Source: http://www.legistel.es/utilizacion-de-sistemas-de-firma-biometrica-a-la-luz-del-rgpd-aspectos-y-recomendaciones-legales/
Timestamp: 2020-04-06 02:34:58
Document Index: 295799597

Matched Legal Cases: ['Artículo 29', 'artículo 3', 'artículo 3', 'artículo 4', 'artículo 9', 'artículo 35', 'artículo 36', 'artículo 3', 'artículo 326', 'artículo 326', 'artículo 326']

Legistel | Utilización de sistemas de firma biométrica a la luz del RGPD: aspectos y recomendaciones legales
Home Blog Utilización de sistemas de firma biométrica a la luz del RGPD: aspectos y recomendaciones legales
La forma de hacer negocios ha cambiado radicalmente y, con ello, los cauces tradicionales de contratación y de manifestación de nuestra conformidad en el tráfico mercantil. Los viejos métodos mutan y se adaptan de forma rápida e inexorable a modelos y sistemas electrónicos más adaptados a la realidad digital que nos rodea.
Ahora bien, lo anterior no significa que los renovados modelos y sistemas deban ofrecer menos garantías legales que los tradicionales, más bien al contrario, se podría entender que el actual estado de la técnica debería promover, incluso, la existencia de una mayor protección y seguridad en el tráfico.
Por otra parte, también es una realidad que las empresas deben lidiar con usuarios y clientes que, además de exigir el reforzamiento de tales garantías legales, -así como una mayor protección y seguridad en el tratamiento de la información que les incumbe-, al mismo tiempo reclaman más inmediatez, agilidad y simplicidad en todas y cada una de las operaciones on-line que desarrollan.
Y es esta dicotomía la que promueve, entre otros tantos motivos, -a veces, mucho menos loables u aceptables-, que la industria esté promoviendo la implantación de técnicas biométricas en procesos de interactuación y de contratación en línea. Entre otros sistemas destacan los de selfie pay[1], la utilización del iris del ojo o de la huella dactilar[2], el uso de la voz[3], los patrones de vena[4], o los basados en impulsos eléctricos que generan los latidos del corazón[5], entre otros.
La utilización de estas técnicas biométricas se incardina, por lo general, en sistemas biométricos definidos por el Grupo de Trabajo del Artículo 29, como aplicaciones de las tecnologías biométricas que permiten la identificación automática, y/o la autenticación/comprobación de una persona. Es decir, sistemas que extraen, registran, almacenan y, en definitiva, tratan los datos biométricos. Dentro de los procesos de tratamiento, a su vez, destacan los procesos de correspondencia biométrica, es decir, procesos de comparación de los datos o plantillas biométricas (capturados durante el registro) con los datos o plantillas biométricas recogidas en una nueva muestra a efectos de identificación, verificación y autenticación o categorización.
Sin lugar a dudas, el uso de la biometría supone un impacto significativo sobre la dignidad, la protección de la intimidad y el derecho a la protección de datos de las personas y, de ahí, que el WP29 recomiende el cumplimiento por el responsable o promotor del sistema u aplicación de que se trate de requisitos más rigurosos, como se detallará a continuación.
Por relación a los citados sistemas biométricos de contratación destaca, no tanto por su carácter sofisticado, sino más bien por su proximidad a lo que de forma natural y habitual estamos acostumbrados a hacer a la hora de contratar, la firma digitalizada biométrica o, simplemente denominada, firma biométrica.
En los últimos años, han crecido exponencialmente las plataformas y aplicaciones que ofrecen esta posibilidad como una fórmula eficaz y legal para contratar a través de medios electrónicos, aunque mucho se ha discutido sobre la plena validez jurídica de esta firma por relación con la firma electrónica, cuyo régimen jurídico básico se contiene en la aún vigente Ley 59/2003, de 19 de diciembre, de Firma Electrónica (en adelante, LFE).
