A principios de julio de 2020, la cadena de supermercados Mercadona inastalaba un sistema de reconocimiento facial en varios de sus centros en Mallorca, Zaragoza y Valencia, sin embargo, no tardaron en surgir las dudas y las preguntas; ¿con qué motivo se justifica Mercadona?, ¿es legal?, ¿y qué tiene que decir la AEPD al respecto? En esta entrada trataremos de dar respuestas a estos interrogantes.
¿Qué se sabe sobre el sistema de reconocimiento facial implantado por Mercadona?
Las cámaras de reconocimiento facial de Mercadona se han instalado en 40 de sus tiendas; este sistema, que está desarrollado por la empresa israelí AnyVision, va un paso más allá de la videovigilancia, puesto que está diseñado para detectar y reconocer personas que tengan una sentencia firme y una orden de alejamiento del establecimiento, dictadas por un juzgado. Aunque para hacer esto, debe captar el rostro de todos los clientes que entren en la tienda.
El sistema, según fuentes de la compañía, capta la imagen y la procesa en 0,3 segundos, para después eliminarla, es decir, que en principio no se guarda ninguna imagen o dato adicional sobre los clientes de la tienda. Sin embargo, ¿contra qué base de datos se está comparando esa imagen? Porque para que se produzca el reconcomiendo facial a través de la captura de imagen del rostro de una persona es necesario que exista una imagen previa para contrastarlo.
Cumpliendo con lo estipulado en el RGPD, Mercadona ha instalado en la entrada de estas tiendas carteles informativos sobre la presencia del sistema, sus fines y la norma en la que se ampara.
Pero nada más se sabe de cómo funciona exactamente este sistema de reconocimiento facial en Mercadona, por lo que las dudas que suscita al respecto, especialmente las relativas a la protección de datos y la privacidad, se deben tener en cuenta.
¿Qué explica Mercadona sobre su sistema de Reconocimiento facial?
Fuentes de la compañía han explicado que el objetivo de la instalación de este sistema de cámaras de reconcomiendo facial es mejorar y reforzar la seguridad tanto de los clientes como de los trabajadores. Se trata de un sistema de detección anticipado para evitar que entren en las tiendas personas con sentencias judiciales en firme u ordenes de alejamiento relacionadas con Mercadona o sus empleados. Es decir, que solo reconocería a estas personas, desechando las imágenes del resto de clientes.
De acuerdo con la compañía, el fin es evitar que entren personas que hayan cometido hurtos en sus tiendas (y tengan una sentencia firme sobre ello), además de poder aplicarse en casos de violencia de género, para evitar que exparejas con orden de alejamiento puedan acercarse a las empleadas de los supermercados.
También se insiste en que, con el fin de contar con todas las garantías legales, todo esto se ha llevado a cabo en contacto con las autoridades correspondientes. En cualquier caso, en la política de privacidad se debe recoger de manera clara el hecho de que las cámaras están ahí y que se está captando nuestro rostros para que sea procesado por un sistema de reconcomiendo facial. Así lo hace la empresa:
De igual modo te informamos que, con el fin de mejorar la seguridad de clientes y empleados, MERCADONA, en base al interés público puede tratar su imagen o su perfil facial biométrico para identificar a sujetos con una orden de alejamiento (o medida judicial análoga) en vigor contra MERCADONA o contra cualquiera de sus trabajadores (en aquellas tiendas de España donde está implantado el sistema de detección anticipada). Dicha imagen únicamente se utilizará con esta finalidad y permanecerá en el servidor central únicamente en el proceso de comprobación (esta comprobación dura décimas de segundo). Una vez realizada esta comprobación procederá a ser destruida definitivamente (en aquellas tiendas de España donde está implantado el sistema de detección anticipada).
¿Qué dice la AEPD sobre el reconocimiento facial y su respeto a la privacidad de las personas?
Cómo decíamos, la implantación de este sistema ha hecho saltar varias dudas sobre su legitimidad, especialmente en lo que a protección de datos y la privacidad de las personas se refiere. Dudas que ya venían de antes, puesto que las técnicas de reconocimiento facial se están extendiendo cada vez más.
