Dades biomètriques i el RGPD: normes als Països Baixos

Les dades biomètriques, com ara les empremtes dactilars, les imatges facials o els patrons de veu, són una categoria especial de dades personals segons el RGPD quan es processen per identificar una persona de manera única. Als Països Baixos, aquest processament està prohibit en principi; la principal excepció és quan és necessari per a l'autenticació o la seguretat, i per als empleats aquesta prova rarament es compleix amb un rellotge de control o una porta d'oficina.

L'Autoritat de Protecció de Dades dels Països Baixos (Autoriteit Persoonsgegevens, AP) aplica aquestes normes estrictament i ha multat empresaris i empreses tecnològiques per utilitzar dades biomètriques sense una base vàlida. A continuació, expliquem què es considera dades biomètriques, quins fonaments legals hi ha, quan necessiteu una avaluació d'impacte sobre la protecció de dades, quines garanties s'esperen i què cal fer si alguna cosa va malament.

Què són les dades biomètriques segons el RGPD?

Les dades biomètriques són dades personals resultants del processament tècnic específic de les característiques físiques, fisiològiques o conductuals d'una persona, que permeten o confirmen la identificació única d'aquesta persona. La finalitat i la tècnica decideixen, no el tipus d'imatge o enregistrament.

Aquesta definició es troba a l'article 4(14) del Reglament general de protecció de dades (RGPD) . Una fotografia d'un empleat en una targeta d'identificació és una dada personal, però no automàticament una dada biomètrica. En el moment en què la mateixa fotografia es converteix en una plantilla facial i un sistema de reconeixement l'utilitza per concedir accés a un edifici, es converteix en una dada biomètrica. Aquest canvi canvia completament el marc legal.

Exemples d'identificadors biomètrics són les empremtes dactilars, la geometria facial, els patrons de l'iris i la retina, els patrons de veu i els trets de comportament com el ritme d'escriptura o la manera com algú camina. El que tenen en comú és que s'utilitzen per reconèixer un individu específic.

Per què el RGPD tracta les dades biomètriques de manera diferent?

Segons l'article 9 del RGPD, les dades biomètriques tractades amb la finalitat d'identificar de manera única una persona pertanyen a les categories especials de dades personals. La mateixa categoria inclou dades sobre l'origen racial o ètnic, les opinions polítiques, les creences religioses, la salut i la vida sexual.

El motiu és que les conseqüències d'un mal ús són greus i sovint irreversibles. Una contrasenya es pot canviar; una empremta digital o un iris no. Si una base de dades de plantilles biomètriques es veu compromesa, les persones afectades s'enfronten a un risc permanent de frau d'identitat. La taula següent mostra les aplicacions habituals.

El fil conductor és la finalitat de la identificació única. Quan aquesta finalitat és present, s'aplica la prohibició de l'article 9 i cal una de les excepcions específiques.

Quina és la rigorositat de l'enfocament holandès?

L'AP interpreta aquestes normes de manera estricta. El seu punt de partida és que la identificació biomètrica està prohibida i que les excepcions són limitades.

La Llei neerlandesa d'implementació del RGPD (Uitvoeringswet Algemene verordening gegevensbescherming, UAVG) afegeix una excepció nacional. En virtut de l'article 29 de l'UAVG, les dades biomètriques es poden processar per a la identificació única si això és necessari per a l'autenticació o la seguretat. "Necessari" és la paraula clau. Significa que la finalitat no es pot aconseguir raonablement amb mitjans menys intrusius, com ara una targeta, un codi o una clau. L'AP ha deixat clar en la seva guia que el reconeixement facial en llocs d'accés públic, com ara botigues, en principi no està permès.

Quina base jurídica necessites?

Necessiteu dues: una base legal segons l'article 6 del RGPD per al tractament com a tal, i una excepció segons l'article 9(2) del RGPD o l'article 29 de la UAVG per aixecar la prohibició de les categories especials. Sense totes dues, el tractament és il·legal.

L'article 6 del RGPD enumera sis bases legals: consentiment, execució d'un contracte, una obligació legal, interessos vitals, una missió d'interès públic i interessos legítims. Aquest és el primer obstacle i s'aplica a totes les dades personals.

Com que les dades biomètriques són una categoria especial, heu de complir una de les condicions de l'article 9(2) del RGPD o l'excepció neerlandesa de l'article 29 de la Llei sobre dades biomètriques (UAVG). Aquestes són les úniques vies per les quals es pot aixecar la prohibició. Abans de començar, determineu també qui és el responsable del tractament i qui actua com a encarregat del tractament, per exemple, el proveïdor del sistema d'escaneig. El nostre article sobre les funcions del responsable del tractament i de l'encarregat del tractament en virtut del RGPD explica la diferència i l'acord de tractament que necessiteu.

