¡Cuidadín con la obtención de datos personales vía iris!

Fuente de la imagen: mvc archivo propio

En What happens to my biometric data? (M. Velasco, 2024)[1] me hacía eco de la consideración que para la Agencia Española de Protección de Datos (AEPD), tiene el tratamiento de datos biométricos, catalogados en el Reglamento General de Protección de Datos (RGPD) como de especial protección, que conlleva elevados riesgos para los derechos de las personas, atendiendo a la naturaleza sensible de los mismos. En ese sentido, la Agencia informaba de la medida cautelar[2] para que cesara la recogida y tratamiento de esos datos personales que estaba realizando una empresa en mi país[3], y procediera a bloquear los ya recopilados[4]. La AEPD había recibido varias reclamaciones contra esa empresa en las que se denunciaban, entre otros aspectos, una información insuficiente, la captación de datos de menores o que no se permitía la retirada del consentimiento[5]. Esa medida cautelar se trataba de una decisión basada en circunstancias excepcionales, en la que resultaba necesario y proporcionado adoptar medidas provisionales dirigidas al cese inmediato de ese tratamiento de datos personales, prevenir su posible cesión a terceros y salvaguardar del derecho fundamental a la protección de datos personales.

Esa actuación de la Agencia se realizó en el marco del procedimiento incluido en el RGPD[6], que establece que, en circunstancias excepcionales, cuando una autoridad de control interesada[7] considere urgente intervenir para proteger los derechos y libertades de las personas, podrá adoptar medidas provisionales con efectos jurídicos en su territorio. Pues bien, en “Cese cautelar recopilación de datos vía iris” (M. Velasco, 2024)[8], recogía la información facilitada por el Consejo General del Poder Judicial de mi país (CGPJ), de que la Audiencia Nacional (AN)[9] ha rechazado la medida cautelarísima solicitada por la empresa afectada[10], en su recurso contra la Orden de la AEPD que suspendió de forma cautelar la recopilación y tratamiento de datos personales en España a través del iris, los ojos y el rostro y su posterior procesamiento a cambio de un pago en una criptomoneda ingresada en un wallet vinculado a una app[11]. Se considera que atendiendo a la ponderación de los intereses en conflicto y, a la vista de las circunstancias concurrentes, debe prevalecer “la salvaguarda del interés general que consiste en la protección del derecho a la protección de datos personales de los interesados frente al interés particular de la empresa recurrente de contenido fundamentalmente económico”.

El Tribunal entiende que en caso de obtener una sentencia favorable la entidad afectada podrá ser indemnizada, por lo que no se produciría un perjuicio irreparable como alega la recurrente. En su recurso, la empresa alegaba que la resolución de la Agencia de Protección de Datos le supondría elevadísimos daños y perjuicios irreparables tanto en España como a nivel mundial. Además, esgrimía que la resolución se había extralimitado en su competencia al considerar que debía ser la autoridad de Baviera, donde la empresa está domiciliada, la competente para controlar si la empresa cumple con la normativa de protección de datos. El auto de la Sala se basa en la resolución de la AEPD que explica cómo el proyecto de la empresa es un tratamiento de datos biométricos que afecta a numerosas personas, incluidos menores, y sin constar acreditado, según la AEPD, el consentimiento y la información proporcionada acerca de dicho tratamiento[12]. Fuente de la información: AEPD y CGPJ. Fuente de la imagen: mvc archivo propio.

__________________

[1] Velasco-Carretero, Manuel (2024). What happens to my biometric data? Sitio Protección de Datos. Visitado el 13/03/2024.

[2] Contra Tools for Humanity Corporation.

[3] En el marco de su proyecto Worldcoin.

[4] La compañía Tools for Humanity Corporation tiene su establecimiento europeo en Alemania.

[5] La Agencia entiende que la adopción de medidas urgentes de prohibición temporal de las actividades está justificada para evitar daños potencialmente irreparables y que no tomarlas privaría a las personas de la protección a la que tienen derecho según el RGPD.

[6] Artículo 66.1 RGPD.

[7] En este caso la AEPD.

[8] Velasco-Carretero, Manuel (2024). Cese cautelar recopilación de datos vía iris. Sitio iurepost. Visitado el 13/03/2024.

[9] Sala de lo Contencioso-administrativo.

[10] Tools for Humanity Corporation GMBH (TFH), de la empresa Worldcoin.

[11] El Tribunal indica que a los efectos de este incidente de medida cautelarísima la AEPD resulta competente para adoptar dicha medida sin perjuicio de lo que se acuerde cuando se resuelva sobre el fondo del asunto.

[12] La resolución de la AEP hace referencia a varias reclamaciones en las que se indica que se están capturando datos de menores y se denuncia la insuficiente información suministrada y que no se permite la retirada del consentimiento, remitiendo al interesado al borrado de la aplicación.