Dictamen en relació amb la consulta d'una diputació provincial sobre la consideració de
determinades dades biomètriques com a dades de categoria especial
Es presenta davant l'Autoritat Catalana de Protecció de Dades un escrit d'una diputació
provincial en què planteja si han de ser considerades dades de categoria especial:
a) L'empremta dactiloscòpica utilitzada per a la verificació o autenticació biomètrica en un
sistema de cerca de correspondència un a un, i no per a la identificació biomètrica en un
sistema de cerca de correspondència un a diversos.
la direcció dels trets, pressió i altres característiques dinàmiques úniques, registrada i
admesa sense efectuar un procés de verificació per contrast amb altres signatures.
La Diputació manifesta en la seva consulta que l'entitat està valorant la utilització de dades
Assenyala que el Dictamen 3/2012 del Grup de Treball de l'Article 29, sobre l'evolució de les
tecnologies biomètriques, diferencia el tractament de dades biomètriques en processos
d'identificació (cerca de correspondència un a diversos), del tractament en processos de
verificació/autenticació (cerca de correspondència un a un).
També que l'Agència Espanyola de Protecció de Dades fa referència a aquesta diferenciació a
l'informe del passat 8 de maig (referència 0036/2020), en el qual considera que les dades
biomètriques únicament tindrien la consideració de categoria especial de dades en els supòsits
en què se sotmetin a un tractament tècnic dirigit a la identificació d'una persona física un a
diversos i no en el cas de verificar-ne o autenticar-ne la identitat per cerca de correspondència
Analitzada la petició i vist l'informe de l'Assessoria Jurídica, es dictamina el següent.
L'article 4.14) del Reglament (UE) 2016/679, del Parlament i del Consell Europeu, de 27 d'abril
de 2016, General de Protecció de Dades (RGPD), defineix les dades biomètriques com "los
Cal tenir present que l'RGPD inclou les dades biomètriques dins la categoria de dades que han
de ser objecte d'especial protecció en regular el règim aplicable al tractament d'aquesta
De la lectura conjunta d'aquestes previsions, es desprèn que l'element clau a l'hora de
considerar les dades relatives a les característiques físiques, fisiològiques o conductuals d'una
persona física com a dades biomètriques és que aquestes dades es tractin amb mitjans tècnics
específics amb la finalitat d'identificar o d'autenticar de manera unívoca la seva identitat.
sembla desprendre's que, quan això succeeix, ens trobarem davant un tractament de dades
personals que formen part d'una categoria especial.
d'aquesta categoria especial de dades hi tenen cabuda tant les dades biomètriques que
permeten la identificació com l'autenticació.
Sobre això resulta concloent la utilització de
l'expressió "permitan o confirmen la identificación única" atès que la confirmació de la identitat
seria el cas de l'autenticació.
Ara bé, també és cert que l'article 9.1 de l'RGPD, en prohibir el tractament de les dades
biomètriques destinades a identificar de manera unívoca una persona física, no fa referència
explícita a l'autenticació, a diferència de l'article 4.14) de l'RGPD, que, en definir les dades
biomètriques, fa referència tant a la identificació com a l'autenticació ("permitan o confirmen la
Això, junt amb el fet que els sistemes biomètrics, és a dir, els sistemes que extreuen i tracten
les dades biomètriques, tenen objectius diferents en el cas de la identificació un a diversos i en
el cas de l'autenticació, podria portar a plantejar-se com s'apunta en la consulta si realment les
dades biomètriques tractades amb mitjans tècnics per autenticar una persona física s'han de
El Grup de Treball de l'Article 29, en el seu Dictamen 3/2012 sobre l'evolució de les tecnologies
biomètriques, assenyala, entre d'altres qüestions, que el tractament de les dades biomètriques
en un sistema biomètric sol constar de diferents processos, tals com el registre de les dades
biomètriques, l'emmagatzematge biomètric i la correspondència biomètrica, entesa aquesta
Es defineix la identificació biomètrica, és a dir, la identificació d'una persona per un sistema
I es defineix la verificació o autenticació biomètrica, és a dir, la verificació d'una persona per un
Ara bé, d'aquesta distinció, feta en un moment en què ni unes ni altres dades biomètriques
tenien la consideració de categoria especial de dades, no se'n pot fer desprendre la conclusió
que només siguin categoria especial de dades les que tenen com objectiu identificar a partir de
la correspondència un a varis, atès que això s'oposa clarament a la definició de dades
desprendre's de la consulta, que malgrat ser dades biomètriques la utilització d'aquestes dades
per fer una autenticació no estigui sotmesa al règim de l'article 9 de l'RGPD.
