Desde hace varios meses está sobre la mesa el debate acerca de la licitud a la hora de implantar sistemas de reconocimiento facial a la entrada de determinados comercios, en aeropuertos y en empresas.

Según Wikipedia

«El sistema de reconocimiento facial es una aplicación dirigida por ordenador que identifica automáticamente a una persona en una imagen digital. Esto es posible mediante un análisis de las características faciales del sujeto extraídas de la imagen o de un fotograma clave de una fuente de vídeo, y comparándolas con una base de datos.»

La incorporación de esta tecnología se ha convertido en los últimos años en un área de investigación activa que abarca diversas disciplinas y que, por su naturaleza amigable, este tipo de sistemas siguen siendo atractivos a pesar de la existencia de otros métodos muy fiables de identificación personal biométricos, como el análisis de huellas dactilares y el reconocimiento del iris. Y por otra parte ha levantado muchas dudas acerca de su implicación con respecto a la normativa vigente en materia de protección de datos. En este sentido, la Agencia Española de Protección de Datos (AEPD) ha publicado una nota, donde se analizan catorce puntos que afectan a la identificación y autenticación biométrica de personas, aplicable a los sistemas de reconocimiento facial.

Este debate que se asomó tímidamente en tiempos de confinamiento ha cobrado ahora más fuerza, cuando hace unos meses, el grupo de supermercados Mercadona informaba que había activado un sistema de reconocimiento facial denominado «sistema de detección anticipada» en la entrada de algunas de sus tiendas (en total unas 40) en Mallorca, Valencia y Zaragoza

La política de privacidad de Mercadona específica que:

 “De igual modo te informamos que, con el fin de mejorar la seguridad de clientes y empleados, MERCADONA, en base al interés público puede tratar su imagen o su perfil facial biométrico para identificar a sujetos con una orden de alejamiento (o medida judicial análoga) en vigor contra MERCADONA o contra cualquiera de sus trabajadores (en aquellas tiendas de España donde está implantado el sistema de detección anticipada). Dicha imagen únicamente se utilizará con esta finalidad y permanecerá en el servidor central únicamente en el proceso de comprobación (esta comprobación dura décimas de segundo). Una vez realizada esta comprobación procederá a ser destruida definitivamente (en aquellas tiendas de España donde está implantado el sistema de detección anticipada)”.

Y, en lo que respecta al tratamiento de datos sensibles:

En el caso del tratamiento de los datos de carácter sensible serán tratados por razones de interés público con las consiguientes consideraciones previstas por la normativa de protección de datos, que debe ser proporcional al objetivo perseguido, que es hacer cumplir la ley, respetando los restantes principios de la normativa de protección de datos y estableciendo las medidas adecuadas y específicas para proteger los intereses y derechos de los interesados, sobre la base del Derecho de la Unión o de los Estados miembros ( en aquellas tiendas de España donde está implantado el sistema de detección anticipada).

¿Qué se sabe sobre el sistema de reconocimiento facial implantado en los supermercados?

Teniendo en cuenta las informaciones accesibles y que aún no ha concluido públicamente la investigación en curso de la AEPD, la finalidad de la adopción de esta medida, es identificar a aquellas personas que hayan sido previamente condenadas mediante sentencia firme a entrar en los establecimientos de la cadena de supermercados en cumplimiento de una orden de alejamiento o medida judicial similar en vigor contra Mercadona o contra cualquiera de sus trabajadores. El análisis realizado por este nuevo sistema analizará, en menos de 0,3 segundos, a los usuarios que accedan al comercio, y únicamente identificará a aquellos que hayan sido condenados con una sentencia judicial firme.

La compañía insiste en que el sistema es absolutamente legal y ha estado en contacto con la AEPD durante la planificación del proyecto. El software, que ha sido desarrollado por una compañía israelí llamada AnyVision, no almacena las imágenes. ¿Y de dónde saca Mercadona las imágenes de los delincuentes? El sistema “se nutre con las imágenes generadas por las cámaras de videovigilancia que han sido aportadas como prueba en el procedimiento judicial donde ha sido dictada la sentencia”. “Todas las imágenes salen a través de las resoluciones nacionales”, aseguran desde Mercadona.

La polémica está planteada, pues existe una gran cantidad de clientes que han rechazado la incorporación de dichas medidas, en algunos casos, alegando que la adopción de esta nueva tecnología infringe la normativa de protección de datos. Pero ¿es verdad que estos nuevos sistemas de reconocimiento facial vulneran la normativa vigente? En este caso, ¿Mercadona está legitimada legalmente para adoptar dichas medidas?

Por la necesidad de aclarar estas cuestiones, conviene analizar qué clase de datos pueden ser tratados a través de un sistema de reconocimiento facial por medio de la obtención de datos biométricos.

En el caso de Mercadona, los datos biométricos se obtienen de los clientes a través de las cámaras de seguridad del supermercado cuando los clientes acceden al supermercado.

Pero, ¿Cuál es la diferencia entre identificar y autenticar? “Identificar no es lo mismo que autenticar”. Autenticar significa comprobar si los patrones de puntos de una cara coinciden con el patrón de solo una cara en concreto. Esta situación se puede dar, por ejemplo, en aeropuertos al introducir el pasaporte en una máquina y mirar a cámara. En este caso, el sistema comprueba que eres quien dices ser.