I. Ahora bien ¿en qué consiste la “firma biométrica”?.
Tal y como la define, el WP29, “(…) la firma biométrica puede considerarse un ejemplo de nuevo uso de las tecnologías biométricas tradicionales. La firma biométrica es una técnica biométrica basada en el comportamiento, que mide la conducta de una persona según lo expresado por la dinámica de su firma manuscrita. Mientras que el reconocimiento de firma tradicional se basa en el análisis de características fijas o geométricas de la imagen visual de la firma (aspecto de la firma), la firma biométrica, en cambio, hace referencia al análisis de las características dinámicas de la firma (cómo se hizo la firma) y esto hace que estas técnicas se denominen «firma dinámica» (…)”.[6]
Las firmas biométricas se refieren, por regla general, a la firma manuscrita de una persona realizada con un medio determinado, normalmente, un puntero o bolígrafo táctil sobre una pantalla u otros dispositivos de contacto sensible con captura del trazo gráfico y otros tantos datos biométricos asociados (características dinámicas medibles por el sistema de firma biométrica): calidad en la línea/trazo, proporción, presión de ejecución, angulosidad, relación con base a la línea, inclinación, puntos de detención o levantamiento del instrumento escritural, forma de los trazos iniciales y finales, posición y forma de las tildes, puntos y signos de puntuación, tiempo posición, velocidad, aceleración, etc.). Todos estos datos y características interrelacionados entre sí permiten conformar el “patrón biométrico del firmante” que se vincularía de forma unívoca al contenido del documento electrónico firmado.
Se destaca el especial valor anti-suplantación de la firma biométrica respecto a la manuscrita/tradicional, ya que si bien la imagen gráfica de una firma tradicional puede reproducirse fácilmente y ser falsificada por una persona e, incluso, por un programa informático, una firma dinámica parece más segura porque durante el proceso de verificación se comprueban también las características dinámicas, que son complejas y únicas y corresponden al estilo de escribir de una persona.
II. Algunos riesgos asociados al uso de esta tecnología:
Sin perjuicio de lo anterior, son diversos los riesgos asociados al uso de esta tecnología que deben abordase de una forma adecuada, a saber:
Precisión: las personas no siempre firman de la misma manera, pudiendo producirse errores durante el proceso de registro y al verificar su identidad (falsos positivos).
Impacto: los elementos biométricos basados en características de comportamiento (sistema de identificación comportamental o conductual), como es el caso, pueden no ser únicos con el tiempo y ser modificados por el interesado, lo que podría aconsejar la existencia de procedimientos alternativos para verificar la identidad de los individuos, además de procesos de actualización de los datos biométricos recabados con anterioridad (principio de calidad de los datos).
Protección y seguridad reforzada de datos biométricos: Se debe reforzar los aspectos asociados al tratamiento y las medidas de seguridad aplicables a los datos biométricos utilizados en el marco de los correspondientes sistemas.
Reutilización de los datos biométricos para fines incompatibles o distintos: Se acepta generalmente que el riesgo de reutilización de datos biométricos obtenidos a partir de rastros físicos dejados por personas sin darse cuenta para fines incompatibles es relativamente bajo si los datos no están almacenados en bases de datos centralizadas sino en poder de la persona y son inaccesibles para terceros. El almacenamiento centralizado de datos biométricos incrementa el riesgo de la posible reutilización de datos biométricos para fines incompatibles o distintos a los inicialmente informados a los afectados.
Trazado de perfiles: El uso combinado de los datos biométricos, en base al carácter interoperable e interconectado de la mayor parte de los sistemas, dispositivos y tecnologías emergentes (por ejemplo, es el caso de Internet of Things (IoT)), determina también un mayor riesgo en el posible trazado de perfiles de los usuarios, con las consecuencias que ello conlleva, en particular, desde la óptica de la normativa protectora de datos personales.
III. Desde un enfoque práctico, ¿son válidos los contratos suscritos con firma digitalizada biométrica?, ¿despliegan todos sus efectos jurídicos?.
La LFE en su artículo 3 define a la firma electrónica avanzada como aquélla que permite identificar al firmante y detectar cualquier cambio ulterior de los datos firmados, que está vinculada al firmante de manera única y a los datos a que se refiere y que ha sido creada por medios que el firmante puede utilizar, con un alto nivel de confianza, bajo su exclusivo control.
Por su parte, la misma Ley define a la firma electrónica reconocida como aquella firma electrónica avanzada basada en un certificado reconocido y generada mediante un dispositivo seguro de creación de firma, indicando que ésta tendrá respecto de los datos consignados en forma electrónica el mismo valor que la firma manuscrita en relación con los consignados en papel. Ahora bien, esto último no significa que se nieguen efectos jurídicos a una firma electrónica que no reúna los requisitos de firma electrónica reconocida en relación a los datos a los que esté asociada por el mero hecho de presentarse en forma electrónica (véase el artículo 3.9 LFE).
