CEPD: Directrius 05/2022 sobre l'ús de tècniques de reconeixement facial
Dades biomètriques sempre de categoria especial
El 2020 l'AEPD a través del seu informe jurídic 0036/2020, després d'analitzar els articles 4.14 i 9.1 del GDPR (referit i amb referència respectivament a dades biomètriques), i el dictamen 3/2012 del Grup de Treball de l'Article 29 (GT29), ara Comitè Europeu de Protecció de Dades (CEPD/EDPB), sobre l'evolució de les tecnologies biomètriques, considerava que amb caràcter general, les dades biomètriques únicament tindran la consideració de categoria especial en els supòsits en què se sotmetin a tractament tècnic dirigit a la identificació biomètrica, és a dir saber qui és la persona en qüestió (comparant les seves dades biomètriques amb altres que existeixen a la base de dades, un-a-diversos) i no en el cas de verificació o autenticació biomètrica, comprovar que la persona en qüestió és qui diu ser (comparant les seves dades biomètriques, amb les seves pròpies dades biomètriques existents a la base de dades, un a un).
Per contra, l'Autoritat Catalana de Protecció de Dades (APDCAT), aquell mateix any, en el dictamen CNS 21/2020, després de dur a terme l'anàlisi dels mateixos preceptes del GDPR (4.14 i 9.1) i del mateix dictamen del GT29 (3/2012), i basant-se també en altres informes i deliberacions d'altres autoritats de control europees (CNIL francesa, Garante italiana, i ICO britànica), conclou que, de la distinció entre identificació i autenticació biomètrica, feta en un moment, 2012, en què ni unes ni altres dades biomètriques tenien la consideració de categoria especial (a partir de l'entrada en vigor del GDPR el 2016 ), no es pot desprendre que només siguin categoria especial de dades les que tenen com a objectiu identificar a partir de la correspondència un a diversos, és a dir saber qui és la persona en qüestió, atès que això s'oposa clarament a la definició de dades biomètriques continguda a l'article 4.14 del GDPR. És a dir, que les dades biomètriques utilitzades per autenticar o verificar la identitat d'una persona, és a dir, per comprovar que aquesta persona és qui diu ser, sí que són dades de categoria especial.
El 16/05/2022, el CEPD va publicar les "Directrius 05/2022 sobre l'ús de tècniques de reconeixement facial a l'àmbit d'aplicació de la llei" en què estableix que les dades biomètriques sempre seran dades de categoria especial, seguint així el mateix criteri que l'APDCAT, CNIL, ICO i Il Garant.
El CEPD malgrat distingir al punt 10 de les directrius (pàgina 7) igualment dos supòsits en les tècniques biomètriques:
Autenticació, per tal de verificar que una persona és qui diu que és. En aquest cas, el sistema compararà una plantilla o una mostra biomètrica pregravada, com la d'una persona que es presenti en un lloc de control, per verificar si és una persona i la mateixa. Per tant, aquesta funcionalitat es basa en la comparació de dues plantilles, una per una.
Identificació, adreçada a trobar una persona entre un grup d'individus, en una àrea específica, una imatge o una base de dades. En aquest cas, el sistema ha de fer una prova a la mostra biomètrica capturada per generar una plantilla biomètrica i comprovar si coincideix amb una persona coneguda pel sistema. Per tant, aquesta funcionalitat es basa en comparar una plantilla amb una base de dades de plantilles o mostres, una a diverses.
I al punt 12 de les directrius (pàgina 8) estableix:
Si bé ambdues funcions (autenticació i identificació) són diferents, totes dues es relacionen amb el tractament de dades biomètriques relacionades amb una persona física identificada o identificable i, per tant, constitueixen un tractament de dades personals i, més específicament, un tractament de categories especials de dades personals.