Quan és vàlid el consentiment explícit?

El consentiment explícit és un estàndard més elevat que el consentiment ordinari. Ha de ser donat mitjançant una declaració clara i afirmativa i ha de ser específic, informat, inequívoc i lliurement donat.

• específica: una referència general a "fins de seguretat" no és suficient; heu d'indicar exactament per què necessiteu les dades biomètriques.
• informat: la gent ha de saber quines dades recopileu, què en feu, qui hi té accés i quant de temps les conserveu.
• Donat gratuïtament: la persona ha de poder rebutjar sense conseqüències negatives i ha de poder retirar el consentiment en qualsevol moment.

En una relació laboral, l'última condició és el problema. Un empleat que es nega pot témer conseqüències, i per tant, l'AP considera que el consentiment de l'empleat rarament es dóna lliurement. Un empresari que es basa en el consentiment ha de poder demostrar que existia una alternativa real i que es va oferir a la pràctica, no només sobre el paper.

Per als clients, el consentiment pot funcionar, sempre que la participació sigui realment voluntària. Un client que tria pagar amb reconeixement facial, amb una alternativa equivalent disponible al mateix taulell, es troba en una posició diferent d'un empleat que ha d'utilitzar un escàner d'empremtes dactilars per començar a treballar.

Quines altres excepcions hi ha?

Les altres excepcions són limitades. La taula següent compara les més rellevants.

Triar la base adequada requereix una anàlisi documentada de la vostra situació específica. Triar el terreny més convenient sense aquesta anàlisi és una via ràpida cap a l'incompliment.

Podeu utilitzar empremtes dactilars o escanejos facials per als empleats?

Només si la biometria és realment necessària per a l'autenticació o la seguretat, i un mitjà menys intrusiu no seria suficient. Per al registre de temps, una caixa o una porta d'oficina normal, això no sol ser el cas.

La prova segons l'article 29 de la Llei sobre els vehicles amb vigilància a distància (UAVG) és si la finalitat es podria aconseguir raonablement per mitjans menys intrusius. Un escàner que controla l'accés a una caixa forta, un sistema de registre de temps o una porta d'oficina normalment no supera aquesta prova, perquè una targeta identificativa, un codi o una clau aconsegueixen el mateix resultat sense dades biomètriques. Quan s'accepta l'accés biomètric, la garantia és substancial i específica: una instal·lació que manipula materials perillosos, un laboratori segur, un centre de dades o una caixa forta.

El consentiment rarament salva un sistema d'aquest tipus, per les raons explicades anteriorment. I hi ha un segon requisit a part. Quan existeix un comitè d'empresa (ondernemingsraad), un sistema que registra o controla l'assistència, el comportament o el rendiment dels empleats, o que processa les seves dades personals, requereix el seu consentiment en virtut de l'article 27(1)(k) i (l) de la Llei de comitès d'empresa (Wet op de ondernemingsraden, WOR). El compliment del RGPD no elimina aquest requisit, i un sistema introduït sense consentiment pot ser impugnat.

Podeu utilitzar la biometria per als clients?

De vegades, però s'apliquen les mateixes normes estrictes. Amb els clients, el consentiment explícit pot ser un motiu vàlid, sempre que l'ús de dades biomètriques sigui realment opcional i hi hagi una alternativa equivalent disponible.

Exemples comuns són el desbloqueig d'una aplicació bancària amb una empremta digital, la verificació d'identitat amb una selfie en obrir un compte en línia i l'accés a un gimnàs o esdeveniment amb reconeixement facial. Quan la comprovació biomètrica es fa completament al telèfon del client, utilitzant la tecnologia integrada del telèfon, l'empresa normalment no rep les dades biomètriques en si. Això redueix significativament el risc i les obligacions de l'empresa.

Quan l'empresa processa les dades ella mateixa, per exemple comparant una selfie amb una foto de carnet als seus propis servidors, necessita un motiu vàlid. El consentiment requereix que el client pugui triar una altra via, com ara la verificació mitjançant una transferència bancària o una visita a una sucursal, sense cap desavantatge. Per als bancs i altres institucions financeres, les obligacions de diligència deguda amb el client en virtut de la legislació contra el blanqueig de capitals tenen un paper important, però no requereixen per si mateixes el processament biomètric.