En este sentido, tal y como ya indicó Julián Inza[7], – Presidente de EADTrust, European Agency of Digital Trust-, en general, los sistemas de firma digitalizada que se limitan a obtener la imagen gráfica de una firma no serían válidos para demostrar la vinculación de un firmante respecto a un documento electrónico[8], es decir, para probar que éste ha prestado realmente su consentimiento al contenido del mismo.
Ahora bien, la cosa parece cambiar si, aplicando ciertos principios y estándares auditables, es posible asimilar, a efectos jurídicos, las firmas digitalizadas avanzadas o firmas biométricas con las firmas electrónicas avanzadas, siempre que concurran todos los requisitos legalmente descritos en relación a estas últimas: identificación del firmante (autoría), autenticidad e integridad documental (posibilidad de detectar cualquier cambio ulterior en los datos firmados) y no repudio del documento (que está vinculada al firmante de manera única y que ha sido creada por medios que el firmante puede mantener bajo su control exclusivo).[9]
En estos casos, podría dotarse de plena validez jurídica a los contratos firmados biométricamente.
IV. Recomendaciones jurídicas al promotor o titular de plataformas, aplicaciones y sistemas de firma biométrica:
IV.1. Desde la perspectiva de la normativa protectora de datos personales:
a) Dado que los datos biométricos tienen la consideración de datos personales, el titular o responsable de tratamiento deberá cumplir con la normativa protectora de datos personales aplicable.[10]
El nuevo Reglamento europeo general de Protección de Datos (en lo que sigue, RGPD) define específicamente esta categoría de datos, estableciendo obligaciones de tratamiento particulares respecto a los mismos.
Así, el artículo 4 del RGPD establece que los datos biométricos son datos personales obtenidos a partir de un tratamiento técnico específico, relativos a las características físicas, fisiológicas o conductuales de una persona física que permitan o confirmen la identificación única de dicha persona, como imágenes faciales o datos dactiloscópicos.
Por su parte, el artículo 9 del RGPD los incluye dentro de las denominadas categorías especiales de datos personales cuyo tratamiento “ab initio” queda prohibido salvo determinados supuestos (consentimiento explícito del interesado con ciertas limitaciones; si se trata de datos que el interesado ha hecho manifiestamente públicos; etc.). Los Estados miembros podrán, dada su especialidad, mantener o introducir condiciones o limitaciones adicionales en torno al tratamiento de este tipo de datos.
b) En base a lo anterior se recomienda:
Adoptar los principios de privacidad desde el diseño y por defecto previstos en el RGPD: En el momento de la definición de la aplicación, plataforma o sistema biométrico, así como a toda la cadena de valor que presenten tales sistemas biométricos.
Considerar de forma especial ciertos principios esenciales del tratamiento: Sin perjuicio de lo anterior, resulta fundamental tener muy presentes en el manejo de este tipo de datos los principios de limitación de la finalidad, proporcionalidad y de minimización de datos, recabando el consentimiento explícito y diferenciado del usuario para el tratamiento particular de sus datos biométricos, siendo consciente de que el consentimiento no legitima, en ningún caso, el tratamiento de datos excesivo o desproporcionado.
Realizar una Evaluación de Impacto en la Protección de los Datos Personales (EIPD): En atención al artículo 35 del RGPD, si lo que pretende el responsable o la empresa es hacer un tratamiento a gran escala de datos como los biométricos, antes de acometerlo, deberá realizar una evaluación del impacto de las operaciones de tratamiento en la protección de datos personales (EIPD). Así también lo recomienda el WP29 en su Dictamen 3/2012, donde se relata el marco específico para la realización de esta evaluación y diversas recomendaciones particulares a este respecto. Del mismo modo, la Guía AEPD para la realización de EIPD puede resultar de utilidad en estos casos.[11]
Redactar políticas y avisos legales claros, legibles, comprensibles, sencillos y, en general, que resulten transparentes de cara al usuario.
Establecer protocolos específicos de actuación ante posibles brechas o violaciones de la seguridad de los datos: El protocolo de seguridad debe prever, entre otras cosas, la gestión de la vulnerabilidad, las oportunas comunicaciones a la autoridad de control y, en su caso, a los usuarios, las medidas a adoptar para solventar y/o mitigar los riesgos detectados y posibles efectos que hubieran concurrido y las acciones de mejora continua proyectadas en estos casos.
