Cercador de resolucions, dictàmens i informes

S’examina la viabilitat d’utilitzar la signatura biomètrica per a determinats documents en l’àmbit de salut, com serien el consentiment informat (oferint una alternativa) i altres documents administratius. S’analitza la diferenciació entre identificació i signatura en l’àmbit de les actuacions administratives i es conclou que, mentre les dades biomètriques no s’emprin per identificar i autenticar mitjançant un tractament tècnic específic, no hi ha un tractament de categories especials de dades. Des d’aquest punt de vista, el seu ús i prova estaria regulat per la normativa sobre la signatura electrònica i s’empararia en la normativa de procediment i el dret dels interessats d’utilitzar mecanismes electrònics de signatura; això, sempre que compleixin la legislació sobre serveis electrònics de confiança. En cas de discrepància amb la signatura biomètrica emesa, sí que suposaria un tractament de dades a l’efecte d’autenticació, que estaria fonamentat en la base legitimadora de l’article 9.2.f de l’RGPD

L'entitat va cometre 2 infraccions de caràcter molt greu, previstes a l'article 86.5.b en relació amb l'article 13 RGPD, ja que va posar en funcionament el sistema de videovigilància del centre sense instal·lar prèviament els cartells informatius obligatoris. A més, un dels cartells està ubicat de manera que n'impedeix la lectura. Pel que fa a un llistat telefònic en paper que tenen a la porteria del centre, no s'informava del tractament.

La persona denunciant posava de manifest que l'Ajuntament obliga als i les usuàries del servei de piscines municipals a sotmetre's a l'eina del reconeixement facial per obtenir l'abonament d'accés. Tanmateix, consultat per aquesta Autoritat, l'Ajuntament ha exposat que el registre a l'eina no és obligatori i que es pot obtenir l'abonament imprès, després de presentar la fotocòpia del DNI. En aquests termes, a banda de les manifestacions del denunciant, no es disposa de més elements que permetin sostenir que el reconeixement facial és obligatori, motiu pel qual s'arxiva la denúncia.

Vulneració del principi de licitud atès que el tractament de dades biomètriques de les i els estudiants, no està inclòs en cap de les excepcions previstes per l'article 9.2 RGPD, per al tractament de categories especials de dades.

El consentiment del personal afectat no pot considerar-se una base jurídica adequada per a la implantació d’un sistema de control horari mitjançant reconeixement facial com el que es descriu a la consulta. Seria necessària la previsió d’aquest sistema de control en una disposició legal o en un conveni col·lectiu aplicable, o si escau, en un pacte o acord resultat de la negociació col·lectiva, circumstàncies que no sembla que concorrin en el cas analitzat. En qualsevol cas, abans de la implantació d’un sistema d’aquest tipus, cal fer una avaluació de l’impacte sobre la protecció de dades a la vista de les circumstàncies concretes en què es dugui a terme el tractament per determinar-ne la licitud i la proporcionalitat, inclosa l’anàlisi de l’existència d’alternatives menys intrusives, i establir les garanties adequades.

No correspon a aquesta Autoritat definir els mitjans a través dels quals es realitzi la identificació dels ciutadans per mitjans electrònics en la tramitació administrativa, ni determinar si un sistema d’identificació pot garantir fefaentment la identitat de la persona sol·licitant. Un sistema d’identificació dels interessats que reculli juntament amb les dades del DNI o document identificatiu de l’interessat la seva imatge i veu, pot tenir com a base jurídica l’exercici de poders públics conferits al responsable del tractament en relació a les funcions d’identificació dels interessats en el procediment previst a la normativa de procediment administratiu. Si s’utilitza mitjans tècnics específics que permetin la identificació o l’autenticació unívoques d’una persona física, comportarà el tractament de dades biomètriques i, per tant, categories especials de dades. Per tal que aquest tractament de dades sigui lícit i adequat a la normativa de protecció de dades ha de comptar amb el consentiment vàlid de l’interessat i adequar-se a la resta de principis de l’RGPD entre els quals el principi de minimització, de manera que ateses les circumstàncies concretes del tràmit o tràmits en els quals es pretengui aplicar, superi el judici de proporcionalitat.

Per tractar dades biomètriques cal que concorri alguna de les circumstàncies previstes a l'article 9.2 RGPD que permeten el tractament de categories especials de dades. Amb caràcter previ a iniciar el tractament, és necessari realitzar una avaluació d'impacte relativa a protecció de dades, quan el tractament comporti un risc alt. En la recollida de les dades s'ha de fer efectiu el dret d'informació.

Les dades biomètriques sotmeses a tractaments tècnics específics adreçats a fins de reconeixement biomètric, ja sigui en forma d’identificació o d’autenticació biomètrica, han de considerar-se com a categoria especial de dades. Per tant, tindrien aquesta consideració tant l’empremta dactiloscòpica, a la qual s’aplica un tractament tècnic específic, quan s’utilitzi amb la finalitat d’autenticar la identitat d’una persona física, com la signatura biomètrica obtinguda sobre una tauleta, mesurant la formació de les lletres, la direcció dels trets, pressió i altres característiques dinàmiques úniques, en la mesura que se sotmet a un tractament tècnic específic amb la finalitat de confirmar-ne l’autoria.

Dictamen en relació amb la “Guía sobre la protección de datos personales en el ámbito universitario en tiempos del COVID-19” elaborada per la CRUE