Cercador de resolucions, dictàmens i informes

La persona denunciant posava de manifest que l'Ajuntament obliga als i les usuàries del servei de piscines municipals a sotmetre's a l'eina del reconeixement facial per obtenir l'abonament d'accés. Tanmateix, consultat per aquesta Autoritat, l'Ajuntament ha exposat que el registre a l'eina no és obligatori i que es pot obtenir l'abonament imprès, després de presentar la fotocòpia del DNI. En aquests termes, a banda de les manifestacions del denunciant, no es disposa de més elements que permetin sostenir que el reconeixement facial és obligatori, motiu pel qual s'arxiva la denúncia.

Vulneració del principi de licitud atès que el tractament de dades biomètriques de les i els estudiants, no està inclòs en cap de les excepcions previstes per l'article 9.2 RGPD, per al tractament de categories especials de dades.

El consentiment del personal afectat no pot considerar-se una base jurídica adequada per a la implantació d’un sistema de control horari mitjançant reconeixement facial com el que es descriu a la consulta. Seria necessària la previsió d’aquest sistema de control en una disposició legal o en un conveni col·lectiu aplicable, o si escau, en un pacte o acord resultat de la negociació col·lectiva, circumstàncies que no sembla que concorrin en el cas analitzat. En qualsevol cas, abans de la implantació d’un sistema d’aquest tipus, cal fer una avaluació de l’impacte sobre la protecció de dades a la vista de les circumstàncies concretes en què es dugui a terme el tractament per determinar-ne la licitud i la proporcionalitat, inclosa l’anàlisi de l’existència d’alternatives menys intrusives, i establir les garanties adequades.

No correspon a aquesta Autoritat definir els mitjans a través dels quals es realitzi la identificació dels ciutadans per mitjans electrònics en la tramitació administrativa, ni determinar si un sistema d’identificació pot garantir fefaentment la identitat de la persona sol·licitant. Un sistema d’identificació dels interessats que reculli juntament amb les dades del DNI o document identificatiu de l’interessat la seva imatge i veu, pot tenir com a base jurídica l’exercici de poders públics conferits al responsable del tractament en relació a les funcions d’identificació dels interessats en el procediment previst a la normativa de procediment administratiu. Si s’utilitza mitjans tècnics específics que permetin la identificació o l’autenticació unívoques d’una persona física, comportarà el tractament de dades biomètriques i, per tant, categories especials de dades. Per tal que aquest tractament de dades sigui lícit i adequat a la normativa de protecció de dades ha de comptar amb el consentiment vàlid de l’interessat i adequar-se a la resta de principis de l’RGPD entre els quals el principi de minimització, de manera que ateses les circumstàncies concretes del tràmit o tràmits en els quals es pretengui aplicar, superi el judici de proporcionalitat.

Per tractar dades biomètriques cal que concorri alguna de les circumstàncies previstes a l'article 9.2 RGPD que permeten el tractament de categories especials de dades. Amb caràcter previ a iniciar el tractament, és necessari realitzar una avaluació d'impacte relativa a protecció de dades, quan el tractament comporti un risc alt. En la recollida de les dades s'ha de fer efectiu el dret d'informació.

Les dades biomètriques sotmeses a tractaments tècnics específics adreçats a fins de reconeixement biomètric, ja sigui en forma d’identificació o d’autenticació biomètrica, han de considerar-se com a categoria especial de dades. Per tant, tindrien aquesta consideració tant l’empremta dactiloscòpica, a la qual s’aplica un tractament tècnic específic, quan s’utilitzi amb la finalitat d’autenticar la identitat d’una persona física, com la signatura biomètrica obtinguda sobre una tauleta, mesurant la formació de les lletres, la direcció dels trets, pressió i altres característiques dinàmiques úniques, en la mesura que se sotmet a un tractament tècnic específic amb la finalitat de confirmar-ne l’autoria.

Dictamen en relació amb la “Guía sobre la protección de datos personales en el ámbito universitario en tiempos del COVID-19” elaborada per la CRUE

L’Ajuntament formula una consulta sobre la necessitat o no de realitzar l’Avaluació d’Impacte relativa a la protecció de dades del tractament de gestió de recursos humans que porta a terme aquest Ajuntament. El tractament de dades de salut i d’antecedents penals descrit a la consulta, amb motiu del tractament de les dades dels recursos humans de l’Ajuntament no requereix una avaluació d’impacte relativa a la protecció de dades. No obstant això, si la utilització de dades biomètriques es vol iniciar o s’ha iniciat amb posterioritat al 25 de maig de 2018, seria necessari fer una avaluació d’impacte relativa a la protecció de dades respecte aquesta part del tractament.

L'ús d'un sistema de reconeixement facial i dactilar per controlar l'assistència de l'alumnat, s'ha de fonamentar en una de les excepcions previstes a l'article 9.2 RGPD. D'altra banda, en el moment de la recollida de les dades s'ha de fer efectiu el dret d'informació. Al seu torn, quan s'encarrega la prestació d'un servei a un tercer que impliqui accedir a dades personals, cal subscriure el contracte d'encarregat del tractament.