Su rostro es un dato de categoría especial. Qué significa para usted el artículo 9 del RGPD

La mayoría de los datos personales que regula el RGPD (su nombre, su correo, su dirección, su historial de navegación) se rigen por normas generales. Los datos biométricos son distintos. El artículo 9 los clasifica como «categorías especiales» de datos, junto a los datos de salud, las opiniones políticas y las creencias religiosas. Su protección es mucho mayor, y las obligaciones de las empresas que los tratan también.

Qué se considera un dato biométrico

El artículo 9 protege expresamente los «datos biométricos dirigidos a identificar de manera unívoca a una persona física». Eso incluye las huellas faciales, las huellas de voz, las huellas dactilares, los escáneres de iris y cualquier tratamiento técnico que convierta características físicas en un identificador único.

Fíjese en el matiz: «dirigidos a identificar de manera unívoca». Una foto cualquiera en una red social no es un dato biométrico según el artículo 9. Esa misma foto procesada por un sistema de reconocimiento facial para crear un identificador sí lo es.

Sus derechos

• Derecho al consentimiento explícito. Las empresas no pueden tratar sus datos biométricos basándose en el interés legítimo. Necesitan su consentimiento explícito, específico e informado, y puede retirarlo en cualquier momento.
• Derecho de supresión. Puede exigir que se eliminen sus datos biométricos, y las empresas deben hacerlo sin dilación indebida (normalmente en 30 días).
• Derecho de acceso. Puede pedir una copia de todos los datos biométricos que una empresa tenga sobre usted.
• Derecho a la portabilidad. Puede pedir sus datos en un formato estructurado y legible por máquina.
• Derecho a la limitación. Puede exigir que una empresa deje de tratar sus datos mientras se resuelve una discrepancia.

Lo que deben hacer las empresas

Las empresas que tratan datos biométricos tienen obligaciones reforzadas: una evaluación de impacto relativa a la protección de datos (EIPD) antes de empezar el tratamiento, la designación de un delegado de protección de datos (DPD) en la mayoría de los casos, medidas de seguridad más estrictas y la notificación de brechas en 72 horas a las autoridades y a las personas afectadas.

El lugar de almacenamiento importa. Tratar los datos en la UE los mantiene bajo las protecciones más fuertes del RGPD. Transferirlos a países de fuera de la UE exige garantías específicas (cláusulas contractuales tipo, decisiones de adecuación) y ha sido objeto de varios recursos judiciales (Schrems I, Schrems II).

Cómo ejercer sus derechos

Cualquier empresa que trate sus datos biométricos debe ofrecerle una forma clara de ejercer estos derechos, normalmente una dirección privacy@ o un espacio en su cuenta. Si no responde en 30 días, puede presentar una reclamación ante su autoridad nacional de protección de datos. En España, la Agencia Española de Protección de Datos (AEPD). En Rumanía, la ANSPDCP. En Francia, la CNIL. En Alemania, la autoridad de protección de datos de su estado federado.

En resumen

Su rostro no es un simple dato. En la legislación europea se protege con la misma seriedad que su historial médico. Las empresas que lo tratan a la ligera incumplen la ley, y usted tiene derechos concretos y exigibles para hacer que paren.