La importancia del correcto tratamiento de datos sensibles: el caso de los datos biométricos y la liga

¿Qué se considera dato sensible? 

Los datos sensibles o datos especialmente protegidos son aquellos datos personales a los que la ley otorga una protección especial por sus características. Es el artículo 9 del Reglamento General de Protección de Datos (RGPD) el que nos describe las categorías de estos datos, siendo estos los referidos al origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, la afiliación sindical, así como los datos genéticos, biométricos, relativos a la salud o datos o los referidos a la vida sexual o la orientación sexual de una persona física. 

Estos datos cuentan con una prohibición general para su tratamiento salvo que se cuenta una base de legitimación apropiada que justifique dicho tratamiento. Al margen de contar con estas excepciones es necesario aplicar unas medidas de seguridad añadidas, especialmente en lo relativo a la realización de las evaluaciones de impacto de los datos personales (EIPD).

Datos biométricos 

Como decíamos antes, los datos biométricos son considerados datos sensibles dado la posibilidad de identificar de manera inequívoca a una persona y ser exclusivos de esta. En los últimos años ha surgido un importante debate sobre el uso de este tipo de datos por parte de empresas para diferentes fines laborales, de control de accesos o incluso de seguridad.  

Sin embargo, la postura de la AEPD ha sido muy restrictiva con respecto al uso de estos datos. Nos encontramos con Guías como la de control de presencia mediante estos datos que restringen su uso hasta hacerlo prácticamente imposible en ambientes laborales.  

¿Qué es una EIPD y por qué es importante realizarla? 

Una Evaluación de Impacto de Protección de Datos (EIDP) es un análisis de la afección que un tratamiento de datos puede tener en el derecho a la protección de esos datos de los interesados afectados por este. La realización de estas evaluaciones debe realizarse de manera obligada en determinados casos (art 35 RGPD), incluyendo aquellos en los que se traten de datos sensibles. A pesar de esto es posible realizarla para cualquier tratamiento de datos como manera de garantizar un cumplimiento normativo superior.

Conflicto entre La Liga y la AEPD 

Existen diferentes casos en los que se ha prohibido su uso para controlar el acceso a determinados locales como gimnasios por considerar que ese tratamiento de datos era desproporcionado al existir alternativas menos invasivas.  

Asimismo, La Liga ha estado en el ojo de la AEPD por diferentes casos relacionados con el reconocimiento facial de los asistentes a estadios de futbol. Siguiendo en esta línea, la AEPD ha decidió sancionar a La Liga con una multa de 1 millón de euros por un sistema de reconocimiento facial el cual no cumplía con las exigencias legales del RGPD.  

La AEPD determinó que ese tratamiento requería una base legal sólida y una EIPD apropiada que no se llevó a cabo de forma correcta. Además, se concluyó que la LNFP no podía ampararse en el consentimiento de los aficionados como única base para el tratamiento de estos datos, ya que el consentimiento no se puede considerar libre debido a la falta de alternativas.  

Importancia del Cumplimiento 

Asegurarse de que se cumple con las obligaciones legales antes de realizar cualquier tratamiento resulta fundamental para evitar sanciones evitables. Además, contar con un adecuado nivel de cumplimiento genera confianza en tus clientes al garantizarles un nivel de seguridad adecuada. Desde LVS2 podemos asesorar y adecuar tu negocio desde las fases tempranas de un tratamiento de datos personales para reducir el riesgo de posibles sanciones.  

¿Sabes si tu organización necesita realizar una Evaluación de Impacto en Protección de Datos (EIPD)?

En LVS2 contamos con más de 20 años de experiencia asesorando a empresas de sectores como banca, finanzas o industria en la correcta gestión de los datos personales. Nuestro equipo multidisciplinar —formado por profesionales del derecho, ingenieros y expertos en IT— te ayuda a identificar tratamientos sensibles que requieren una EIPD conforme al RGPD.

Analizamos cada caso para asegurar que tu organización cumple con la normativa, evitando riesgos y fortaleciendo la confianza de clientes y usuarios desde el inicio de cualquier tratamiento.