenta de WordPress.com. Cerrar sesión /  Cambiar )

Google photo

Estás comentando usando tu cuenta de Google. Cerrar sesión /  Cambiar )

Imagen de Twitter

Estás comentando usando tu cuenta de Twitter. Cerrar sesión /  Cambiar )

Foto de Facebook

Estás comentando usando tu cuenta de Facebook. Cerrar sesión /  Cambiar )

Conectando a %s