Todos hemos pasado por una situación similar. A la entrada de una oficina la recepcionista recibe tu identificación para entrar y te dice algo así como ¿podría mirar a la cámara? Te das cuenta que junto a ella está una pequeña cámara que te toma una fotografía. Ni siquiera se oye un click cuando toma la imagen de tu rostro. Es el mundo del 2017 donde las selfies son necesarias hasta para entrar en algún edificio.
El cuerpo humano tiene numerosos rasgos que pueden ser usados para identificación debido a que son únicos para cada persona. El más común es la huella dactilar, pero en los últimos años la cantidad de datos analizables se ha expandido: los patrones del iris y la retina, la distribución de las venas en la mano, los rasgos faciales, las tonalidades de la voz, los gestos al hablar, caminar y hasta teclear pueden ser usados como formas para identificar una persona.
Un creciente número de servicios y aplicaciones de la vida digital están vinculados con la identificación de dichos patrones: es común desbloquear el celular con la huella dactilar y cada vez más servicios bancarios usan el reconocimiento facial para identificar al usuario. Esto sin mencionar que gobiernos como el de México están trabajando para crear bases nacionales de datos biométricos. Sin embargo, la protección legal de estos datos corre en una pista nebulosa, donde no existe una claridad plena sobre cómo se deben proteger los datos.
En teoría, los datos biométricos están protegidos por la Ley Federal de Protección de Datos Personales en Poder de los Particulares, publicada en el Diario Oficial en julio de 2010. Esta ley indica en su artículo 8 que “cualquier tratamiento de datos por parte de los particulares requiere del consentimiento de su titular”. Es aquí donde comienzan las complicaciones porque si uno no consiente ser fotografiado para entrar a un edificio, muy probablemente el acceso le será denegado. ¿Existe alguna opción ante esto u otras situaciones donde no hay opciones posibles?
Pero esto es apenas el principio. El siguiente tema es el manejo de los datos. ¿Cómo sabemos si esa fotografía junto con otros datos está resguardada para impedir su uso para fines como la suplantación de identidad? La ley indica en su artículo 16 que cualquier particular que recabe datos debe ofrecer un aviso de privacidad donde se especifique la identidad y domicilio de quien recibe los datos, la finalidad de su resguardo, tratamiento y quizá lo más importante, “los medios para ejercer los derechos de acceso, rectificación, cancelación u oposición”.
¿Qué son estos derechos? Conocidos en el argor de los datos personales como derechos ARCO (Acceso, Rectificación, Cancelación y Oposición) son un conjunto de derechos que tienen todos los ciudadanos respecto a sus datos, incluyendo los datos biométricos. Esta es la razón por la que en algunos edificios haya en la recepción un cartelito que señala los
requerimientos establecidos por el artículo 16 de la ley arriba citada. Sin embargo, casi nadie sabe siquiera de la existencia de este aviso.
Si alguien desea hacer válidos los derechos ARCO y solicitar que la foto tomada por la señorita recepcionista sea borrada, es posible que sean borrados pero, ¿cómo saber si los realmente fueron eliminados? Es una carrera sin final, porque si después de este camino pantanoso alguien no se siente satisfecho, la autoridad en esta materia es el Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales, mejor conocido como Inai.
Y bien, es allí donde las cosas hacen ¡plop! como en la legendaria historieta de Condorito.
Como lo comentó Gerardo Soria hace algunos días, en una resolución mal redactada y aparentemente votada en forma descuidada, el Inai autorizó a que un particular retenga hasta por una década los datos biométricos de una persona, incluso cuando ésta no tiene relación alguna con la entidad retenedora de los datos. Un edificio regulatorio construido con mucho esfuerzo, tirado a la basura por la incuria (poco cuidado, negligencia, de acuerdo con la Real Academia Española) de autoridades descuidadas.
¿Qué hacer al respecto? Lo primero es comprender que los datos personales, sean biométricos o no, tienen un gran valor. Cualquier entidad que retenga los datos de una persona, incluso cuando sea para un fin tan anodino como entrar en un edificio está adquiriendo una gran responsabilidad y que cualquier mal uso de dichos datos puede tener consecuencias desastrosas. En Estados Unidos Steve Talley, un empleado de una empresa de seguros quien fue detenido equivocadamente dos veces acusado de asalto bancario debido a información biométrica pobremente analizada.
Hay que prepararse para el mundo que se nos viene.