I què passa amb les càmeres amb reconeixement facial?

Les càmeres de reconeixement facial en botigues, estadis o altres llocs d'accés públic no estan permeses en principi per a festes privades. Les persones que passen per allà no poden donar el seu consentiment explícit, i poques vegades hi ha una necessitat que compleixi la prova de l'article 29 UAVG.

L'AP ha advertit als minoristes que no està permès l'ús del reconeixement facial per identificar lladres de botigues o reconèixer clients. La vigilància per càmeres ordinària, sense identificació biomètrica, està subjecta a normes diferents i menys estrictes, però encara requereix un interès legítim, avisos clars i períodes de retenció limitats. Afegir programari de reconeixement facial a un sistema de càmeres existent canvia completament l'avaluació.

Quan necessiteu una avaluació d'impacte sobre la protecció de dades?

Gairebé sempre. El processament de dades biomètriques per identificar persones és un processament d'alt risc, i l'AP l'ha inclòs a la seva llista d'operacions de processament que requereixen una avaluació d'impacte sobre la protecció de dades (DPIA) en virtut de l'article 35 del RGPD.

Una DPIA és una avaluació estructurada de riscos per a la privadesa. T'obliga a descriure què penses fer, identificar els riscos per a les persones implicades i decidir com gestionar aquests riscos abans d'escanejar una sola empremta digital o una cara. Si el risc restant és alt i no es pot reduir prou, has de consultar l'AP abans de començar (article 36 del RGPD).

La DPIA es basa en la base jurídica: primer s'estableix una base en virtut de l'article 6 i una excepció en virtut de l'article 9 o l'article 29 de la UAVG, i després s'avalua si el sistema específic és necessari i proporcionat.

Què conté una DPIA?

Prenguem com a exemple un escàner d'empremtes dactilars per accedir a una sala de servidors. Una DPIA cobreix quatre elements.

• Una descripció del processament. Quines dades recopileu: una plantilla o una imatge completa? Com ​​es recopilen, on s'emmagatzemen, com s'utilitzen i quan s'eliminen? Qui hi té accés? Hi ha algun proveïdor implicat?
• Necessitat i proporcionalitat. Quin problema específic esteu resolent, com ara l'accés no autoritzat a la sala de servidors? Per què les credencials o els codis no són suficients en aquest cas? Les dades que recopileu són les mínimes necessàries?
• Els riscos per a les persones implicades. Què passa si roben la base de dades de plantilles? Es podrien utilitzar les dades més tard per a altres finalitats, com ara el control de l'horari laboral (desviació de funcions)? Què passa amb els empleats que no es poden llegir les empremtes dactilars? Què passa si el sistema bloqueja una persona autoritzada durant una emergència?
• Mesures per fer front als riscos. Mesures tècniques com ara el xifratge i l'emmagatzematge en una targeta o en el dispositiu; mesures organitzatives com ara una política, formació i un pla de resposta a les violacions de seguretat; i una alternativa no biomètrica perquè ningú no en quedi exclòs.

Una DPIA no és un document puntual. Reviseu-la quan canviï l'abast, la naturalesa o el context del processament. És la vostra principal prova que heu considerat la implementació amb cura. Una anàlisi escrita després d'una queixa té poc pes; la mateixa anàlisi realitzada prèviament demostra que la decisió va ser ben meditada.

Quines garanties s'esperen?

Recollir la mínima quantitat possible, no conservar-la més temps del necessari i protegir-la amb mesures tècniques i organitzatives estrictes. Aquests principis es deriven dels articles 5 i 32 del RGPD.

Comença amb la minimització de dades: recopila només les dades biomètriques necessàries per a la finalitat específica i legítima. Per al control d'accés, normalment n'hi ha prou amb una plantilla; no cal una exploració facial d'alta resolució. Combina això amb una limitació d'emmagatzematge: estableix un període de retenció i suprimeix les dades de manera segura tan bon punt ja no siguin necessàries, per exemple, quan un empleat marxa o ja no necessiti accés.

Mesures tècniques i organitzatives

La seguretat ha d'estar a l'alçada de l'alt risc. Les mesures tècniques clau inclouen:

• Xifrat de dades biomètriques, tant en repòs com en trànsit.
• Controls d'accés estrictes, de manera que només el personal autoritzat amb una necessitat clara pugui accedir a les dades.
• Emmagatzematge descentralitzat: sempre que sigui possible, emmagatzemar les plantilles al dispositiu o a la targeta de l'usuari en lloc de fer-ho en una base de dades central. Això fa que una violació massiva sigui molt menys probable.