Adoptar criterios reforzados de seguridad en la captación, almacenamiento y conservación de los datos biométricos:
*Cifrado: Cuando se tratan datos biométricos resulta importante poder garantizar el cifrado de los mismos. A esos efectos, resulta de interés conocer y aplicar las recomendaciones contenidas en el Dictamen 05/2014 sobre técnicas de anonimización, del pasado el 10 de abril de 2014.[12]
*Almacenamiento de los datos: Los datos biométricos pueden tratarse y almacenarse de diferentes formas. En ocasiones, la información biométrica capturada de una persona se almacena y se trata en bruto, permitiendo reconocer la fuente de la que procede, por ejemplo, un selfie o la fotografía de una cara. Otras veces, la información biométrica bruta capturada es tratada de manera que solo se extraen ciertas características o rasgos y se salvan como una plantilla biométrica. En todo caso, las autoridades de control europeas han manifestado que sería preferible no almacenar estos datos en una base de datos concreta, sino más bien sólo en un objeto disponible exclusivamente para el usuario, como una tarjeta con microchip, un teléfono móvil o una tarjeta bancaria. Es decir, que las aplicaciones de autenticación/comprobación que se pueden llevar a cabo sin un almacenamiento centralizado de datos biométricos no debería suponer la utilización de excesivas técnicas de identificación. Además señalan que si se va a realizar tal base de datos, se debería consultar y presentar al control previo de las citadas autoridades de control, lo que parece que es coherente con el actual contenido del artículo 36 del RGPD. En todo caso, resulta recomendable que la información biométrica recabada se procese y almacene de una forma segura pudiendo tomar como parámetro de actuación en este ámbito el estándar internacional asociado a la norma ISO/IEC 19794-7:2014:
http://www.aenor.es/aenor/normas/iso/fichanormaiso.asp?codigo=055938#.V4F5JtLhAdU
*Conservación: Se debe definir por el responsable un período razonable de conservación de los datos biométricos recabados que no debería superar al necesario para los fines para los que dichos datos fueron recabados. Pasado este plazo se deberán cancelar de oficio por parte del responsable, únicamente conservándolos de forma bloqueada durante el tiempo justificado a efectos de depuración de las posibles responsabilidades asociadas a su utilización. Una vez transcurrido este plazo se suprimirán, pudiendo conservarse de forma disociada.
En función del tipo de proyecto, puede resultar recomendable la elaboración de un código de conducta específico en coherencia con la vigente normativa.
IV.2. En relación a posibles conflictos en torno a la validez legal de una determinada firma biométrica:
Ante posibles conflictos relacionados con la posible validez legal o no de una firma biométrica y, por consiguiente, del documento mismo al que ésta se asocia, hay que considerar lo que sigue:
Sería de aplicación lo dispuesto en los artículos 281 y siguientes de la Ley de Enjuiciamiento Civil (LEC) en lo relativo a la práctica de la prueba resultando necesario, en la mayor parte de los casos, la realización de un dictamen pericial conforme lo previsto en los artículos 335 y siguientes de esta Ley.
El/los perito/s designado/s por las partes deberán ser expertos, en particular, grafólogos. De su capacidad y pericia dependerá que finalmente no haya problema, ni se cuestione la validez de la firma biométrica.
Se deberá demostrar que en la firma biométrica controvertida concurren los elementos y requisitos legales relatados respecto a una firma electrónica avanzada, al menos, a los efectos jurídicos dispuestos en la LFE.
Respecto a la posible aportación de un documento firmado biométricamente en un procedimiento judicial habrá que estar a lo dispuesto en el artículo 3.8 de la LFE, por relación al artículo 326.2 LEC:
“(…) 8. El soporte en que se hallen los datos firmados electrónicamente será admisible como prueba documental en juicio. Si se impugnare la autenticidad de la firma electrónica reconocida con la que se hayan firmado los datos incorporados al documento electrónico se procederá a comprobar que se trata de una firma electrónica avanzada basada en un certificado reconocido, que cumple todos los requisitos y condiciones establecidos en esta Ley para este tipo de certificados, así como que la firma se ha generado mediante un dispositivo seguro de creación de firma electrónica.
Si se impugna la autenticidad de la firma electrónica avanzada, con la que se hayan firmado los datos incorporados al documento electrónico, se estará a lo establecido en el apartado 2 del artículo 326 de la Ley de Enjuiciamiento Civil (…)”.
[1] Entre otras URLs de interés pueden consultarse las que siguen: http://www.tiempocristiano.com/2016/05/18/allanando-camino-hacia-la-bestia-mastercard-y-visa-implantaran-tecnologia-corporal/; https://www.thestar.com/business/2016/03/23/mastercards-selfie-pay-finds-first-canadian-launch-partner.html; http://www.telegraph.co.uk/technology/2016/03/15/amazon-plans-to-let-you-pay-by-selfie/; etc.
