La consulta plantea si resultaría conforme a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal y su Reglamento de desarrollo aprobado por el Real Decreto 1726/2007, de 21 de diciembre, el sistema de control biométrico de los alumnos del Centro para su acceso al comedor que minuciosamente se detalla en la consulta. En particular, se clarifica que los datos correspondientes al algoritmo de la huella digital se almacenaría en el sistema de forma encriptada y asociados a un número de matrícula distinto a los datos directamente identificativos de los niños, de forma que el reconocimiento de la huella almacenada se vincularía originariamente con esos datos no directamente identificativos, si bien se señala asimismo en la consulta que con el sistema se pretende mantener informados en tiempo real a los progenitores acerca del ingreso de los alumnos en el comedor. También se señala en la consulta que hasta la fecha se llevaba a cabo el control del acceso de forma anónima mediante la entrega de una tarjeta no identificativa, indicándose que dicho medio no resultaría tan eficaz para el control de los alumnos en la dependencia a la que se limita el acceso como el que pretende ahora implantarse.
La consulta asimismo es consciente del parecer manifestado por esta Agencia en su informe de 7 de septiembre de 2007, si bien se mencionan diversos motivos que justificarían que por esta Agencia se adoptase una posición distinta a la que, con carácter negativo, se señaló en el citado informe, habida cuenta del tiempo transcurrido y del hecho de que el control biométrico únicamente tendría lugar en relación con el acceso a las instalaciones del comedor y no en todas las dependencias del centro, como en el supuesto que se planteaba en aquel informe.
Aún sabedores de que ello puede resultar redundante, dado el conocimiento del mencionado informe por el consultante, debe reproducirse aquí lo que allí se indicaba, sabedores de las limitaciones del sistema ahora planteado en cuanto al alcance de los accesos respecto del que se analizaba en dicho informe. El contenido del mismo era el siguiente:
“Para resolver la cuestión planteada debe partirse del análisis de la incidencia que los datos biométricos tienen en el ámbito de aplicación de la citada Ley Orgánica 15/1999, de 13 de diciembre.
Son datos biométricos aquellos aspectos físicos que, mediante un análisis técnico, permiten distinguir las singularidades que concurren respecto de dichos aspectos y que, resultando que es imposible la coincidencia de tales aspectos en dos individuos, una vez procesados, permiten servir para identificar al individuo en cuestión. Así se emplean para tales fines las huellas digitales, el iris del ojo, la voz, etc.
Por su parte, el artículo 3 a) de la Ley Orgánica de Protección de Datos define los datos de carácter personal como “cualquier información concerniente a personas físicas identificadas o identificables”. En este sentido debe indicarse que, si bien el procesamiento de los datos biométricos no revela nuevas características referentes al comportamiento de las personas sí permite, lógicamente, su identificación, por lo que resulta evidente que, en caso de procederse a su tratamiento dicho tratamiento deberá ajustarse a la Ley Orgánica 15/1999.
Según el artículo 4.1 de la Ley Orgánica, sólo se podrán recoger datos de carácter personal para su tratamiento, así como someterlos a dicho tratamiento, cuando tales datos sean adecuados, pertinentes y no excesivos en relación con el ámbito y las finalidades determinadas, explícitas y legítimas para las que se hayan obtenido. El problema se planteará entonces en determinar si el tratamiento de la información biométrica de huella dactilar puede ser considerado excesivo para el fin que motiva dicho tratamiento, teniendo en cuenta que se efectuaría un tratamiento de datos de menores de edad para las finalidades a las que nos hemos referido al comienzo del presente informe.
A nuestro juicio, tal y como se ha venido indicando por el Grupo de trabajo creado por el artículo 29 de la Directiva 95/46/CE, en el Documento de Trabajo sobre biometría, de fecha 1 agosto de 2003, la obtención de la huella dactilar como medio para identificar a los alumnos en el centro resulta excesivo y desproporcionado, para dicha finalidad.
“Con arreglo al artículo 6 de la Directiva 95/46/CE, los datos personales serán recogidos con fines determinados, explícitos y legítimos, y no serán tratados posteriormente de manera incompatible con dichos fines. Además, los datos personales serán adecuados, pertinentes y no excesivos con relación a los fines para los que se recaben y para los que se traten posteriormente (principio de fines). El cumplimiento de este principio implica en primer lugar una determinación clara de los fines para los que se recogen y tratan los datos biométricos.
Por otra parte, hace falta evaluar el cumplimiento de la proporcionalidad y de la legitimidad, teniendo en cuenta los riesgos para la protección de los derechos y libertades fundamentales de las personas y especialmente si los fines perseguidos pueden alcanzarse o no de una manera menos intrusiva.
La proporcionalidad ha sido el criterio principal en casi todas las decisiones adoptadas hasta ahora por las autoridades encargadas de la protección de datos sobre el tratamiento de datos biométrico….
