Datos biométricos según el RGPD: ¿cuándo se pueden utilizar en los Países Bajos?

Los datos biométricos, como las huellas dactilares, las imágenes faciales o los patrones de voz, constituyen una categoría especial de datos personales según el RGPD cuando se procesan para identificar de forma unívoca a una persona. En los Países Bajos, este procesamiento está prohibido en principio; la principal excepción se da cuando es necesario para fines de autenticación o seguridad, y para los empleados, esta verificación rara vez se realiza mediante un reloj de fichar o la puerta de una oficina.

La Autoridad de Protección de Datos de los Países Bajos (Autoriteit Persoonsgegevens, AP) aplica estas normas con rigor y ha multado a empleadores y empresas tecnológicas por utilizar datos biométricos sin una base válida. A continuación, explicamos qué se considera dato biométrico, qué fundamentos legales existen, cuándo se necesita una evaluación de impacto en la protección de datos, qué medidas de seguridad se esperan y qué hacer si surge algún problema.

¿Qué son los datos biométricos según el RGPD?

Los datos biométricos son datos personales que resultan del procesamiento técnico específico de las características físicas, fisiológicas o de comportamiento de una persona, lo que permite o confirma su identificación unívoca. El propósito y la técnica determinan el tipo de imagen o grabación, no el tipo de registro.

Esta definición se encuentra en el artículo 4(14) del Reglamento General de Protección de Datos (RGPD) . La fotografía de un empleado en su tarjeta de identificación es un dato personal, pero no automáticamente un dato biométrico. En el momento en que esa misma fotografía se convierte en una plantilla facial y se utiliza mediante un sistema de reconocimiento para otorgar acceso a un edificio, se convierte en dato biométrico. Este cambio modifica por completo el marco legal.

Ejemplos de identificadores biométricos son las huellas dactilares, la geometría facial, los patrones del iris y la retina, los patrones de voz y rasgos de comportamiento como el ritmo al teclear o la forma de caminar. Lo que tienen en común es que se utilizan para reconocer a un individuo específico.

¿Por qué el RGPD trata los datos biométricos de forma diferente?

Según el artículo 9 del RGPD, los datos biométricos tratados con el fin de identificar de forma unívoca a una persona pertenecen a las categorías especiales de datos personales. Esta misma categoría incluye datos sobre origen racial o étnico, opiniones políticas, creencias religiosas, salud y vida sexual.

La razón es que las consecuencias del uso indebido son graves y, a menudo, irreversibles. Una contraseña se puede cambiar; una huella dactilar o el iris, no. Si una base de datos de plantillas biométricas se ve comprometida, las personas afectadas se enfrentan a un riesgo permanente de fraude de identidad.

¿Qué tan estricto es el enfoque holandés?

La AP interpreta estas reglas de forma estricta. Su punto de partida es que la identificación biométrica está prohibida y que las excepciones son limitadas.

La Ley de Implementación del RGPD de los Países Bajos (Uitvoeringswet Algemene verordening gegevensbescherming, UAVG) añade una excepción nacional. Según el artículo 29 de la UAVG, los datos biométricos pueden procesarse para la identificación unívoca si esto es necesario para la autenticación o la seguridad. La palabra clave es «necesario». Significa que el objetivo no puede lograrse razonablemente con medios menos intrusivos, como una tarjeta, un código o una llave. La AP ha dejado claro en su guía que, en principio, el reconocimiento facial en lugares de acceso público, como tiendas, no está permitido.

¿Qué fundamento jurídico necesitas?

Se requieren dos: una base jurídica conforme al artículo 6 del RGPD para el tratamiento de datos en sí, y una excepción prevista en el artículo 9, apartado 2, del RGPD o en el artículo 29 de la UAVG para levantar la prohibición sobre categorías especiales. Sin ambas, el tratamiento es ilícito.