que també s'ha de descartar aquesta possibilitat, atès que l'article 9 no distingeix entre unes i
altres i simplement es refereix a dades biomètriques (i recordem que l'article 4.14 defineix què
cal entendre per dades biomètriques "a efectos del presente Reglamento").
concepte que dona l'article 4.14 és a tots els efectes del present Reglament, o sigui, quan
l'article 9 es refereix a dades biomètriques, aquest concepte s'ha d'entendre amb el contingut
Per altra banda, l'article 9 només estableix una condició, això és, que les dades persegueixin
la identificació unívoca d'una persona física.
I aquesta finalitat es compleix tant en el cas de
l'autenticació com en el cas de la identificació d'una persona entre vàries.
Els sistemes biomètrics poden complir dues funcions diferents: identificar una persona entre un
conjunt, per acabar determinant qui és una persona (o com a mínim si hi ha coincidència amb
alguna de les persones prèviament registrades) i autenticar (o determinar que una persona és
Aquesta distinció entre l'objectiu pretès (si el que es pretén és
identificar o bé autenticar) pot dir-se que resulta rellevant pel que fa al desenvolupament dels
sistemes biomètrics, en el benentès que el reconeixement i la verificació impliquen emprar
tècniques diferents i que algunes dades biomètriques podrien ser més apropiades per a la
identificació i d'altres per a l'autenticació.
En qualsevol cas, des de la vessant de la protecció de dades, atesa la finalitat última d'ambdós
supòsits i la definició continguda a l'article 4.14 de l'RGPD, no semblaria pertinent fer aquesta
distinció pel que fa a la seva consideració com a categoria especial de dades.
La biometria, com s'ha vist, es refereix a l'anàlisi d'una sèrie de característiques distintives de
que romanen inalterables o estables al llarg del temps.
El tractament inadequat de dades biomètriques, amb independència que sigui a efectes
d'identificació o bé d'autenticació, pot comportar conseqüències importants, fins i tot,
irreparables, per als drets i les llibertats fonamentals de les persones afectades.
evident és que, a diferència d'altres sistemes d'identificació i autenticació, un cop
Qüestió diferent és que, en alguns supòsits (per exemple, un sistema de reconeixement facial
per identificar les persones que circulen per una via pública), la utilització de la biometria per
identificar una persona d'entre un conjunt pugui comportar uns riscos molt més elevats pels
ciutadans que un sistema que només tingui per objectiu l'autenticació (per exemple,
l'autenticació d'un usuari d'un sistema), però en altres casos els riscos poden ser similars.
En tot cas, no semblaria convenient excloure una part de les dades biomètriques (aquelles que
se sotmeten a un tractament tècnic específic amb la finalitat de verificar la identitat d'una
persona) de la protecció reforçada que l'RGPD reconeix a aquelles dades personals que, per
la seva naturalesa i el context en què es tracten, esdevenen particularment sensibles, en
atenció a les conseqüències que, per a les persones afectades, poden derivar-se del seu
tractament, la qual cosa tindria lloc si no se les reconegués com a categoria especial de dades.
No es pot obviar que la identificació i l'autenticació, tot i respondre a objectius diferents, són
Amb la identificació es pretén determinar la identitat (reconèixer) d'una persona (¿qui ets?) a
partir, en aquest cas, de les seves característiques físiques, fisiològiques o conductuals.
l'autenticació es pretén emprar aquestes dades per confirmar o desmentir la identitat d'aquesta
persona (¿ets qui dius ser?) i aquesta actuació implicaria, en tot cas, haver identificat abans
Quan es fa una autenticació, per exemple quan s'identifica una persona mitjançant l'empremta
en entrar a la feina, en alguns casos comporta una identificació un a un (per exemple si
paral·lelament s'empra una tarja de marcatge o un codi per identificar-se) o pot operar com un
sistema de correspondència un a varis (per exemple si l'empremta del treballador que accedeix
al lloc de treball es compara amb la de tots els treballadors de l'empresa per acabar determinant
qui és el treballador que ha accedit).