Pero identificar supone poner en relación un patrón con muchos otros patrones. Es decir, cotejar el patrón biométrico de una persona en concreto con todos los patrones que forman parte de una base de datos. Es aquí donde la normativa “es especialmente restrictiva a la hora de permitir el uso de esta tecnología para el tratamiento de datos personales”.

Los datos biométricos necesitan una protección especial ya que, como se pone de manifiesto en la nota de la AEPD, “A diferencia de una contraseña o un certificado, los datos biométricos recogidos durante un procedimiento de autenticación o identificación revela más información personal sobre el sujeto. Dependiendo de los datos biométricos recogidos, pueden derivarse datos del sujeto como su raza o género (incluso de las huellas dactilares), su estado emocional, enfermedades, discapacidades y características genéticas, consumos de sustancias, etc. Al estar implícita, el usuario no puede impedir la recogida de dicha información suplementaria”.

Dicha protección especial deberá ser proporcional y respetar los principios relativos al tratamiento de datos personales en general (licitud, lealtad e información clara y transparente). El hecho de que los datos biométricos estén categorizados por el RGPD como de especial protección no implica una restricción a su tratamiento, sino la exigencia legal de la adopción de una serie de medidas más especificas tendentes a una mayor protección de dicho dato en su utilización.

El dato personal, también el biométrico, se protege legalmente para que pueda ser utilizado, no para su inutilización o bloqueo injustificado.

A la pregunta de si se está vulnerando la normativa vigente, la respuesta es que, por defecto, no vulneran la normativa. Pero como en Derecho las respuestas absolutas pueden admitir argumentos de contrario, sí hay requisitos que se han de cumplir, y con las máximas garantías técnicas y organizativas, para asegurar la licitud y la legalidad del tratamiento de datos personales incluidos los biométricos.

El consentimiento expreso del interesado, que puede prestarse no sólo por “declaración” sino también por la realización de una “acción afirmativa”, es poco cuestionable en este caso. El hecho de acceder al supermercado (pues no existe obligación de acceder) previa información escrita y gráfica de la utilización de este sistema conlleva la aceptación expresa de someterse al uso de esta tecnología, pues no hay duda de la información ofrecida al usuario mediante un aviso previo por medio de carteles informativos ubicados en los accesos al recinto.

A partir de esta situación legítima, conviene centrarnos en la categoría de datos, en este caso biométricos, que van a ser recogidos, pues no tendrán la misma consideración las imágenes captadas por una cámara de videovigilancia.

Como se ha adelantado, el dato biométrico es considerado dato de carácter especial y por tanto su tratamiento queda prohibido, a no ser que se dé alguna de las causas excepcionales establecidas en el art. 9.2 del RGPD. En este caso la finalidad por la que Mercadona a instalado dicho sistema de reconocimiento facial queda amparada en una de las causas del citado artículo, concretamente en el apartado 9.2.f) del RGPD, que establece que el tratamiento será lícito cuando sea “necesario para la formulación, el ejercicio o la defensa de reclamaciones o cuando los tribunales actúen en ejercicio de su función judicial”, y particularmente para la específica y legítima finalidad de la ejecución de las sentencias firmes dictadas con órdenes de alejamiento sobre personas concretas previamente identificadas.

En este sentido, tal y como se informa en los carteles que se han colocado en las entradas de los supermercados, la finalidad del tratamiento de datos personales radica en “detectar únicamente a aquellas personas con una orden de alejamiento o medida judicial análoga, en vigor que pueda suponer un riesgo para su seguridad”. Por ello, y con base en el art. 9.2.f) del RGPG, Mercadona estaría legitimada para tratar los datos personales biométricos únicamente de aquellos individuos con la finalidad de identificar personas concretas previamente condenadas y con medidas judiciales a cumplir respecto de Mercadona.

¿Cómo puede afectar a los clientes el sistema de reconocimiento facial?

El sistema ha de ser muy riguroso para evitar situaciones no justificadas. ¿La prohibición de acceso por haber cometido hurtos en los Mercadona de mi ciudad implica solo los establecimientos de mi ciudad o todos los abiertos en España? Además, si pesa sobre mí una orden de alejamiento de mi expareja, que trabaja en un centro en Valencia, no hay motivo para que yo no pueda comprar en un Mercadona de Palma de Mallorca.

¿Y si el sistema, identifica a una persona de forma incorrecta? Esto podría conllevar una vulneración del derecho al honor. Los programas de inteligencia artificial cometen fallos; esto se debe en parte a que los conjuntos masivos de datos con los que los algoritmos son entrenados están condicionados por nuestros conocimientos y perjuicios

¿A que se enfrenta Mercadona?

Si la AEPD llegara a la conclusión de que ha habido una infracción legal, habría sanción segura. Al tratarse de datos considerados de categoría especial, se aplicaría el artículo 83.5 RGPD que establece un régimen sancionador muy severo con multas de hasta 20 millones de euros o, en el caso de una empresa, el 4 % de su volumen de negocios anual mundial

Entretanto, cabe esperar la resolución que dicte la AEPD sobre la utilización de esta clase de tecnologías, pues hasta ahora se percibe una postura reacia que plantea serias dudas y reservas a su utilización.

En mi opinión, el éxito o arrinconamiento del reconocimiento facial dependerá de cómo de estrictas sean las autoridades de control y los tribunales en la interpretación de los requisitos que habilitan su tratamiento; una postura contraria a la utilización de estas tecnologías, si cumplen con los requisitos legales establecidos en el RGPD, supondría deshacer lo recorrido durante estos dos años con la aplicación del RGPD y con la legislación española.