El artículo 6 del RGPD enumera seis bases jurídicas: consentimiento, ejecución de un contrato, obligación legal, intereses vitales, una misión de interés público e intereses legítimos. Este es el primer obstáculo y se aplica a todos los datos personales.

Dado que los datos biométricos constituyen una categoría especial, deberá cumplir con alguna de las condiciones del artículo 9, apartado 2, del RGPD o con la excepción neerlandesa del artículo 29 de la UAVG. Estas son las únicas vías para levantar la prohibición. Antes de comenzar, determine quién es el responsable del tratamiento y quién actúa como encargado del tratamiento, por ejemplo, el proveedor del sistema de escaneo. Nuestro artículo sobre las funciones del responsable y del encargado del tratamiento según el RGPD explica la diferencia y el acuerdo de tratamiento necesario.

¿Cuándo es válido el consentimiento explícito?

El consentimiento explícito exige un estándar más alto que el consentimiento ordinario. Debe otorgarse mediante una declaración clara y afirmativa, y debe ser específico, informado, inequívoco y libremente concedido.

• Específico: No basta con hacer una referencia general a "fines de seguridad"; debe indicar con precisión por qué necesita los datos biométricos.
• Informado: La gente debe saber qué datos recopilas, qué haces con ellos, quién tiene acceso a ellos y durante cuánto tiempo los conservas.
• Dado libremente: La persona debe poder negarse sin consecuencias negativas y debe poder retirar su consentimiento en cualquier momento.

En una relación laboral, la última condición es el problema. Un empleado que se niega puede temer consecuencias, por lo que la AP considera que el consentimiento del empleado rara vez se otorga libremente. Un empleador que se basa en el consentimiento debe poder demostrar que existía una alternativa real y que se ofreció en la práctica, no solo por escrito.

¿Qué otras excepciones existen?

Las demás excepciones son limitadas. La tabla que aparece a continuación compara las más relevantes.

¿Se pueden utilizar huellas dactilares o escaneo facial para los empleados?

Solo si la biometría es realmente necesaria para la autenticación o la seguridad, y no se puede utilizar un método menos intrusivo. Para el registro de asistencia, una caja registradora o la puerta de una oficina común, esto no suele ser así.

El criterio establecido en el artículo 29 de la UAVG es si el objetivo podría lograrse razonablemente mediante medios menos intrusivos. Un escáner que controla el acceso a una caja registradora, un sistema de control horario o la puerta de una oficina normalmente no supera esta prueba, ya que una tarjeta, un código o una llave logran el mismo resultado sin datos biométricos. Cuando se acepta el acceso biométrico, el interés en la seguridad es sustancial y específico: una instalación que manipula materiales peligrosos, un laboratorio seguro, un centro de datos o una bóveda.

Por otra parte, cuando existe un comité de empresa (ondernemingsraad), un sistema que registre o supervise la asistencia, el comportamiento o el rendimiento de los empleados, o que trate sus datos personales, requiere su consentimiento en virtud del artículo 27, apartados 1, letras k) y l) de la Ley de Comités de Empresa (Wet op de ondernemingsraden, WOR). El cumplimiento del RGPD no exime de este requisito, y un sistema implementado sin consentimiento puede ser impugnado.

¿Se pueden utilizar datos biométricos para los clientes?

A veces, pero se aplican las mismas reglas estrictas. Con los clientes, el consentimiento explícito puede ser un fundamento válido, siempre que el uso de datos biométricos sea realmente opcional y exista una alternativa equivalente.

Ejemplos comunes son desbloquear una aplicación bancaria con huella dactilar, verificar la identidad con una selfie al abrir una cuenta en línea y acceder a un gimnasio o evento mediante reconocimiento facial. Cuando la verificación biométrica se realiza completamente en el teléfono del cliente, utilizando la tecnología integrada del dispositivo, la empresa generalmente no recibe los datos biométricos. Esto reduce significativamente el riesgo y las obligaciones para la empresa.

