Identificación y autenticación biométrica frente a la protección de los datos personales.
Desde hace poco en nuestro país la identificación biométrica dejó de ser una novedad tecnológica. Hoy la encontramos en torniquetes, aplicativos móviles, cajeros automáticos, clínicas y empresas de todos los tamaños. Sin embargo, detrás de esa aparente simplicidad —poner un dedo, mirar a una cámara o hablar frente a un micrófono— existe un manejo complejo de información que requiere especial cuidado, dada la naturaleza de esta.
La biometría como dato sensible
La Ley 1581 de 2012 y su reglamentación consideran que los datos biométricos hacen parte de la categoría especial denominada como datos sensibles, ya que permita identificar en forma única a una persona. Este solo hecho cambia por completo el nivel de responsabilidad del responsable del tratamiento: La autorización debe ser expresa, no tácita, toda vez que el titular debe saber exactamente para qué será usada su información. La empresa debe justificar por qué necesita de la biometría y no de otro mecanismo que permita cumplir la finalidad deseada. No se puede usar este tipo de datos “por si acaso” o “para mayor comodidad”.
¿En qué casos tiene sentido usar biometría?
En la práctica, la mayoría de las organizaciones la implementan por dos razones: control de acceso y verificación de identidad en operaciones de riesgo. Cuando la empresa usa biometría para fines distintos —por ejemplo, para registrar ingreso laboral cuando existe otra alternativa menos invasiva— debe evaluar si realmente la misma resulta proporcional.
Los errores que más se repiten
A diario se ven situaciones que generan riesgos innecesarios, como: Formularios que no explican de forma clara la finalidad, equipos que almacenan los datos biométricos sin medidas de protección avanzadas, sistemas que conservan la información por tiempo indefinido, personas que participan en esos procesos sin contar con la información suficiente y necesaria para conocer su finalidad o que se actúa sin contar la debida autorización, entre otros.
Ninguno de estos puntos es menor. Los datos biométricos, una vez expuestos, no se pueden “cambiar” como una contraseña, dada su naturaleza.
Buenas prácticas mínimas
Para evitar incumplimientos y proteger a los titulares, las organizaciones deberían:
- Diseñar un procedimiento específico para recolección, uso y supresión de datos biométricos.
- Implementar medidas de seguridad reforzadas y control estricto de accesos.
- Documentar la autorización del titular y conservar evidencia verificable.
- Limitar la información recopilada a lo estrictamente necesario.
- Realizar evaluaciones periódicas de riesgos asociados a estas tecnologías.
Un uso responsable es posible
La biometría no debe verse como una amenaza, sino como una herramienta que exige madurez digital y cumplimiento normativo. Su implementación puede aportar seguridad y eficiencia, siempre que se respete el principio fundamental del habeas data: el tratamiento de la información personal debe ser transparente, limitado y proporcional.
Jose Luis Blanco.
Abogado especialista en Protección de datos
