Una reciente respuesta de la AEPD sobre el proceso de identificación biométrica para el alta de clientes de una entidad de crédito permite precisar el criterio de la Guía sobre tratamientos de control de presencia mediante sistemas biométricos (en revisión). No supone, sin embargo, una habilitación general para implantar sistemas biométricos en las empresas.
El origen de la consulta: fraude y contratación a distancia
El punto de partida es una consulta planteada por el delegado de protección de datos de una entidad financiera a la AEPD (no en el marco de una EIPD, solicitando consulta previa para el inicio del tratamiento). La entidad pretendía incorporar una herramienta de verificación facial(1:1) a su proceso de alta de nuevos clientes, desarrollado, por tanto, íntegramente a distancia. No se trataba de identificar a una persona desconocida en una base de datos de rostros (1:N), sino de comprobar si la persona que solicita contratar es la titular del documento de identidad que presenta en el momento del alta.
Hasta entonces, la entidad obtenía una imagen del documento identificativo y una grabación del solicitante. Un empleado de backoffice comprobaba visualmente si existía correspondencia entre ambas imágenes. El sistema había detectado fraudes, pero la entidad alegaba limitaciones de la revisión humana ante la manipulación de documentos, las suplantaciones y el incremento de las altas digitales.
La propuesta añadía un cotejo facial automatizado 1:1 y una prueba de vida, conservando la comprobación documental y la revisión humana posterior de los resultados positivos. Las referencias biométricas se generarían solo para la comparación y se eliminarían después, sin incorporarse a una base de datos biométrica de clientes. Algunos resultados negativos impedirían continuar por ese flujo digital y redirigirían a un canal alternativo.
El “nuevo” criterio de la AEPD
La verificación 1:1 sigue siendo un tratamiento sensible. Aunque la Agencia distingue la autenticación de una identidad declarada (1:1) de la búsqueda identificativa entre múltiples personas (1:N), ambas están sometidas al artículo 9 RGPD. La diferencia importa para medir la injerencia, no para dispensar de una excepción legal del art. 9.2 RGPD.
La obligación sectorial de identificar clientes en materia de prevención de blanqueo de capitales y financiación del terrorismo puede fundamentar operaciones de identificación necesarias basadas en el artículo 6.1.c RGPD, pero no habilita automáticamente la tecnología biométrica para ello. Para la operación de reconocimiento facial consultada, el informe examina el consentimiento explícito del artículo 9.2.a, que debe ser libre, específico, informado y revocable. Por ello, en este caso, requiere una alternativa no biométrica efectiva, doble en este caso, esto es, tanto presencial como remota con firma electrónica cualificada o DNIe, sin condiciones gravosas que empujen al interesado a aceptar el reconocimiento facial.
La AEPD considera suficientes, a priori, los datos de fraude y los ensayos técnicos aportados por el responsable del tratamiento para sostener la idoneidad y necesidad del sistema, pero exige un piloto y seguimiento en producción para comprobar esa hipótesis. Asimismo, se aportan certificaciones de la solución propuesta que acreditan un bajo margen de error (falsos negativos del 1,27 % y una tasa de falsos positivos igual o inferior a una por cada millón de comparaciones) que la AEPD considera elementos objetivos que, juntamente con el resto decontroles, permiten afirmar que el tratamiento es apto para la indicada finalidad. In fine, determinar el nivel de eficacia depende del contexto del responsable.
La evaluación de la necesidad exige comparar eficacia, no solo intrusión. La existencia de un procedimiento manual o de identificación electrónica no excluye por sí misma la biometría por el hecho de ser menos intrusivos. Debe valorarse si la alternativa menos invasiva alcanza razonablemente el mismo objetivo con eficacia equivalente. Solo cuando concurra esa equivalencia la existencia de la alternativa determinará que el tratamiento más intrusivo no resulte necesario. Teniendo en cuenta la documentación y alternativas propuestas por el responsable, el tratamiento supera el juicio de necesidad.
Las salvaguardas técnicas y las obligaciones posteriores son decisivas. El carácter puntual del cotejo, la ausencia de repositorio y la supresión inmediata de plantillas sustentan la proporcionalidad favorable. Permanecen pendientes la descripción exacta de la arquitectura del sistema, la justificación de los plazos de conservación de evidencias del procedimiento (más allá de la eliminación de las plantillas), la revisión de decisiones automatizadas potencialmente significativas (artículo 22 RGPD) y las garantías contractuales del artículo 28 RGPD. Una certificación o un ensayo de laboratorio no bastan por sí solos para demostrar la eficacia real.
Sobre la excepción del art. 9.2.g) del RGPD
Además, la AEPD deja la puerta abierta a analizar la vía del art. 9.2.g) para levantar la prohibición general de tratamiento de los datos biométricos para esta finalidad, esto es:
“Cuando el tratamiento biométrico se encuentre estrictamente vinculado a una obligación legal de identificación y concurra un interés público esencial, la suficiencia del marco normativo deberá valorarse atendiendo conjuntamente al artículo 9.2.g) RGPD, al artículo 9.2 LOPDGDD y a las exigencias constitucionales de previsibilidad y garantías. La existencia de obligaciones legales de identificación no implica, por sí sola, que concurra un interés público esencial que habilite el tratamiento de datos biométricos. Hay que justificar separadamente la excepción del artículo 9.2 RGPD y comprobar que la norma ofrece una cobertura suficiente para el tratamiento concreto.
Como ya ha señalado esta Agencia, el grado de precisión normativa exigible debe ponerse en relación con la naturaleza, alcance y riesgo real del tratamiento, sin que resulte necesariamente exigible idéntica densidad normativa para una identificación biométrica masiva y para una verificación puntual, localizada y rodeada de garantías. Este criterio no elimina la reserva de ley ni las garantías exigidas por la doctrina constitucional, pero impide resolver la cuestión mediante el único automatismo de exigir que la norma mencione expresamente la concreta tecnología utilizada.