Cuando la empresa procesa los datos por sí misma, por ejemplo, comparando una selfie con una foto de pasaporte en sus propios servidores, necesita una base válida. El consentimiento exige que el cliente pueda elegir otra vía, como la verificación mediante transferencia bancaria o visitando una sucursal, sin sufrir ningún inconveniente. Para los bancos y otras instituciones financieras, las obligaciones de diligencia debida con el cliente, según la legislación contra el blanqueo de capitales, son relevantes, pero no requieren por sí mismas el procesamiento biométrico.

¿Y qué hay de las cámaras con reconocimiento facial?

En principio, las cámaras de reconocimiento facial en tiendas, estadios u otros lugares de acceso público no están permitidas para uso privado. Las personas que pasan por allí no pueden dar su consentimiento explícito, y rara vez existe una necesidad que cumpla con los requisitos del artículo 29 sobre vehículos aéreos no tripulados (UAVG).

La AP ha advertido a los minoristas que el uso del reconocimiento facial para identificar a ladrones o reconocer clientes está prohibido. La videovigilancia convencional, sin identificación biométrica, se rige por normas diferentes y menos estrictas, pero aun así requiere un interés legítimo, avisos claros y periodos de retención limitados. La incorporación de software de reconocimiento facial a un sistema de cámaras existente cambia por completo la evaluación.

¿Cuándo se necesita una evaluación de impacto en la protección de datos?

Casi siempre. El procesamiento de datos biométricos para identificar personas es un procesamiento de alto riesgo, y la AP lo ha incluido en su lista de operaciones de procesamiento que requieren una evaluación de impacto en la protección de datos (EIPD) según el artículo 35 del RGPD.

Una DPIA es una evaluación estructurada de riesgos para la privacidad. Te obliga a describir lo que planeas hacer, identificar los riesgos para las personas involucradas y decidir cómo gestionarlos antes de escanear una sola huella dactilar o rostro. Si el riesgo restante es alto y no se puede reducir lo suficiente, debes consultar a la AP antes de comenzar (Artículo 36 del RGPD).

La DPIA se basa en el fundamento jurídico: primero se establece una base en virtud del artículo 6 y una excepción en virtud del artículo 9 o del artículo 29 de la UAVG, y luego se evalúa si el sistema específico es necesario y proporcionado.

¿Qué contiene una DPIA?

Tomemos como ejemplo un escáner de huellas dactilares para acceder a una sala de servidores. Una DPIA abarca cuatro elementos.

• Una descripción del procesamiento. ¿Qué datos recopila: una plantilla o una imagen completa? ¿Cómo se recopilan, dónde se almacenan, cómo se utilizan y cuándo se eliminan? ¿Quién tiene acceso? ¿Hay algún proveedor involucrado?
• Necesidad y proporcionalidad. ¿Qué problema específico está solucionando, como el acceso no autorizado a la sala de servidores? ¿Por qué las tarjetas de acceso o los códigos no son suficientes en este caso? ¿Los datos que recopila son los mínimos necesarios?
• Los riesgos para las personas involucradas. ¿Qué ocurre si roban la base de datos de plantillas? ¿Podrían utilizarse posteriormente los datos para otros fines, como el control de las horas de trabajo (abuso de funciones)? ¿Qué sucede con los empleados cuyas huellas dactilares no se pueden leer? ¿Qué ocurre si el sistema bloquea el acceso a una persona autorizada durante una emergencia?
• Medidas para abordar los riesgos. Medidas técnicas como el cifrado y el almacenamiento en una tarjeta o en el dispositivo; medidas organizativas como una política, capacitación y un plan de respuesta ante incidentes de seguridad; y una alternativa no biométrica para que nadie quede excluido.

Revise la Evaluación de Impacto en la Protección de Datos (EIPD) cuando cambie el alcance, la naturaleza o el contexto del tratamiento (Artículo 35(11) del RGPD). Un análisis redactado únicamente después de una reclamación tiene poca validez para la Autoridad de Protección de Datos (AP).