La tecnologia per si sola no és suficient. Les mesures organitzatives, com ara una política escrita sobre dades biomètriques, la formació del personal, les auditories de seguretat periòdiques i els acords clars amb els proveïdors, són igualment importants. Si un proveïdor processa les dades en nom vostre, necessiteu un acord de processament segons l'article 28 del RGPD.

Un avís de privadesa clar

Les persones tenen dret a saber què feu amb les seves dades biomètriques (articles 13 i 14 del RGPD). La informació ha de ser concisa, fàcil de trobar i escrita en un llenguatge planer.

Un avís de privadesa sobre el processament biomètric ha d'explicar qui sou i com contactar-vos, per què processeu les dades, la base jurídica en virtut de l'article 6 i l'excepció en què es basa, quines dades recopileu (per exemple, una plantilla d'empremta digital), quant de temps les conserveu, amb qui les compartiu, inclosos els proveïdors, i quins drets tenen les persones, com ara l'accés, la rectificació, l'esborrat i l'oposició.

Un exemple de redacció clara: "Utilitzem una plantilla d'empremta digital, una representació numèrica de la vostra empremta digital, per donar-vos accés a la sala de servidors. La plantilla només s'emmagatzema a la vostra targeta d'accés personal. L'eliminem dels nostres sistemes quan finalitza el vostre accés. Podeu sol·licitar veure o suprimir les vostres dades en qualsevol moment".

També s'aplica la Llei d'IA?

Sí, per a certs sistemes biomètrics. La Llei d'intel·ligència artificial de la UE (Reglament (UE) 2024/1689) afegeix normes a més del RGPD.

Des del 2 de febrer de 2025, la Llei d'IA prohibeix completament diverses pràctiques, com ara l'extracció no específica d'imatges facials d'Internet o imatges de càmeres per crear bases de dades de reconeixement facial, el reconeixement d'emocions al lloc de treball i a l'educació (excepte per motius mèdics o de seguretat) i la categorització biomètrica per inferir característiques sensibles com la raça o l'orientació sexual. Altres sistemes biomètrics, com la identificació biomètrica remota, es classifiquen com a d'alt risc i estan subjectes a requisits estrictes. Consulteu tots dos marcs abans d'introduir un sistema.

Quines són les conseqüències de l'incompliment?

Multes elevades, ordres per aturar el processament i reclamacions per danys i perjudicis. Per al processament il·legal de categories especials, el RGPD permet multes de fins a 20 milions d'euros o el 4% de la facturació anual mundial, el que sigui més alt.

Aquests imports màxims es deriven de l'article 83(5) del RGPD i s'apliquen, entre altres coses, al tractament sense una base o excepció vàlida. Els incompliments de les obligacions en matèria de seguretat i notificació de violacions (articles 32 a 34 del RGPD) poden comportar multes de fins a 10 milions d'euros o el 2% de la facturació mundial. Les multes han de ser efectives, proporcionades i dissuasives. L'Autoritat de Control determina l'import segons la seva pròpia política de multes.

Què ha aplicat l'AP?

L'AP ha multat tant empresaris com empreses tecnològiques per processament biomètric il·legal. Destaquen dues decisions.

El 2020, l'AP va imposar una multa de 725,000 euros a una empresa que escanejava les empremtes dactilars dels empleats per al registre d'assistència i horari. L'AP va concloure que no s'aplicava cap de les dues excepcions: el consentiment dels empleats no es va donar lliurement i la comoditat en el registre d'hores no és un motiu de seguretat que faci necessari el processament biomètric. El setembre del 2024, l'AP va multar l'empresa americana Clearview AI amb 30.5 milions d'euros per crear una base de dades d'imatges facials, incloses les de persones neerlandeses, sense base legal.

Quatre preguntes recorren l'aplicació de l'Autoritat de Protecció de Dades dels Països Baixos. Quin és l'objectiu, enunciat específicament en lloc de com a "seguretat" en general? Es podria aconseguir per mitjans menys intrusius? Si es basa en el consentiment, les persones podrien negar-s'hi sense conseqüències? I es va avaluar i documentar això abans de la introducció del sistema? El nostre article sobre l' Autoritat de Protecció de Dades dels Països Baixos explica els poders de l'Autoritat de Protecció de Dades amb més detall.