El uso de la biometría plantea también el tema de la proporcionalidad de cada categoría de datos a la luz de los fines para los que se tratan dichos datos. Los datos biométricos sólo pueden usarse de manera adecuada, pertinente y no excesiva, lo cual supone una estricta valoración de la necesidad y proporcionalidad de los datos tratados. Por ejemplo, la CNIL francesa ha rechazado el uso de huellas digitales en el caso del acceso de los niños a un comedor escolar19, pero ha aceptado con el mismo fin el uso de los resultados de muestras de las manos. La autoridad portuguesa de protección de datos ha tomado recientemente una decisión desfavorable sobre la utilización de un sistema biométrico (huellas digitales) por parte de una universidad para controlar la asiduidad y puntualidad del personal no docente.”
En consecuencia, entendemos que resulta desproporcionado y por ello contrario a lo dispuesto en el artículo 4.1 de la Ley Orgánica 15/1999 antes citado, la utilización de la huella dactilar como medio para controlar el acceso de los alumnos al centro escolar y tal finalidad puede conseguirse, sin duda, de una manera menos intrusiva en relación con los derechos de los alumnos.”
Ciertamente el documento al que se ha hecho referencia data del año 2003, por lo que podría no haber tenido en cuenta la evolución de las nuevas tecnologías, en particular las relacionadas con la seguridad de la información. Del mismo modo, es cierto que el propio documento tenía en consideración la existencia de Estados en los que la solución alcanzada difería de la que contenía el citado informe.
No obstante, es preciso tomar en consideración dos elementos relevantes y acaecidos con posterioridad a la adopción del documento que impiden, con carácter general, la adopción de una conclusión enteramente contraria a la que se adoptó en aquel informe.
En primer lugar, y directamente relacionado con la antigüedad del documento a la que se ha hecho referencia, es preciso considerar que el propio Grupo de Trabajo del artículo 29 volvió a llevar a cabo una valoración del posible tratamiento de datos biométricos en el ámbito escolar en su “Dictamen 2/2009 sobre la protección de los datos personales de los niños (Directrices generales y especial referencia a las escuelas)”, adoptado el 11 de febrero de 2009 (documento WP160). El citado documento, en lo que afecta a la cuestión planteada señala lo siguiente:
“a) Datos biométricos – acceso a la escuela y el comedor
A lo largo de los años se ha incrementado el control de acceso en las escuelas. Este control de acceso puede consistir en recoger a la entrada datos biométricos como las impresiones dactilares, el iris o el contorno de la mano. En algunas situaciones, estos medios pueden ser desproporcionados con respecto al objetivo y tener efectos excesivamente molestos.
En cualquier caso, también deberá aplicarse el principio de proporcionalidad a la utilización de estos datos biométricos.
Se recomienda especialmente que los representantes legales dispongan de medios sencillos para oponerse a la utilización de datos biométricos de los niños. Si los representantes ejercen su derecho de oposición, a los niños se les proporcionará una tarjeta o cualquier otro medio de acceso al centro escolar.”
Por otra parte, debe también tenerse en cuenta que, con independencia de cuál es el marco normativo actualmente vigente, la regulación del derecho fundamental a la protección de datos va a ser objeto de una profunda reforma como consecuencia de la adopción de un Reglamento General de Protección de Datos, que será de aplicación directa, como todo Reglamento de la Unión Europea, a la totalidad de los Estados Miembros.
Si bien dicha norma no ha sido aún objeto de aprobación final, es preciso clarificar que en el momento de emisión de este informe existe ya un texto final de compromiso, aceptado en principio tanto por el Parlamento Europeo como por el Consejo, en que, como una de las muchas novedades del texto, se incluye a los datos biométricos que permitan la identificación unívoca de una persona dentro de la categoría de los denominados datos sensibles, equivalentes a los regulados en la Ley Orgánica 15/1999 como datos especialmente protegidos. EL propio Reglamento define los datos biométricos, en traducción no oficial, como “cualesquiera datos personales, obtenidos a partir de un tratamiento técnico específico, relativos a las características físicas, fisiológicas o conductuales de una persona que permitan o confirmen la identificación única de dicha persona, como imágenes faciales o datos dactiloscópicos”.
El régimen de los datos sensibles en el Reglamento queda sometido a especiales restricciones para su tratamiento, no siendo posible, entre otras cosas, proceder al mismo sobre la mera base del interés legítimo prevalente del responsable ni amparar dicho tratamiento directamente en la existencia de una relación jurídica entre el afectado y el responsable del tratamiento. Al propio tiempo, el tratamiento de datos sensibles implica, según el Reglamento, obligaciones adicionales a las impuestas con carácter general, tales como la realización de evaluaciones de impacto en protección de datos o la implantación de medidas de seguridad reforzadas.
La consecuencia de todo lo que ha venido indicándose es la necesidad de que, dada la naturaleza de los datos biométricos que serían objeto de tratamiento mediante la implantación de un sistema como el que se describe en la consulta, se extremen las medidas que garanticen que ese tratamiento resulta conforme a los principios contenidos en la Ley Orgánica 15/1999 y que, en la práctica, no se ve lesionado el derecho fundamental a la protección de datos de los alumnos, máxime si se tiene en consideración su condición mayoritaria de menores de edad, respecto de los que el texto del Reglamento, en su versión de compromiso ya aludida, extrema las exigencias en lo referido al tratamiento de datos.
