(Madrid, 28 de mayo de 2020). La Agencia Española de Protección de Datos (AEPD) ha publicado un informe en el que analiza varias cuestiones que se le han planteado relacionadas con la seguridad privada, entre las que se encuentra la licitud de incorporar sistemas de reconocimiento facial en los servicios de videovigilancia proporcionados por empresas seguridad privada.

El empleo de tecnologías de reconocimiento facial en los sistemas de videovigilancia implica el tratamiento de datos biométricos, a los que se aplica el Reglamento General de Protección de Datos (RGPD), que los cataloga como categorías especiales al tratarse de datos “dirigidos a identificar de manera unívoca a una persona física”. Esta tecnología supone un tratamiento que, en principio, se encuentra prohibido por el RGPD.

Para poder tratar esos datos, el informe analiza si es posible aplicar a dicha prohibición alguna de las excepciones recogidas en la normativa. La instalación de los sistemas de videovigilancia con fines de seguridad, que captan y graban imágenes y sonidos, podría ampararse en el interés público, tal y como se plantea en la consulta realizada a la Agencia. No obstante, si se tratan categorías especiales de datos, como en el caso de la utilización de tecnologías de reconocimiento facial, la normativa requiere que exista un “interés público esencial” para que pueda ser legítimo, profundizando así en la importancia y necesidad de mayor protección de los datos tratados.

La aplicación del interés público esencial como base de legitimación requiere de una norma con rango de ley que justifique en qué medida y en qué supuestos el empleo de la biometría respondería al mismo. La norma con rango de Ley que ampararía ese tratamiento de categorías especiales de datos no existe en el actual ordenamiento jurídico y, en el caso de tramitarse, tendría que justificar específicamente en qué medida y en qué supuestos la utilización de dichos sistemas respondería a un interés público esencial, así como incorporar garantías específicas como exige el Tribunal Constitucional. Asimismo, debería cumplir con el principio de proporcionalidad y superar el juicio de necesidad, en el sentido de que no exista otra medida más moderada con la que se consiguiera el mismo propósito con igual eficacia. La existencia de otras medidas que permiten la protección de las personas, bienes e instalaciones con una menor intrusión en el derecho de los afectados, exigiría una especial justificación de la necesidad de optar por el reconocimiento facial respecto de dichas otras medidas, estableciendo asimismo garantías reforzadas.

La Agencia rechaza, tal y como se planteaba en la consulta, que la legitimación reconocida para los sistemas de videovigilancia que sólo captan y graban imágenes y sonidos pueda abarcar otras tecnologías mucho más intrusivas para la privacidad como el reconocimiento facial u otras medidas biométricas como el reconocimiento de la forma de andar o el reconocimiento de voz. La regulación actual es insuficiente para permitir la utilización de técnicas de reconocimiento facial en sistemas de videovigilancia empleados por la seguridad privada, al no cumplir los requisitos anteriormente señalados.

Por último, la Agencia considera que existen supuestos excepcionales en los que podría quedar justificado el empleo de sistemas de reconocimiento facial siempre que la legislación lo prevea, como se ha mencionado con anterioridad, como en el caso de infraestructuras críticas. Sin embargo, la autorización, con carácter general, del empleo de sistemas de reconocimiento facial en los sistemas de videovigilancia empleados por la seguridad privada carece de base jurídica y sería desproporcionada, dada la intrusión y los riesgos que supone para los derechos fundamentales de los ciudadanos.

(Madrid, 8 de mayo de 2020). La Agencia Española de Protección de Datos (AEPD) ha publicado un informe en el que analiza cuestiones relativas al uso de técnicas de reconocimiento facial para realizar pruebas de evaluación online ante la situación de crisis sanitaria ocasionada por el COVID-19. Como ha reiterado la Agencia en las últimas semanas, la situación actual no implica la suspensión del derecho fundamental a la protección de datos, por lo que todo tratamiento de datos personales debe ajustarse a las previsiones del Reglamento General de Protección de Datos (RGPD).

En cuanto a la utilización del consentimiento como base legal para utilizar el reconocimiento facial, el Reglamento establece que el consentimiento del afectado debe ser libre y que no puede considerarse prestado de forma libre y, por tanto, válida cuando el afectado no goza de verdadera o libre elección o no puede denegar o retirar su consentimiento sin sufrir perjuicio alguno. Tampoco puede considerarse libre cuando existe un desequilibro claro entre el interesado y el responsable del tratamiento.