¿Qué medidas de seguridad se esperan?

Recopile la menor cantidad posible de datos, consérvelos solo el tiempo necesario y protéjalos con sólidas medidas técnicas y organizativas. Estos principios se derivan de los artículos 5 y 32 del RGPD.

Empiece por minimizar los datos: recopile únicamente los datos biométricos necesarios para el propósito específico y legítimo. Para el control de acceso, una plantilla suele ser suficiente; no se requiere un escaneo facial de alta resolución. Combine esto con la limitación del almacenamiento: establezca un período de retención y elimine los datos de forma segura tan pronto como dejen de ser necesarios, por ejemplo, cuando un empleado se marcha o ya no necesita acceso.

Medidas técnicas y organizativas

La seguridad debe estar a la altura del alto riesgo. Las medidas técnicas clave incluyen:

• Cifrado de datos biométricos, tanto en reposo como en tránsito.
• Controles de acceso estrictos, de modo que solo el personal autorizado con una necesidad justificada pueda acceder a los datos.
• Almacenamiento descentralizadoSiempre que sea posible, almacene las plantillas en el dispositivo o en la tarjeta del usuario, en lugar de en una base de datos central. Esto reduce considerablemente la probabilidad de una filtración masiva.

La tecnología por sí sola no basta. Las medidas organizativas, como una política escrita sobre datos biométricos, la formación del personal, las auditorías de seguridad periódicas y los acuerdos claros con los proveedores, son igualmente importantes. Si un proveedor procesa los datos en su nombre, necesita un acuerdo de procesamiento de datos conforme al artículo 28 del RGPD.

Un aviso de privacidad claro

Las personas tienen derecho a saber qué se hace con sus datos biométricos (artículos 13 y 14 del RGPD). La información debe ser concisa, fácil de encontrar y estar redactada en un lenguaje sencillo.

Un aviso de privacidad sobre el procesamiento de datos biométricos debe explicar quién es usted y cómo contactarlo, por qué procesa los datos, la base legal según el Artículo 6 y la excepción en la que se basa, qué datos recopila (por ejemplo, una plantilla de huella dactilar), cuánto tiempo los conserva, con quién los comparte, incluidos los proveedores, y qué derechos tienen las personas, como el acceso, la rectificación, la supresión y la oposición.

¿También se aplica la Ley de IA?

Sí, para determinados sistemas biométricos. La Ley de Inteligencia Artificial de la UE (Reglamento (UE) 2024/1689) añade normas adicionales al RGPD.

Desde el 2 de febrero de 2025, la Ley de IA prohíbe categóricamente diversas prácticas, como la extracción indiscriminada de imágenes faciales de internet o grabaciones de cámaras para crear bases de datos de reconocimiento facial, el reconocimiento de emociones en el ámbito laboral y educativo (salvo por motivos médicos o de seguridad) y la categorización biométrica para inferir características sensibles como la raza o la orientación sexual. Otros sistemas biométricos, como la identificación biométrica remota, se clasifican como de alto riesgo y están sujetos a requisitos estrictos. Consulte ambos marcos normativos antes de implementar un sistema.

¿Cuáles son las consecuencias del incumplimiento?

Multas elevadas, órdenes de cese del tratamiento y reclamaciones por daños y perjuicios. En caso de tratamiento ilícito de categorías especiales, el RGPD prevé multas de hasta 20 millones de euros o el 4 % de la facturación anual mundial, la cantidad que sea mayor.

Estos importes máximos se derivan del artículo 83, apartado 5, del RGPD y se aplican, entre otros, al tratamiento de datos sin base jurídica válida ni excepción. El incumplimiento de las obligaciones en materia de seguridad y notificación de violaciones de seguridad (artículos 32 a 34 del RGPD) puede conllevar multas de hasta 10 millones de euros o el 2 % de la facturación mundial. Las multas deben ser efectivas, proporcionales y disuasorias. La entidad autorizada determina el importe según su propia política de sanciones.