Cal doncs interpretar que, quan l'RGPD es refereix a la identificació unívoca d'una persona
física a l'article 9.1, també està fent referència a l'autenticació de la identitat d'aquesta persona
No és sobrer apuntar que altres autoritats de control en matèria de protecció de dades, quan
han tingut la ocasió d'examinar les implicacions que per a la protecció de dades pot tenir la
biometria, consideren les dades biomètriques com a categoria especial de dades sense
(CNIL) de França, en atenció a la regulació que fa sobre la implementació de dispositius que
tenen per finalitat el control d'accés mitjançant autenticació biomètrica a les instal·lacions, als
En aquest reglament, la CNIL fa esment a l'ús de dades biomètriques amb fins d'autenticació i
fa avinent que aquest tipus de dades es consideren sensibles en el sentit de l'article 9 de
També seria el cas del Garante per la protezione dei dati personali d'Itàlia.
emès per aquesta autoritat sobre un projecte de llei en què s'habilita les administracions
públiques per introduir, com a mecanisme de control de l'horari laboral, sistemes de verificació
d'identitat biomètrica (Doc. web núm. 9051774), com en l'Opinió efectuada per aquesta autoritat
sobre el projecte de decret que desenvolupa dita llei (Doc. web núm. 9147290), l'autoritat
recalca la necessitat de justificar la proporcionalitat d'una mesura com la proposada, en tractarse
dades biomètriques, incloses en la categoria de dades personals en relació amb les quals
s'estableix una major protecció.
També la Information Commissioner's Office (ICO) de Regne Unit assenyala, en la seva Guia
sobre l'RGPD (té previst publicar una guia específica sobre el tractament de dades
biomètriques), que les dades biomètriques seran dades de categoria especial en la gran majoria
de supòsits i adverteix que, si s'utilitza la biometria per, entre d'altres fins, autenticar la identitat
Per tot plegat, pot dir-se que les dades biomètriques, quan se sotmeten a un tractament tècnic
específic amb la finalitat d'identificar (reconèixer) o d'autenticar (verificar) de manera unívoca
una persona física, s'han de considerar una categoria especial de dades personals i, per tant,
que el seu tractament s'ha d'adequar al règim específic establert per a aquest tipus de dades
en la legislació de protecció de dades.
En atenció a les consideracions fetes fins ara, i donant resposta a les preguntes plantejades en
a) L'empremta dactiloscòpica a la qual s'aplica un tractament tècnic específic, quan
s'utilitzi amb la finalitat d'autenticar la identitat d'una persona física s'ha de considerar
com a dada biomètrica i, per tant, com una dada de categoria especial.
la direcció dels trets, pressió i altres característiques dinàmiques úniques, també s'ha
tècnic específic amb la finalitat de confirmar-ne l'autoria.
No s'ha de confondre aquest tractament amb el procés de digitalització de la signatura
En aquest cas, no es pot considerar una dada biomètrica perquè,
tot i que persegueix la verificació de la identitat d'una persona, no es pot afirmar que
s'obtingui a partir de característiques físiques, fisiològiques o conductuals ni, amb
caràcter general, està sotmesa a un tractament tècnic específic amb aquesta finalitat.
D'acord amb les consideracions fetes fins ara en relació amb la consulta plantejada, es fan les
Les dades biomètriques sotmeses a tractaments tècnics específics adreçats a fins de
reconeixement biomètric, ja sigui en forma d'identificació biomètrica o d'autenticació biomètrica,
Es considera, per tant, com una dada de categoria especial, l'empremta dactiloscòpica a la qual
s'aplica un tractament tècnic específic, quan s'utilitzi amb la finalitat d'autenticar la identitat
També la signatura biomètrica obtinguda sobre una tauleta, mesurant la formació de les lletres,
la direcció dels trets, pressió i altres característiques dinàmiques úniques, en la mesura que se
sotmetria a un tractament tècnic específic amb la finalitat de confirmar-ne l'autoria.