- La sentencia refleja, en parte, la tensión entre el uso habitual de la biometría en la práctica y la definición de la biometría como "datos de categoría especial" según el RGPD. Los expertos reclaman pautas más claras en el uso de este tipo de tratamientos biométricos
Yoti ha sido multada con 950.000 euros (aproximadamente 1,1 millones de dólares estadounidenses) por la Agencia Española de Protección de Datos (AEPD) por el manejo de datos biométricos y otros datos en su aplicación de identidad digital. La AEPD ha dictaminado que Yoti infringió tres cláusulas del Reglamento General de Protección de Datos (RGPD) de la UE.
La resolución cuestiona el flujo de consentimiento utilizado, la pretensión de Yoti de eliminar inmediatamente la imagen facial utilizada inmediatamente después de su procesamiento y, lo más importante, si tiene fundamentos legales para procesar datos biométricos.
Por el momento se mantiene la postura de la AEPD, endurecida desde que hizo pública su Guia sobre tratamientos biométricos en el 2023. La biometría se considera dato sensible si se utiliza para identificar si esa persona dice quien es. En ese caso es un dato sensible, pero si se utiliza para verificar la edad sini saber la identidad de la persona y sin querer identificarle no hay dato sensible. El problema de la resolución de Yoti es que han guardado esa plantilla biométrica para que cuando el joven use la aplicación, esta la reconozca y sepa que es él. Al saber que es él, lo identifica.
Curiosamente en el Paquete Omnibus que se debate entre la Comisión, Parlamento Europeo y Consejo de Europa, se abre la puerta a una mayor flexibilización de los criterios de uso de la biometría. Desde el regulador español se es consciente que haría falta un cambio normativo para que la AEPD reinterpretarse sus criterios. Hace unos días hemo sabido de otra sanción a AENA por el uso de la biometría y al FC Barcelona, otra de 500.000 euros por el mismo motivo.
La AEPD afirma haber tenido conocimiento de que las prácticas de Yoti "podrían constituir una posible infracción" y encargó a la Subdirección de Inspección de Datos que investigara las denuncias en diciembre de 2023.
Los datos biométricos "para identificar de forma única a una persona física" se consideran "datos de categoría especial" según el RGPD y, por lo tanto, solo pueden procesarse en situaciones específicas. Esta queja no se aplica a la estimación de la edad facial de la empresa, sino a los procesos de configuración de cuentas, en los que se comparan los datos biométricos de los selfis con una plantilla almacenada. La postura de Yoti es que los datos biométricos se utilizan únicamente para autenticar a la persona, y no para identificarla de forma única, pero fue rechazada por la AEPD.
La AEPD concluye que Yoti ha infringido los artículos 5.1 e) del RGPD (retención excesiva de datos), 7 (consentimiento válido) y 9 (tratamiento ilícito), y ha impuesto multas de 250.000 €, 200.000 € y 500.000 €, por un total de 950.000 €. También se solicita a Yoti que demuestre en un plazo de 6 meses cómo su gestión de datos biométricos cumple con el RGPD, que el tratamiento de datos basado en el consentimiento del interesado es conforme y que los datos personales tratados se conservan únicamente durante el tiempo necesario para la finalidad declarada.
Desde la propia empresa en un comunicado hecho público se muestra la decepción por dicha sanción rechazando la misma y anuncia que ha iniciado el proceso de recurso ante la Audiencia Nacional. También insisten en que asegurar a usuarios y clientes de la aplicación de Identificación Digital que ningún dato personal de ningún usuario de la aplicación ha sido vulnerado ni comprometido de ninguna manera; También indican que cooperaron plenamente con las solicitudes de información de la AEPD, pero nunca se nos notificó que estábamos siendo investigados.
Tres infracciones del RGPD
| |
 |
|
| |
José Leandro Nuñez cree que “ una vez comprobada la edad, resulta difícil entender por qué la plataforma necesitaría retener una huella biométrica del usuario mas tiempo del necesario” (Imagen Audens) |
|
| |
|
|
José Leandro Núñez, socio de Audens y secretario general de ENATIC, considera que en este caso es una investigación de oficio de la propia AEPD, sin que hubiera denuncias de por medio. Su relevancia es notable porque hay pocas resoluciones sobre estos sistemas de verificación de edad “de entrada, creo que es importante dejar claro que la resolución no cuestiona la legitimidad de las tecnologías de verificación de edad: sin duda, en muchos casos son necesarias. Donde pone el foco es en tres puntos críticos: el uso de biometría para identificar, la validez del consentimiento cuando se exige para poder disfrutar del servicio y la dudosa justificación de conservar esos datos”.
La investigación arrancó a finales del 2023, en el marco temporal donde ya la AEPD había puesto algunas sanciones a a algunas páginas de contenidos para adultos, por distintas infracciones del RGPD, entre ellas que no tenían un sistema de verificación de edad. Una de esas resoluciones tiene número de expediente 202207932, lo que supuso una multa de unos 200.000 euros. Esta aplicación está extendida en videojuegos para saber si el que entra en esos juegos tiene más de catorce años “Se ha convertido Yoti en un control previo para muchas plataformas por parte de los chavales. Es una solución que obliga por defecto a utilizarla para acceder a esos juegos”.