En el ámbito de prevención de blanqueo de capitales, la existencia de un marco legal y reglamentario específico sobre identificación formal y relaciones no presenciales, complementado por los procedimientos autorizados por SEPBLAC y las Directrices EBA, constituye un elemento que deberá ponderarse cuando proceda examinar esta vía.”
Esto es, que no puede descartarse esta vía por el mero hecho de que la norma en cuestión no establezca expresamente el recurso a la tecnología concreta a la que se puede acudir, en este caso, la biometría.
Además, se apunta a la propuesta Ómnibus que propone incorporar una nueva excepción al art. 9.2 referida al tratamiento de datos biométricos necesarios para confirmar la identidad declarada de una persona cuando sus datos permanezcan bajo su control en exclusiva.
Una valoración favorable para un supuesto muy concreto
La AEPD ha examinado una consulta relativa a la verificación facial uno-a-uno (1:1) durante el alta remota de clientes de una entidad financiera. El procedimiento compara temporalmente la imagen obtenida en el proceso con la fotografía del documento de identidad, sin búsquedas contra bases poblacionales ni conservación de plantillas para usos posteriores. La Agencia considera que el proyecto supera, ex ante, los juicios de idoneidad, necesidad y proporcionalidad, siempre que se cumplan las condiciones examinadas en su informe.
El pronunciamiento es informativo, no vinculante y no constituye una autorización del sistema, del proveedor ni de su configuración técnica. El análisis versa sobre una operación de verificación inicial para prevenir suplantaciones de identidad, no sobre el registro diario de jornada ni sobre el acceso recurrente de trabajadores a instalaciones, si bien, evidentemente, deberán tenerse en cuenta los criterios de idoneidad, necesidad (en especial) y proporcionalidad.
At a glance: comparativa entre la guía de 2023 (en revisión) y el informe actual
| Aspecto | Guía AEPD de 2023: control de presencia mediante biometría | Informe sobre reconocimiento facial paraalta remota de clientes |
| Finalidad | Registro de jornada y control de acceso, laboral o con otras finalidades. | Confirmación puntual de identidad y prevención del fraude en la contratación remota. |
| Operación 1:1 | También se considera tratamiento de categoría especial del art. 9 RGPD. | Se mantiene el art. 9, pero se pondera su menor injerencia frente al 1:N. |
| Título habilitante | Ni el registro de jornada (art. 34.9 ET) ni las facultades de vigilancia y control (art. 20.3 ET) bastan para levantar la prohibición del art. 9. El art. 9.2.b exige una norma con rango de ley que concrete el uso de biometría. | Consentimiento del interesado (art. 6.1 a) + 9.2 a) |
| Análisis del consentimiento | No levanta la prohibición con carácter general en el empleo (desequilibrio entre las partes) ni en el control de acceso no laboral. | Posible si es libre, explícito y existe una alternativa no biométrica real: la presencial basta solo si se acompaña de otra vía remota no biométrica. |
| Alternativas y necesidad | La disponibilidad de opciones menos intrusivas equivalentes cuestiona la necesidad. | Para la necesidad, la alternativa ha de ser menos intrusiva y de eficacia equivalente para excluir la biometría; para la libertad del consentimiento basta una (o dos) alternativa real. |
| Diseño y riesgo | Exige especial rigor en minimización, EIPD, garantías y finalidad. | Supresión inmediata de plantillas, no reutilización, seguridad y revisión humana posterior de los resultados positivos. |
| Resultado | Enfoque muy restrictivo del control de presencia biométrico: no hay norma con rango de ley y el consentimiento no levanta la prohibición con carácter general. | Valoración favorable ex ante, condicionada y sin efecto autorizante. |
Consecuencias prácticas para las empresas
El informe no permite concluir que el reconocimiento facial o la huella dactilar puedan implantarse ahora, sin más, por ejemplo, para fichar o para acceder a un centro de trabajo. Persisten las objeciones específicas de la guía de 2023, esto es, la ausencia de una habilitación suficientemente concreta para acudir a la excepción del artículo 9.2.b, las dificultades del consentimiento en una relación de subordinación y la presencia habitual de soluciones alternativas de menor impacto.
Sí ofrece una metodología útil para cualquier proyecto biométrico que resulte jurídicamente viable siempre que se puedan identificar separadamente las operaciones y finalidades,documentar las bases del artículo 6 y la excepción del artículo 9, comparar opciones sobre pruebas de eficacia verificables, diseñar la tecnología para limitar capturas, accesos y conservación, realizar la evaluación de impacto que corresponda y revisar periódicamente la justificación tras su puesta en funcionamiento.
¿Un cambio de criterio de la AEPD?
Más que una rectificación general, el informe refleja una aplicación contextualizada de los mismos principios y, sobre todo, una matización del juicio de necesidad. La AEPD preserva la especial protección jurídica de la biometría, pero rechaza equiparar automáticamente todos sus usos en términos de riesgo y necesidad. Lo decisivo no es que el sistema sea 1:1, sino que la finalidad legítima, la eficacia acreditada, la libertad de elección y las garantías técnicas y organizativas concurran realmente.
Por ello, mientras el supuesto de alta remota puede superar el análisis bajo las condiciones expuestas, el fichaje y el control de acceso laborales siguen necesitando una justificación autónoma que el nuevo informe no proporciona. Las organizaciones deberían revisar cada diseño concreto antes de extraer conclusiones extensivas.
Revisado por Gerard Espuga Torné, abogado experto en protección de datos y derecho digital.
