Datos biométricos: consentimiento expreso y cuatro informaciones obligatorias
En la nueva ley de protección de datos personales, los datos biométricos son datos sensibles y su tratamiento exige, en general, consentimiento expreso, libre, específico, inequívoco e informado, que el responsable debe poder probar. Además, debe informar a la persona el sistema usado, la finalidad específica, el período de uso y cómo ejercer sus derechos.
En breve
- Los datos biométricos figuran por su nombre entre los datos sensibles.por validar
- En general, tratarlos requiere consentimiento expreso, salvo los casos que la ley señala: una declaración escrita, verbal o un medio tecnológico equivalente.por validar
- El responsable debe informar cuatro cosas: el sistema biométrico usado, la finalidad específica, el período de uso y cómo ejercer los derechos.por validar
- Si otra base legal, como la laboral, puede reemplazar el consentimiento en un sistema biométrico de asistencia o acceso es un punto a confirmar con tu asesor legal.por validar
Los datos biométricos son datos sensibles
La ley incluye expresamente los datos biométricos en la lista de datos personales sensibles, junto con los datos de salud, el perfil biológico humano, el origen étnico o racial, la afiliación política, sindical o gremial, la situación socioeconómica, las convicciones, las creencias y la vida sexual.por validar
Qué significa en tu operación
- Identificar qué sistemas de tu operación tratan datos biométricos, porque pasan a ser datos sensibles.por validar
- Aplicar a esos sistemas las reglas de los datos sensibles, no las de los datos comunes.por validar
Qué es un dato biométrico
Son datos biométricos los obtenidos a partir de un tratamiento técnico específico, relativos a las características físicas, fisiológicas o conductuales de una persona, que permiten o confirman su identificación única.por validar
La ley da como ejemplos la huella digital, el iris, los rasgos de la mano o faciales y la voz.por validar
[por validar] Un código QR, una tarjeta RFID o un RUT leído o digitado no son rasgos del cuerpo de la persona. Ninguna fuente revisada lo dice expresamente, así que esta lectura está pendiente de validación con tu asesor legal.por validar
Qué significa en tu operación
- Preguntar, por cada método de identificación, si se obtiene con un tratamiento técnico de rasgos de la persona.por validar
- Documentar la respuesta por método y revisarla con tu asesor legal.por validar
| Medio de identificación | Rasgo de la personapor validar | Lecturapor validar |
|---|---|---|
| Huella digital, iris, rasgos faciales, mano o vozpor validar | Sí: son características físicas, fisiológicas o conductuales, y son los ejemplos que da la ley. | Datos biométricos cuando se obtienen con un tratamiento técnico que permite o confirma la identificación única. |
| Código QRpor validar | [por validar] No es un rasgo del cuerpo. | [por validar] Fuera de la definición; pendiente de confirmar con tu asesor legal. |
| Tarjeta RFIDpor validar | [por validar] No es un rasgo del cuerpo. | [por validar] Fuera de la definición; pendiente de confirmar con tu asesor legal. |
| RUT leído de la cédula o digitadopor validar | [por validar] No es un rasgo del cuerpo. | [por validar] Fuera de la definición; pendiente de confirmar con tu asesor legal. |
Consentimiento expreso
El tratamiento de datos sensibles solo puede hacerse cuando la persona manifiesta su consentimiento de forma expresa, mediante una declaración escrita, verbal o un medio tecnológico equivalente. Para los datos biométricos, la ley remite a esta regla.por validar
Consentimiento es toda manifestación de voluntad libre, específica, inequívoca e informada, otorgada mediante una declaración o una clara acción afirmativa, por la cual la persona, su representante o su mandatario autoriza el tratamiento.por validar
Debe ser previo y específico en cuanto a su finalidad. La persona puede revocarlo en cualquier momento y sin expresar causa, sin efecto retroactivo. Corresponde al responsable probar que contó con el consentimiento.por validar
Qué significa en tu operación
- Guardar una prueba del consentimiento de cada persona, porque el responsable debe poder demostrarlo.por validar
- Dejar claro para qué finalidad se pide el consentimiento, sin mezclar finalidades.por validar
- Ofrecer una forma simple de revocar el consentimiento y registrar la revocación.por validar
Las cuatro informaciones obligatorias
Los datos biométricos solo pueden tratarse si se respeta la regla del consentimiento expreso y, además, el responsable entrega a la persona cuatro informaciones.por validar
Qué significa en tu operación
- Informar la identificación del sistema biométrico usado.por validar
- Informar la finalidad específica para la cual se usarán los datos recolectados por el sistema.por validar
- Informar el período durante el cual se usarán los datos biométricos.por validar
- Informar la forma en que la persona puede ejercer sus derechos.por validar
Tratamiento sin consentimiento: los casos que la ley señala
Los datos biométricos podrán tratarse sin consentimiento solo en los casos que la ley señala para los datos de salud y del perfil biológico de la persona.por validar
Esos casos, tal como los lista el texto, son: proteger la vida o la integridad de la persona o cuando ella no puede consentir; una alerta sanitaria decretada legalmente; fines históricos, estadísticos o científicos; la defensa de un derecho ante los tribunales; la medicina preventiva o laboral, la evaluación de la capacidad laboral del trabajador, el diagnóstico médico y servicios de salud relacionados; y los casos en que la ley lo permita e indique expresamente la finalidad.por validar
Esta lista se transcribe sin interpretarla. Si un caso concreto de tu operación entra en ella es un punto a confirmar con tu asesor legal.por validar