Para este jurista “tras analizar su app, la Agencia entiende que el sistema implementado trascendía la mera estimación de edad mediante imagen. Según la resolución, exigía realizar una plantilla biométrica del rostro para autenticar al usuario mediante una comparación 1:1, lo que conlleva situar el tratamiento en el terreno de la identificación unívoca.” Este matiz es jurídicamente relevante porque provoca que se aplique el artículo 9 del RGPD, relativo a las categorías especiales de datos, donde la única excepción plausible sería el consentimiento explícito del usuario, cuya validez resulta aquí discutida”, indica.
“Bajo el prisma del artículo 7.4 del RGPD, el consentimiento no puede considerarse libre si el acceso a un servicio se supedita a un tratamiento de datos que no es estrictamente necesario para la finalidad perseguida. Si el objetivo era verificar la edad, exigir una identificación biométrica completa y conservar la plantilla generada plantea serias dudas desde la perspectiva de la necesidad y la proporcionalidad. Además, una vez comprobada la edad, resulta difícil entender por qué la plataforma necesitaría retener una huella biométrica del usuario mas tiempo del necesario. De ahí las tres sanciones, que suman 950.000€”, comenta.
Para este jurista hay otro tema relevante “resulta llamativo que Yoti no presentara alegaciones, lo que permitió que el acuerdo de inicio se convirtiera directamente en propuesta de resolución. En la resolución está solo el discurso de la AEPD, si presentaron documentación en fase de investigación”. En su opinión, “este silencio enlaza con un debate recurrente sobre la eficacia de las notificaciones administrativas por medios electrónicos, pues es bastante habitual que las empresas descubran la existencia del expediente cuando la resolución sancionadora ya ha sido dictada”.
Necesitamos pautas claras
| |
 |
|
| |
Maria Luisa González afirma que “Sería bueno que la AEPD publicara alguna circular sobre el uso de este tipo de tratamientos en un sector concreto, ayudaría a aclarar lo que tenemos que hacer” (Imagen Ramon y Cajal Abogados) |
|
| |
|
|
Para Maria Luisa González , counsel del Departamento de IT/IP de Ramón y Cajal Abogados y vicepresidenta tercera de APEP-IA, la conclusión no es que se prohíba el uso de la biometría sino que determinados aspectos de la aplicación no son del todo acordes con la normativa de protección de datos a criterio de la AEPD. “Realmente lo que necesitamos son criterios más claros. En determinadas situaciones el tratamiento de datos biométricos es excesivo, pero lo que se debe pedir más claridad y una mayor garantía en los protocolos de las empresas para hacer seguro ese tratamiento de datos biométricos”.
Esta experta recuerda que esta resolución se da a conocer en pleno debate sobre si hay que prohibir o no el uso de las redes sociales a los menores y cómo verificar su edad en esas plataformas. Este asunto además se encuentra dentro de los planes de actuación de la AEPD y de otras autoridades de control donde hay tratamientos de datos sensibles. “Son cuestiones técnicas y de detalle que generan tres infracciones que aparecen justificadas en la resolución. Todo parte de una investigación de oficio del regulador desde noviembre del 2023 de esta aplicación” comenta.
Respecto a las infracciones, esta jurista señala que hay una sobre el artículo 9, del RGPD la aplicación no considera que los datos biométricos no son datos sensibles y no se le da una excepción que levante la prohibición general de ese tratamiento de datos sensibles. Sobre las otras infracciones esta jurista indica que hay un punto en el que hay una casilla remarcada con el que se pretende autorizar determinados tratamiento de datos biométricos. no cumple con los requisitos del consentimiento y por lo tanto, también hay otra infracción.
Respecto a la tercera cuestión se ha detectado que tras analizar en detalle los plazos de conservación hay unos plazos mayores que no están justificados. Eso supone un incumplimiento del artículo 5 del RGPD. En la resolución se le da a Yoti seis meses para corregir esas carencias detectadas, pero no se les prohíbe utilizar datos biométricos. Es lógico si la empresa ve que la resolución afecta a su modelo de negocio vaya a recurrir la misma, primero ante la propia AEPD y luego en la Audiencia Nacional, está en su derecho.
En opinión de Maria Luisa González, el papel de la AEPD no es hacer las Pias ni las evaluaciones de impacto a las empresas. “Siempre habrá un margen de indefinición pero cuantos más casos prácticos se definan, cuando se promueva leyes que regulen el uso de la biometría o incluso que el propio regulador publicara alguna circular sobre el uso de este tipo de tratamientos en un sector concreto, ayudaría a aclarar lo que tenemos que hacer. La AEPD con Lorenzo Cotino como presidente, tiene un enfoque proinnovación para que cualquier proyecto si cumple la normativa de protección de datos pueda desarrollarse con garantías”.