Partiendo de dichos criterios, la posibilidad de admitir un consentimiento libre de los alumnos que permitiera el empleo de técnicas de reconocimiento facial para tratar sus datos biométricos en las evaluaciones online requeriría que a los mismos se les ofreciera la posibilidad de realizar dichas evaluaciones en una situación equiparable en la que no fuera necesario su tratamiento, como pudiera ser la realización de la misma actividad presencialmente, u ofreciendo otras alternativas que no requieran el tratamiento de sus datos biométricos y que fueran equiparables en cuanto a su duración y dificultad respecto a las que se realicen con reconocimiento facial. En otro caso como, por ejemplo, si las actividades alternativas ofrecidas fueran más gravosas o implicaran una mayor dificultad, el consentimiento no podría considerarse libremente prestado. Y lo que no sería admisible, en ningún caso, es que como consecuencia de la denegación del consentimiento se denegara la posibilidad de matriculación o de acceder a la evaluación o cualquier otra consecuencia negativa importante para el alumno.

El informe añade que corresponde a las universidades, en virtud del principio de autonomía universitaria y como responsables del tratamiento, determinar en sus normas de evaluación y en sus planes de formación los procedimientos de evaluación que acrediten la igualdad entre los alumnos que consientan el tratamiento de sus datos biométricos y los que no lo hagan. Sólo así el tratamiento podría estar basado en el consentimiento.

Por otro lado, el tratamiento de datos personales necesarios para la prestación del servicio público de educación se legitima, con carácter general, en la existencia de un interés público. Sin embargo, en el caso del reconocimiento facial, al tratarse de categorías especiales de datos, el Reglamento requiere la existencia de un “interés público esencial” para que pueda ser legítimo, profundizando así en la importancia y necesidad de mayor protección de los datos tratados.

La aplicación del interés público esencial como base de legitimación requiere de una norma con rango de ley que justifique en qué medida y en qué supuestos la identificación de los alumnos mediante el empleo de la biometría respondería al mismo. Dicha norma, inexistente en la actualidad en el ordenamiento jurídico, exigiría una especial justificación de la necesidad de optar por el reconocimiento facial respecto otras medidas que permiten acreditar la identidad de los alumnos y supervisar los procesos de evaluación con una menor intrusión en los derechos de los afectados, definiendo asimismo las garantías técnicas, organizativas y procedimentales adecuadas y respetando el principio de proporcionalidad y la necesidad.

Por tanto, las técnicas de reconocimiento facial, que se realizan de forma continuada para la comparación del alumno con terceros al objeto de identificar una posible suplantación, implican el tratamiento de datos biométricos con la finalidad de identificar de forma unívoca a una persona física, por lo que exigen garantías reforzadas. A este respecto, la propia comunidad universitaria ha planteado medidas alternativas para la evaluación online menos intrusivas que permiten hacer frente a la situación generada por la declaración del estado de alarma. A ello se suma que el Gobierno ya ha iniciado el plan de desescalada que podría permitir realizar, con las restricciones que establezcan las autoridades sanitarias, pruebas presenciales. Por tanto, debe primar un criterio de prudencia que permita un análisis de sus implicaciones y, en todo caso, un riguroso estudio de los riesgos que implican esos tratamientos y de las garantías necesarias para proteger el derecho a la protección de datos personales, atendiendo al principio de responsabilidad proactiva, la necesidad de realizar los correspondientes análisis de riesgos, evaluaciones de impacto en la protección de datos y, si correspondiese, consulta previa a la autoridad de control.

(Madrid, 4 de mayo de 2020). La Agencia Española de Protección de Datos (AEPD) ha publicado hoy su Memoria 2019, que recoge de forma exhaustiva las actividades realizadas por esta institución, las cifras de gestión, las tendencias destacadas, las decisiones y procedimientos más relevantes del año, y un análisis de los retos presentes y futuros. Se trata de la primera Memoria que recoge un año completo desde la aplicación del Reglamento General de Protección de Datos (RGPD), que ha producido cambios importantes tanto para aquellos que tratan datos como en el funcionamiento interno de la Agencia.

La Memoria 2019 recoge un balance completo del Plan Estratégico de la Agencia que, presentado en 2015, ha finalizado en 2019 con 150 acciones que han tratado de dar respuesta al nuevo escenario normativo y contribuir a acompañar, facilitar y preparar a los diferentes actores implicados. La visión estratégica que incorporaba el Plan se ha ampliado con la presentación también en 2019 del Marco de Actuación en materia de Responsabilidad Social y Sostenibilidad, que incluye un plan de acción con más de 100 iniciativas para los próximos cinco años, todas ellas alineadas con los ODS de la Agenda 2030.

En esta línea, uno de los hitos más relevantes en el plano preventivo por su impacto social ha sido el lanzamiento en septiembre de 2019 del Canal prioritario para solicitar la eliminación urgente de contenidos violentos o sexuales en Internet, un servicio pionero que ha posicionado a la AEPD como la única autoridad europea de protección de datos que ofrece este servicio para combatir la violencia de género y, más ampliamente, la llamada violencia digital, que afecta especialmente a las mujeres y a los jóvenes en el entorno escolar. Durante 2019, se emitieron 18 órdenes de medida provisional urgente, y en todos los casos se alcanzó el objetivo de retirar el contenido original de la página web o red social.