Qué significa en tu operación
- No dar por supuesto que existe un caso sin consentimiento para tu sistema; confirmarlo antes con tu asesor legal.por validar
Punto abierto: asistencia y acceso con biometría en el trabajo
Si otra base legal, como el ejercicio de derechos y obligaciones en el ámbito laboral, puede reemplazar el consentimiento en un sistema biométrico de asistencia o acceso no está resuelto por el texto revisado: es un punto a confirmar con tu asesor legal.por validar
El texto revisado contiene, entre los casos de tratamiento de datos sensibles sin consentimiento, uno referido al ejercicio de derechos y al cumplimiento de obligaciones en el ámbito laboral o de seguridad social, dentro del marco de la ley. Para los datos biométricos, el mismo texto remite a los casos señalados para los datos de salud y del perfil biológico. Ninguno de los dos pasajes responde la pregunta por sí solo.por validar
El texto revisado también presume que el consentimiento no fue libremente otorgado cuando se recoge en el marco de un contrato o de un servicio en que esa recolección no es necesaria. Esa regla no se aplica cuando quien ofrece bienes, servicios o beneficios requiere como única contraprestación el consentimiento para tratar datos. Cómo se aplica a un sistema concreto es un punto a confirmar con tu asesor legal.por validar
Qué significa en tu operación
- Llevar esta pregunta a tu asesor legal antes de usar un sistema biométrico de asistencia o acceso sin consentimiento.por validar
- Mientras no esté confirmada otra base, recoger el consentimiento expreso descrito en esta guía.por validar
Cuando un tercero trata los datos por encargo
El responsable es quien decide los fines y medios del tratamiento. El encargado es quien trata los datos por cuenta del responsable.por validar
Si hay una vulneración de las medidas de seguridad, el encargado debe reportarla al responsable.por validar
Terminado el servicio, los datos que obran en poder del encargado deben suprimirse o devolverse al responsable, según corresponda.por validar
Qué significa en tu operación
- Acordar por escrito con cada proveedor cómo y en qué plazo reporta una vulneración.por validar
- Acordar qué ocurre con los datos al terminar el servicio: supresión, devolución o ambas.por validar
Cómo responde BiometryPass
- De los cinco métodos de identificación, solo el reconocimiento facial trabaja con datos biométricos. El QR dinámico, la credencial con QR, la tarjeta RFID y el lector de RUT, según su descripción, no los usan.por validar
- Del rostro se guarda una representación numérica, con la que no se reconstruye una fotografía, y, cuando el cliente la activa, la foto de cada registro, que se conserva sesenta días para auditar la facturación y luego se borra.por validar
- Quien elige el rostro da su consentimiento expreso en el portal del comensal y puede revocarlo cuando quiera.por validar
- Cada persona puede cambiar de método en el portal del comensal, dentro de los métodos que su empresa habilitó.por validar
- [por validar] Durante cuánto tiempo se usa la representación numérica del rostro y quién fija ese período.por validar
- [por validar] Cómo se registra y se conserva la prueba del consentimiento, y qué alternativa sin biometría existe en cada instalación.por validar
- [por validar] El texto exacto con que se informa a la persona el sistema usado, la finalidad, el período de uso y la forma de ejercer sus derechos.por validar
Tecnologías relacionadas
Preguntas frecuentes
¿La huella, el rostro o la voz son datos biométricos?por validar
La ley da como ejemplos la huella digital, el iris, los rasgos de la mano o faciales y la voz. Para que sean datos biométricos deben obtenerse con un tratamiento técnico específico que permita o confirme la identificación única de la persona.
¿El consentimiento tiene que ser por escrito?por validar
No necesariamente. Debe ser expreso, y puede darse por una declaración escrita, verbal o un medio tecnológico equivalente. Además debe ser libre, específico, inequívoco e informado, y el responsable debe poder probar que lo obtuvo.
¿Una persona puede retirar su consentimiento?por validar
Sí. Puede revocarlo en cualquier momento y sin expresar causa. La revocación no tiene efecto retroactivo.
¿Qué debe informar el responsable antes de usar un sistema biométrico?por validar
Cuatro cosas: el sistema biométrico usado, la finalidad específica para la que se usarán los datos, el período durante el cual se usarán y la forma en que la persona puede ejercer sus derechos.
¿Un QR, una tarjeta RFID o un RUT son datos biométricos?por validar
[por validar] La ley define el dato biométrico por el tratamiento técnico de rasgos físicos, fisiológicos o conductuales de la persona, y un código, una tarjeta o un número no son rasgos del cuerpo. Ninguna fuente revisada lo dice expresamente, así que es un punto a confirmar con tu asesor legal. La descripción de BiometryPass los presenta como métodos que no usan datos biométricos.
¿Un empleador puede usar un sistema biométrico de asistencia sin pedir consentimiento?por validar
Es un punto a confirmar con tu asesor legal. El texto revisado no resuelve si una base legal laboral puede reemplazar el consentimiento en un sistema biométrico de asistencia o acceso.
Fuentes
- Texto oficial de la nueva ley de protección de datos personales, que se publica en el Diario Oficial (fecha y enlace por confirmar): regula el tratamiento de los datos personales y crea la Agencia de Protección de Datos Personales.por validar
- Consulta el texto oficial vigente de la nueva ley para confirmar cada punto.por validar
Aviso
Este contenido es informativo: resume la nueva ley y describe cómo trabaja BiometryPass en lenguaje claro. No constituye asesoría legal, auditoría ni certificación, y no reemplaza la revisión de un abogado sobre tu caso.por validar