¿Qué medidas ha implementado la AP?

La AP ha multado tanto a empleadores como a empresas tecnológicas por el procesamiento ilegal de datos biométricos. Dos decisiones destacan especialmente.

En 2020, la AP impuso una multa de 725,000 euros a una empresa que escaneaba las huellas dactilares de sus empleados para el control de asistencia y horario. La AP determinó que no se aplicaba ninguna de las excepciones: el consentimiento de los empleados no se había otorgado libremente y la facilidad para registrar las horas trabajadas no constituye un fin de seguridad que justifique el procesamiento biométrico. En septiembre de 2024, la AP multó a la empresa estadounidense Clearview AI con 30.5 millones de euros por crear una base de datos de imágenes faciales, incluyendo las de ciudadanos neerlandeses, sin fundamento legal.

La aplicación de la AP se basa en cuatro preguntas clave: ¿Cuál es su propósito, específicamente definido y no como una medida de «seguridad» en general? ¿Podría lograrse mediante métodos menos intrusivos? Si se requiere el consentimiento, ¿podrían las personas negarse sin consecuencias? ¿Se evaluó y documentó esto antes de la implementación del sistema? Nuestro artículo sobre la Autoridad de Protección de Datos de los Países Bajos explica con mayor detalle las competencias de la AP.

Otras consecuencias

Una multa no es el único riesgo. La autoridad competente puede ordenarle que detenga el procesamiento de datos, lo que puede paralizar un sistema del que dependen sus operaciones, y puede ordenarle que elimine los datos recopilados ilegalmente. Las personas cuyos datos fueron procesados ​​ilegalmente pueden reclamar una indemnización por daños materiales e inmateriales en virtud del artículo 82 del RGPD, y en los Países Bajos dichas reclamaciones también pueden presentarse de forma colectiva. El daño a la reputación derivado de una decisión de la autoridad competente puede ser considerable.

¿Qué se debe hacer si se filtran datos biométricos?

Contenga la brecha, evalúe el riesgo, notifique a la autoridad competente en un plazo de 72 horas y, si el riesgo es alto, informe a las personas afectadas sin demora injustificada. Elabore un plan de respuesta antes de que surja algún problema.

Según el artículo 33 del RGPD, debe notificar a la AP cualquier violación de datos personales sin dilación indebida y, siempre que sea posible, en un plazo de 72 horas desde que tenga conocimiento de ella, salvo que sea improbable que la violación suponga un riesgo para las personas afectadas. La notificación describe la naturaleza de la violación, las categorías y el número aproximado de personas y registros afectados, las posibles consecuencias y las medidas adoptadas o propuestas. Si no puede proporcionar toda la información de una vez, puede complementarla posteriormente.

Paso 1: contener la brecha y evaluar el impacto.

Su prioridad principal es detener la brecha de seguridad. Aísle los sistemas afectados, conserve los registros y demás pruebas para la investigación, y determine con exactitud qué datos se vieron afectados: imágenes sin procesar o plantillas cifradas, y a quién pertenecían.

Paso 2: decidir si se debe informar a las personas afectadas.

Según el artículo 34 del RGPD, debe informar a las personas afectadas sin demora indebida si la violación de seguridad supone un alto riesgo para sus derechos y libertades. En el caso de los datos biométricos, este umbral suele cumplirse, ya que los datos no se pueden modificar. La excepción son, por ejemplo, los datos que estaban fuertemente encriptados y cuya clave no se vio comprometida. El mensaje debe ser claro y conciso: qué sucedió, qué datos se vieron afectados y qué pueden hacer las personas para protegerse.

Paso 3: llevar a cabo y documentar la respuesta.

Documente cada paso: el momento del descubrimiento, las decisiones tomadas, las comunicaciones y las medidas técnicas. Según el artículo 33(5) del RGPD, debe documentar cada infracción, incluso aquellas que no estaba obligado a notificar. Una buena documentación demuestra a la autoridad competente que actuó con diligencia y puede influir en la evaluación del caso.