Altres conseqüències

Una multa no és l'únic risc. L'AP pot ordenar-vos que atureu el processament, cosa que pot aturar un sistema del qual depenen les vostres operacions, i us pot ordenar que suprimiu les dades recollides il·legalment. Les persones les dades de les quals van ser processades il·legalment poden reclamar una indemnització per danys materials i no materials en virtut de l'article 82 del RGPD, i als Països Baixos aquestes reclamacions també es poden presentar col·lectivament. El dany a la reputació d'una decisió d'aplicació pública pot ser considerable.

Què fas si es filtren dades biomètriques?

Contenir la bretxa, avaluar el risc, notificar a l'AP en un termini de 72 hores i, si el risc és alt, informar les persones afectades sense demora indeguda. Preparar això en un pla de resposta abans que res vagi malament.

Segons l'article 33 del RGPD, heu d'informar a l'AP d'una violació de dades personals sense demora indeguda i, sempre que sigui possible, en un termini de 72 hores després de tenir-ne coneixement, tret que sigui improbable que la violació suposi un risc per a les persones afectades. La notificació descriu la naturalesa de la violació, les categories i el nombre aproximat de persones i registres afectats, les probables conseqüències i les mesures adoptades o proposades. Si no podeu proporcionar tota la informació alhora, podeu complementar-la més tard.

Pas 1: contenir la bretxa i avaluar-ne l'impacte

La vostra primera prioritat és aturar la bretxa. Aïlleu els sistemes afectats, conserveu els registres i altres proves per a la investigació i establiu exactament quines dades es van veure afectades: imatges en brut o plantilles xifrades, i de qui.

Pas 2: decidir si cal informar les persones afectades

Segons l'article 34 del RGPD, heu d'informar les persones afectades sense demora indeguda si és probable que la violació suposi un alt risc per als seus drets i llibertats. Amb les dades biomètriques, sovint es complirà aquest llindar, perquè les dades no es poden canviar. L'excepció són, per exemple, les dades que estaven xifrades de manera sòlida i la clau de les quals no s'ha vist compromesa. El missatge ha de ser en un llenguatge clar: què ha passat, quines dades hi havia implicades i què poden fer les persones per protegir-se.

Pas 3: dur a terme i documentar la resposta

Registra cada pas: el moment del descobriment, les decisions preses, les comunicacions i les mesures tècniques. Segons l'article 33(5) del RGPD, has de documentar totes les infraccions, incloses les que no havies d'informar. Una bona documentació demostra a l'AP que has actuat amb cura i pot afectar la manera com avalua el cas.

Com funciona a la pràctica?

La majoria de preguntes que rebem provenen d'empresaris que volen substituir les targetes identificatives per empremtes dactilars o escanejos facials, i d'empreses que volen utilitzar la biometria per a la verificació de clients. El resultat depèn de la necessitat i de les alternatives disponibles.

Imaginem una empresa de logística que vol utilitzar escàners d'empremtes dactilars a l'entrada del seu magatzem. La DPIA mostra que l'objectiu és evitar que es comparteixin targetes, però que les targetes personals amb un codi PIN resoldrien en gran mesura aquest problema. L'empresa opta per targetes i codis PIN, i manté l'accés biomètric només per a una petita sala de cambres amb mercaderies d'alt valor, on ofereix una alternativa no biomètrica, emmagatzema plantilles en targetes personals i ha obtingut el consentiment del comitè d'empresa. Aquest és el tipus de raonament que l'AP espera veure.

En resum

• Les dades biomètriques utilitzades per a la identificació única són una categoria especial en virtut de l'article 9 del RGPD; el seu tractament està prohibit llevat que s'apliqui una excepció.
• Als Països Baixos, l'article 29 de la UAVG només ho permet quan és necessari per a l'autenticació o la seguretat; la comoditat no és suficient.
• El consentiment dels empleats rarament és vàlid; oferiu una alternativa real no biomètrica i obteniu el consentiment del comitè d'empresa quan calgui.
• Feu una DPIA prèviament, minimitzeu les dades, emmagatzemeu les plantilles localment i xifreu-les.
• Informeu de les infraccions a l'AP en un termini de 72 hores; les multes poden arribar als 20 milions d'euros o al 4% de la facturació mundial.

Preguntes freqüents

Law & More assessora empresaris i empreses tecnològiques sobre sistemes biomètrics, DPIAs, filtracions de dades i procediments davant l'AP. No esteu segurs de la vostra situació? Expliqueu-nos la vostra situació. Us informarem de les vostres opcions en el termini d'un dia laborable.

Com Law & More us pot ajudar amb això s'explica al nostre advocat informàtic