Uno de los pasos más cruciales desde el punto de vista de la protección de datos es la identificación de la base jurídica para el tratamiento de los datos personales, que se enumeran en el artículo 6 del RGPD. Sin embargo, como ya se ha mencionado, el tratamiento de datos biométricos está prohibido y sólo puede producirse cuando se aplican exenciones específicas. Estas están previstas en el artículo 9.2 del RGPD y son de dos tipos. Las que son inmediatamente válidas y aplicables, y las que requieren una legislación adicional de la Unión o de los Estados miembros antes de poder ser empleadas para justificar un tratamiento de datos biométricos.
| Bases legales disponibles previstas por el RGPD para el tratamiento de datos biométricos | |
| Requiere legislación adicional de la UE o de los Estados miembros | |
| Consentimientoexplícito | |
| Empleo, seguridad social y protección social | ✓ |
| Interesesvitales | |
| Actividades de asociaciones y otras entidades sin ánimo de lucro | |
| Los datos han sido publicados por el interesado | |
| Reclamaciones legales o actos judiciales | |
| Interéspúblicosustancial | ✓ |
| Salud o asistencia social | ✓ |
| Interéspúblicosanitario | ✓ |
| Archivo, investigación y estadísticas | ✓ |
Cuando se aplica una de estas excepciones, el responsable del tratamiento puede seleccionar una de las bases jurídicas enumeradas en el artículo 6 del RGPD y tratar los datos personales en consecuencia.
Entre las diez exenciones del artículo 9.2 del RGPD, dos son especialmente relevantes en el presente documento. La primera es el requisito del “consentimiento explícito”. En el contexto del tratamiento de datos biométricos, el consentimiento de los interesados deberá ser “explícito”, lo que significa que deberá ser una declaración clara, específica e inequívoca de que los interesados consienten que sus datos biométricos sean tratados para los fines específicos identificados por el responsable[1] del tratamiento. Por ejemplo, en caso de tratamiento de datos biométricos extraídos de fotografías, no bastará con recoger el consentimiento de los interesados sobre el tratamiento de dichas fotografías. Se informará a los sujetos de que se extraerán y tratarán características biométricas, y se recogerá el consentimiento explícito.
| Ejemplo: Consentimientoversusconsentimientoexplícito | |
| Consentimiento | Consentimientoexplícito |
| “Por favor, proporcione una foto suya de frente, tomada en un entorno bien iluminado. La foto se utilizará para extraer características biométricas con el fin de desarrollar un nuevo sistema de reconocimiento biométrico.” | “A – Por favor, proporcione una foto suya de frente, tomada en un entorno bien iluminado.
B – La imagen se utilizará para extraer características biométricas con el fin de desarrollar un nuevo sistema de reconocimiento biométrico. C – Antes de enviar la fotografía, marque la siguiente casilla para indicar que da su consentimiento como interesado para que su fotografía sea tratada con el fin de extraer características biométricas que serán tratadas de acuerdo con la finalidad descrita en el punto B. Marque la casilla☐” |
Al hablar de consentimiento en el contexto de la investigación, también es importante distinguir entre el consentimiento para ser participante en el estudio y el consentimiento para que se procesen los datos personales. Se trata de dos tipos de consentimiento diferentes y deberán recogerse de forma independiente[2]. El equipo de investigación puede basarse en un único formulario de consentimiento, siempre que éste distinga claramente entre los dos tipos de consentimiento y no los recoja en un único acuerdo (para más información, véase el documento “Issues and gaps analysisoninformedconsent in thecontextof ICT research and innovation” en: https://www.panelfit.eu/wp-content/uploads/2020/11/D21-Issues-and-gaps-analysis-on-informed-consent-in-the-context-in-ICT-research-and-Innovation.pdf).
Otra exención al tratamiento de datos personales de categoría especial que es pertinente a efectos de este documento es la exención para el tratamiento necesario para las actividades de investigación. La exención requiere que se cumplan dos criterios para que sea aplicable. En primer lugar, el tratamiento debe estar sujeto a las garantías técnicas y organizativas apropiadas según el artículo 89.1 del RGPD. En segundo lugar, debe existir una legislación de la Unión o de los Estados miembros que proporcione un fundamento jurídico para el tratamiento en el contexto de una actividad de investigación. Este último criterio implica que la exención para fines de investigación puede no ser aplicable en todas partes. Por lo tanto, los investigadores deben llevar a cabo una revisión de las legislaciones nacionales de todos los Estados en los que se va a realizar la investigación para identificar si dichas normas están presentes (véase “Estudio comparativo de los informes nacionales” en https://www.panelfit.eu/national-reports/).
- El RGPD reconoce en el considerando 33 que podría no ser posible identificar plenamente la finalidad del tratamiento de datos en el momento de la recogida de los mismos y que, por lo tanto, debe permitirse a los interesados dar su consentimiento para determinados “ámbitos de la investigación científica”. El punto planteado por el considerando 33 y una serie de retos interpretativos se han investigado en el documento “Issues and gaps analysisoninformedconsent in thecontextof ICT research and innovation”. ↑
- Véase European Data Protection Board, ‘Guidelines 05/2020 on Consent under Regulation 2016/679’, May 2020, 30; European Data Protection Board, ‘Opinion 3/2019 Concerning the Questions and Answers on the Interplay between the Clinical Trials Regulation (CTR) and the General Data Protection Regulation’, 2019. ↑