Durante 2019 se han presentado ante la Agencia 11.590 reclamaciones. Con esta cifra, la Agencia vuelve al incremento anual que solía producirse antes de la aplicación del RGPD, que marcó un crecimiento extraordinario y puntual de un 33% respecto a 2017. Las reclamaciones planteadas con mayor frecuencia por los ciudadanos en 2019 hacen referencia a servicios de internet (13%), videovigilancia (12%), inserción indebida en ficheros de morosidad (12%) y reclamación de deudas y publicidad (excepto spam) (9%). Siguiendo con las reclamaciones, es importante hacer una referencia a los traslados, un trámite promovido por el RGPD y la LOPDGDD que tiene como objetivo facilitar la resolución amistosa de las mismas. Los traslados permiten que estas pueden resolverse más rápidamente, ofreciendo una respuesta satisfactoria al ciudadano en menor tiempo. Los traslados al responsable para que analice la reclamación y dé respuesta al ciudadano han crecido un 147%, pasando de 2.300 en 2018 a 5.691 en 2019.

Por su parte, otra de las novedades del escenario creado por el RGPD es el relativo a los casos transfronterizos. Con la aplicación del Reglamento, los ciudadanos pueden presentar reclamaciones ante cualquier autoridad europea y estas se trasladan esas reclamaciones para que sean atendidas adecuadamente. Los procedimientos transfronterizos procedentes de otras autoridades han subido en 2019 un 33%, pasando de 594 de 2018 a 709 en 2019. En cuanto a los casos con componentes transfronterizos que afectan a ciudadanos o a responsables en España, la AEPD colabora en su resolución. Durante 2019 la Agencia ha participado en 21 nuevos casos como autoridad principal y 565 como autoridad interesada, lo que supone un 140% de crecimiento respecto al año anterior.

En cuanto a las notificaciones de quiebras de seguridad ante la Agencia, el RGPD extiende la obligación de notificar las brechas de seguridad sufridas por las distintas entidades. Estas notificaciones son inicialmente recibidas por la Unidad de Estudios y Evaluación Tecnológicos (UEET) que, tras un primer análisis, valora si debe trasladar esa quiebra de seguridad a la Subdirección General de Inspección de Datos, dando lugar a actuaciones de investigación. La UEET ha recibido y analizado 1.459 notificaciones de quiebras de seguridad en 2019, una cifra que supone casi triplicar las que recibió el año anterior (547). En este punto, es necesario mencionar que sólo 79 se han remitido a Inspección al requerir de una investigación en profundidad, lo que supone poco más del 5%.

En 2019 se han dictado 338 resoluciones sancionadoras. Los resultados de la Memoria 2019 indican que se han reducido un 29% los tiempos medios en los que se resuelven los procedimientos sancionadores y un 22% los tiempos de actuaciones de investigación. En lo referente a la temática de los procedimientos sancionadores, destacan, por este orden: Videovigilancia (287), Servicios de Internet (58), Publicidad a través de correo electrónico o teléfono móvil (32), Telecomunicaciones (21) y Administración Pública (15). Las áreas con mayor importe global de multas corresponden a Directorios (2,9 millones de euros), Telecomunicaciones (641.000), Contratación fraudulenta (620.620) y Quiebras de seguridad (460.000).

En cuanto a las cifras de delegados de protección de datos (DPD) notificados ante la Agencia, el ejercicio de 2019 se cerró con 50.326 Delegados de Protección de Datos (44.069 del sector privado y 6.257 del sector público). En lo relativo a los servicios de ayuda que presta la Agencia para la adaptación al Reglamento, la Agencia ha recibido casi 3.000 consultas a través del canal INFORMA_RGPD. Los temas más demandados han sido aquellos relacionados con la necesidad de nombrar un Delegado de Protección de Datos; las figuras del encargado, responsable y corresponsable; el tratamiento de datos en el ámbito laboral debido a los cambios legislativos (registro de jornada laboral y tratamiento de datos biométricos) y la videovigilancia.

Por otro lado, la multipremiada herramienta Facilita_RGPD, orientada a pymes que realizan tratamientos de bajo riesgo, continúa activa en la web de la Agencia. Desde su lanzamiento en septiembre de 2017, más de 800.000 pymes y autónomos han accedido a ella y más de 200.000 empresas han obtenido los documentos mínimos para promover el cumplimiento. La Agencia también ofrece la herramienta Gestiona_EIPD, un asistente para el análisis de riesgos y las evaluaciones de impacto en protección de datos para pymes lanzado en julio de 2019 y que ha sido utilizado en casi 3.000 ocasiones.

Por último, se han planteado 1.502 cuestiones sobre menores ante el Canal Joven de la Agencia. La temática de las consultas que se suelen recibir con mayor frecuencia son las siguientes: publicación de imágenes de menores en redes sociales por parte de padres separados, consentimiento de los padres para la publicación de imágenes en webs de los colegios o redes sociales, videovigilancia en colegios o grabación de imágenes en los eventos escolares.