¿Qué debería comprobar como empleador o empresa?

Primero, verifica la necesidad y documenta cada paso antes de que el sistema entre en funcionamiento. Estas cinco comprobaciones abarcan los puntos que revisa AP.

• Escriba el propósito específico de seguridad y por qué una tarjeta, un código PIN o una llave no son suficientes (Artículo 29 de la UAVG).
• Registra tu base legal según el artículo 6 del RGPD y la excepción según el artículo 9(2) del RGPD o el artículo 29 de la UAVG.
• Complete la DPIA antes del primer escaneo y consulte con la AP si persiste un riesgo elevado (artículos 35 y 36 del RGPD).
• Solicite el consentimiento del comité de empresa en virtud del artículo 27(1)(k) y (l) del WOR antes de introducir el sistema.
• Firma un acuerdo de procesamiento de datos con el proveedor (Artículo 28 del RGPD) y establece un período de retención para las plantillas.

¿Qué debes comprobar como empleado o cliente?

Tienes derecho a saber cómo se utilizan tus datos biométricos y a oponerte a su tratamiento ilícito. Ten en cuenta estos puntos si te piden que escanees tu huella dactilar o tu rostro.

• ¿Existe alguna alternativa no biométrica, como una tarjeta de identificación o un código PIN, y se puede utilizar sin inconvenientes?
• ¿Indica el aviso de privacidad la finalidad, la base jurídica y el período de conservación (artículos 13 y 14 del RGPD)?
• ¿El comité de empresa dio su consentimiento al sistema, en caso de que su empleador disponga de uno (Artículo 27 del Reglamento de Trabajo)?
• Solicite acceso a sus datos o su eliminación; la organización debe responder en el plazo de un mes (artículos 12, 15 y 17 del RGPD).
• Si no se respetan sus derechos, presente una reclamación ante la AP (Artículo 77 del RGPD) o reclame una indemnización por daños y perjuicios en virtud del Artículo 82 del RGPD.

¿Qué podemos hacer por usted con sus datos biométricos?

Nuestros abogados especializados en tecnología de la información asesoran a empleadores, empresas tecnológicas y particulares en materia de sistemas biométricos, desde la planificación inicial hasta los procedimientos ante la AP (Autoridad Tributaria Australiana).

• Evaluamos si su sistema biométrico cumple con el criterio de necesidad del artículo 29 de la Ley de Vehículos Aéreos No Tripulados (UAVG).
• Redactamos o revisamos la Evaluación de Impacto en la Protección de Datos (EIPD) y el aviso de privacidad.
• Preparamos la solicitud de consentimiento al comité de empresa de conformidad con el artículo 27 del Reglamento de Trabajo.
• Revisamos el acuerdo de procesamiento de datos con su proveedor de conformidad con el artículo 28 del RGPD.
• Le ayudamos a notificar a la AP sobre una violación de datos dentro del plazo de 72 horas y a responder a las medidas coercitivas de la AP.

Resumen

• Los datos biométricos utilizados para la identificación única constituyen una categoría especial según el artículo 9 del RGPD; su tratamiento está prohibido salvo que se aplique alguna excepción.
• En los Países Bajos, el artículo 29 de la Ley de Vehículos Aéreos No Tripulados (UAVG) lo permite únicamente cuando sea necesario para la autenticación o la seguridad; la comodidad no es suficiente.
• El consentimiento del empleado rara vez es válido; ofrezca una alternativa real que no sea biométrica y obtenga el consentimiento del comité de empresa cuando sea necesario.
• Realice una evaluación de impacto sobre la protección de datos (EIPD) con antelación, minimice los datos, almacene las plantillas localmente y encifíquelas.
• Informe de las infracciones a la AP en un plazo de 72 horas; las multas pueden alcanzar los 20 millones de euros o el 4% de la facturación mundial.

Preguntas frecuentes