Así, la Agencia Española de Protección de Datos ya publicó un informe al respecto sobre ello a finales de mayo de 2020. Para la AEPD, el reconcomiendo facial con fines de identificación biométrica supone un tratamiento de categorías especiales de datos, para los que el RGPD pide una serie de garantías extra que aseguren la protección de la privacidad de las personas.
Requisitos y garantías necesarios para poder utilizar sistemas de reconocimiento facial
El problema con estos sistemas de reconocimiento facial reside en que no existe todavía un marco normativo que regule el tratamiento de los datos biométricos, es decir, aún no se ha desarrollado ninguna ley con la que, según el informe de la AEPD, «se justifique específicamente en qué medida y en qué supuestos, la utilización de dichos sistemas respondería a un interés público esencial».
Mercadona se ampara el interés público (como habéis leído en el extracto de su política de privacidad), pero lo cierto es que no todavía no hay una norma legal que especifique y defina los requisitos que deben permitir el tratamiento de los datos biométricos. Y por mucho que se asegure que las imágenes captadas se desechan en décimas de segundo, se está produciendo un tratamiento de esos datos, puesto que, como decíamos más arriba, con alguna base de datos se deben estar comparando las imágenes.
Así que podemos decir que a día de hoy, no hay ninguna ley o norma en la que se recojan los requisitos y garantías necesarios para poder emplear un sistema de reconcomiendo facial como el que instalado Mercadona en sus 40 tiendas. Por el momento, solo podemos atenernos a lo que dice el RGPD sobre el tratamiento de datos biométricos.
Los datos biométricos tienen una protección especial
Los datos biométricos tienen una protección especial porque a través de ellos se puede confirmar la identificación de una persona y revelan información personal adicional sobre ella, como son la raza, el género, discapacidades, etc. Es por ello que su tratamiento solo puede llevarse a cabo cuando se trata de una situación legítima, amparada por las causas excepcionales recogidas en el artículo 9.2 del RGPD y en el caso que nos ocupa, en la letra «f» de dicho artículo: «el tratamiento es necesario para la formulación, el ejercicio o la defensa de reclamaciones o cuando los tribunales actúen en ejercicio de su función judicial».
Mercadona y su reconocimiento facial se pueden basar en esta letra del Reglamento, pero a falta de ese marco normativo, se encuentra en una situación delicada, que de hecho la AEPD está investigando de oficio, aunque todavía no ha emitido su informe final.
Mercadona es la primera gran empresa española que implanta el Reconocimiento facial para controlar a clientes. ¿Puede cundir el ejemplo?
Los avances tecnológicos van mucho más rápido que las leyes y en este caso lo podemos ver claramente. El RGPD se queda corto para poder determinar si lo que está haciendo Mercadona con la implantación del sistema de reconcomiendo facial está dentro o no de la legalidad o si atenta contra la privacidad de las personas. Y ya hemos visto que aún no existe una ley que regule en qué casos y circunstancias se pueden tratar datos biométricos con el fin de identificar a las personas.
Se puede decir que el objetivo de Mercadona, evitar que entren personas que ya han cometido robos en sus tiendas o que puedan tener órdenes de alejamiento de sus empleados, se ampara en la seguridad tanto de su establecimiento y plantilla como de los clientes. Y que otras tiendas pueden seguir estos pasos, llevando sus sistemas de videovigilancia un paso más allá para protegerse de las mismas «amenazas» que Mercadona, especialmente si el sistema acaba arrojando resultados positivos (como un descenso del número de hurtos o altercados en los establecimientos).
Pero cabe preguntarse qué precio pagaríamos por esta seguridad y si perder parte de nuestra privacidad queda justificado por ese supuesto interés público con el que argumenta Mercadona la presencia de su sistema de reconocimiento facial.
Por el momento, solo nos queda esperar el informa de la AEPD sobre el caso de Mercadona y que en algún momento se desarrolle una base normativa legal que aclare cuándo será legítimo o no instalar un sistema de reconocimiento facial.