Todo ello conduce nuevamente a la necesidad de valorar si en el supuesto planteado se cumplirían los presupuestos necesarios para apreciar la existencia de proporcionalidad en el tratamiento. A tal efecto, es preciso recordar que la citada proporcionalidad exige, según la doctrina del Tribunal Constitucional, siguiendo a tal efecto la sentada por el Tribunal Europeo de Derechos Humanos, la superación de un triple juicio, en el sentido de determinar si la medida adoptada es susceptible de conseguir el objetivo propuesto (juicio de idoneidad), si, además, es necesaria, en el sentido de que no exista otra medida más moderada para la consecución de tal propósito con igual eficacia (juicio de necesidad) y, finalmente, si la misma es ponderada o equilibrada, por derivarse de ella más beneficios o ventajas para el interés general que perjuicios sobre otros bienes o valores en conflicto (juicio de proporcionalidad en sentido estricto), es decir, si la injerencia producida en el titular del derecho objeto de restricción por la medida es la mínima en aras al logro del fin legítimo perseguido con aquélla.
Para la realización de la valoración a la que acaba de hacerse referencia, la consulta pone de manifiesto que el sistema cuya implantación se pretende es idóneo para el cumplimiento de la finalidad de control de asistencia al comedor que se persigue, indicándose que el mismo sirve a tal finalidad. Del mismo modo, se indica que el tratamiento permite atender a esa finalidad con un resultado más adecuado a los que hasta ahora habían sido objeto de implantación, que como se señala “se han mostrado tanto ineficaces como ineficientes para la finalidad perseguida”.
No obstante, para concluir el juicio de proporcionalidad necesario en este caso sería necesario que el sistema fuese el que produjese una menor intromisión en el derecho, de forma que no pudiera existir un sistema igualmente eficaz cuya implantación implicase una menor injerencia en el derecho de los alumnos.
Y es en este punto donde nuevamente debe traerse a colación todo lo que se ha venido indicando en relación con la especial naturaleza que a los datos biométricos va a conferir en el futuro el derecho de la Unión Europea y que exige una especial atención no sólo a la proporcionalidad sino a la propia minimización del datos; es decir, que el dato sólo sea objeto de tratamiento en tanto éste resulte completamente imprescindible para el cumplimiento de la finalidad perseguida.
Ciertamente, el sistema descrito implica la adopción de medidas reforzadas para garantizar la confidencialidad de los datos, tales como la conversión de la huella a su algoritmo, el cifrado de la información, la vinculación a un dato distinto de la identificación directa del alumno o la limitación de los protocolos de acceso a los datos. Sin embargo, cabría plantearse si no sería aún posible una menor injerencia en el derecho fundamental a la protección de datos de los alumnos que se produce como consecuencia del hecho de que el algoritmo de su huella digital se incorpora al sistema, permaneciendo en el mismo en tanto el alumno sea usuario del comedor del centro consultante, dado que en caso contrario no sería posible la verificación en tiempo real del uso de esas instalaciones.
A nuestro juicio este objetivo podría lograrse si se estableciese un sistema de control del acceso al comedor que, sin perjuicio de aplicar medidas de control biométrico, permitiera que el propio dato biométrico, la huella dactilar del alumno, permaneciese bajo el control de aquél y no fuera incorporado al sistema. De este modo, sería posible que la verificación se llevase a cabo a partir de un dispositivo que portase el propio alumno, de forma que el sistema únicamente almacenase la información referida al uso o no uso del comedor, sin que en ningún momento reflejase el algoritmo de la huella.
Así, sería posible que la información que según el sistema descrito sería recogida y almacenada en el propio sistema se incorporase a una tarjeta inteligente en poder del alumno que, para acceder a las instalaciones, hubiese de utilizar la tarjeta y al propio tiempo posicionar su huella sobre el lector. De este modo, en caso de que el algoritmo resultante del posicionamiento fuera coincidente con el que contuviera la tarjeta sería posible el acceso, no admitiéndose el mismo en caso de no producirse la citada coincidencia. El sistema así únicamente almacenaría la información identificativa del alumno y en ningún caso incluiría la relacionada con el algoritmo de la huella dactilar, lo que minimizaría la injerencia de la medida adoptada sin por ello perjudicar el resultado que la misma pretende conseguir, en los términos que se describen en la consulta.
En consecuencia, esta Agencia considera que sólo sería ajustado al principio de proporcionalidad un sistema de reconocimiento dactilar que, por una parte, y como en el supuesto planteado, quede reducido a determinadas dependencias del centro, particularmente el comedor y, por otra permita que los medios de verificación, en este caso el algoritmo de la huella dactilar del alumno, permanezcan en su poder y no sean incorporados al sistema, que sólo incluiría los datos referentes a la identificación del alumno que accede al comedor, al producirse una verificación positiva del mismo.
Informe Jurídico de la Agencia Española de Protección de Datos 2015
Escríbenos por WhatsApp