[2]Véanse los siguientes enlaces web: https://www.bankimia.com/blog/mediante-el-iris-del-ojo-o-la-huella-dactilar-las-nuevas-formas-de-pago-se-consolidan-en-el-mwc/2015/03/05/; http://www.indicepr.com/noticias/2016/02/17/nova/56115/escanea-el-ojo-y-paga/; http://www.consumer.es/web/es/economia_domestica/sociedad-y-consumo/2016/05/11/223730.php, etc.
[3] Son de interés, entre otras, las siguientes URLs:https://ingeaademexico.wordpress.com/2016/04/01/pagos-biometricos-para-el-2016-selfies-voz-y-huellas-dactilares/
[4] Remítase, a modo de ejemplo, al siguiente enlace web: http://www.lavanguardia.com/tecnologia/innovacion/20140417/54405088946/crean-un-sistema-de-pago-basado-en-el-patron-de-venas.html
[5] http://www.elmundo.es/economia/2016/03/29/56fa4f06ca47415c038b4642.html
[6] Véase la pág.27 del Dictamen 3/2012 del WP29 sobre desarrollos con tecnologías biométricas: http://ec.europa.eu/justice/data-protection/article-29/documentation/opinion-recommendation/files/2012/wp193_en.pdf
[7] Puede consultarse la siguiente URL: https://inza.wordpress.com/2015/06/25/mas-informacion-sobre-la-firma-manuscrita-digitalizada-es-firma-electronica-avanzada/
[8] Según el art.3 de la Ley 59/2003: “(…) 5. Se considera documento electrónico la información de cualquier naturaleza en forma electrónica, archivada en un soporte electrónico según un formato determinado y susceptible de identificación y tratamiento diferenciado. Sin perjuicio de lo dispuesto en el párrafo anterior, para que un documento electrónico tenga la naturaleza de documento público o de documento administrativo deberá cumplirse, respectivamente, con lo dispuesto en las letras a) o b) del apartado siguiente y, en su caso, en la normativa específica aplicable.
La carga de realizar las citadas comprobaciones corresponderá a quien haya presentado el documento electrónico firmado con firma electrónica reconocida. Si dichas comprobaciones obtienen un resultado positivo, se presumirá la autenticidad de la firma electrónica reconocida con la que se haya firmado dicho documento electrónico siendo las costas, gastos y derechos que origine la comprobación exclusivamente a cargo de quien hubiese formulado la impugnación. Si, a juicio del tribunal, la impugnación hubiese sido temeraria, podrá imponerle, además, una multa de 120 a 600 euros. Si se impugna la autenticidad de la firma electrónica avanzada, con la que se hayan firmado los datos incorporados al documento electrónico, se estará a lo establecido en el apartado 2 del artículo 326 de la Ley de Enjuiciamiento Civil.(…)”.
[9] La STS de 3 de noviembre de 1997 parece apoyar con sus fundamentos jurídicos en torno al posible valor legal de la firma no autógrafa esta tesis: http://www.poderjudicial.es/search/doAction?action=contentpdf&databasematch=TS&reference=3161209&links=&optimize=20030906&publicinterface=true y http://firmadigitalizada.net/2013/09/02/sentencia-del-tribunal-supremo-de-3-de-noviembre-de-1997-que-da-valor-a-firmas-no-autografas/
[10] Es importante conocer el contenido del nuevo Reglamento europeo General de Protección de Datos, así como la principal doctrina emanada del WP29 en relación al uso de técnicas biométricas (Dictamen 3/2012 sobre la evolución de las tecnologías biométricas: adoptado el 27 de abril de 2012). Respectivamente pueden consultarse las siguientes fuentes: http://eur-lex.europa.eu/legal-content/ES/TXT/?uri=CELEX%3A32016R0679 y http://ec.europa.eu/justice/data-protection/article-29/documentation/opinion-recommendation/files/2012/wp193_en.pdf
[11]Publicación accesible desde este enlace: http://www.agpd.es/portalwebAGPD/canaldocumentacion/publicaciones/common/Guias/Guia_EIPD.pdf
[12] Accesible desde la siguiente URL: http://ec.europa.eu/justice/data-protection/article-29/documentation/opinion-recommendation/files/2014/wp216_es.pdf