La Agencia Española de Protección de Datos (AEPD) ha impuesto una sanción de 10.043.002 euros a Aena por su sistema de reconocimiento facial en los aeropuertos españoles. El regulador ha ordenado además la suspensión temporal de todo tratamiento de datos biométricos por parte del gestor aeroportuario, al concluir que implementó una tecnología de alto riesgo para los derechos de los ciudadanos sin justificar que fuera realmente necesaria ni proporcional para el fin perseguido, que era agilizar el embarque.

La resolución carga contra la premisa de que la “experiencia de usuario” justifica cualquier despliegue tecnológico. La AEPD considera que Aena recopiló y almacenó datos biométricos de más de 62.000 pasajeros de forma centralizada sin haber realizado una Evaluación de Impacto válida, un requisito obligatorio para desplegar este tipo de tecnologías invasivas.

El organismo que dirige Lorenzo Cotino califica la falta de diligencia de la empresa pública como “grave”. Según el expediente, Aena era consciente de que su programa de reconocimiento facial implicaba un tratamiento de categoría especial y alto riesgo. Sin embargo, la compañía siguió adelante con el despliegue a pesar de haber recibido dos informes desfavorables previos de la propia Agencia durante la fase de consulta.

Vigilancia centralizada

El núcleo de la infracción no es el uso de la biometría, sino cómo se diseñó la arquitectura del sistema. Aena optó por un modelo de “identificación biométrica uno-a-varios” con almacenamiento centralizado. En términos técnicos, esto significa que la cara del pasajero no se coteja únicamente contra su documentación en el momento del paso del control, sino que se almacena en una base de datos central controlada por Aena.

La AEPD determina que este enfoque vulnera las leyes de privacidad, que estipulan que el tratamiento de datos debe ajustarse al mínimo imprescindible. El organismo regulador estipula que existían alternativas mucho menos intrusivas para lograr el mismo objetivo de seguridad y fluidez, como la autenticación biométrica local o, simplemente, el sistema tradicional de comprobación visual humana que ha funcionado durante décadas.

La resolución afirma que el nuevo sistema implicaba “almacenar muchos más datos personales” (incluyendo detalles de la tarjeta de embarque y la identidad del viajero) en los servidores de Aena durante un periodo de hasta dos años. Unas bases de datos que, para la AEPD, no eran necesarias con los métodos tradicionales ni con arquitecturas biométricas más respetuosas con la privacidad.

Aena recurrirá: “Es una cuestión formal”

Aena ha anunciado que recurrirá la sanción ante los tribunales, expresando su “respetuosa discrepancia” con ella. En un comunicado emitido tras conocerse la multa, la empresa defiende que la sanción se basa en una “supuesta infracción de una obligación formal”, refiriéndose a las deficiencias señaladas en su Evaluación de Impacto.

El gestor aeroportuario sostiene que los pasajeros prestaron su consentimiento “voluntariamente” e informado para acceder al embarque biométrico. Sin embargo, en el ámbito de la protección de datos, el consentimiento “no valida” un tratamiento si este es “desproporcionado o innecesario desde su diseño”, le recuerda la AEPD.

Aena también ha querido recalcar que la seguridad de los datos nunca estuvo comprometida: “No se ha producido ninguna brecha de seguridad y, por tanto, no ha habido ninguna filtración de datos de los usuarios”. La compañía argumenta que su único objetivo era “proporcionar a los pasajeros una mejor experiencia” y asegura que trabajará para reiniciar el programa “tan pronto como sea posible”.

Suspensión inmediata

Hasta que Aena no demuestre que puede gestionar estos datos cumpliendo estrictamente con el Reglamento General de Protección de Datos (RGPD), el reconocimiento facial se queda en tierra. La suspensión dictada por la AEPD se mantendrá hasta que la empresa realice una evaluación de riesgos que contemple realmente los peligros para los derechos y libertades de los viajeros.

Esta medida correctiva no afectará a la operativa de los vuelos, ya que el sistema biométrico convivía con los controles documentales tradicionales, que seguirán operando como hasta ahora.

La multa a Aena se suma a una tendencia creciente de los reguladores europeos de poner coto al uso indiscriminado de la biometría en espacios públicos, donde a menudo se prioriza la eficiencia operativa o comercial por encima de la privacidad de los ciudadanos. Al tratarse de una infracción muy grave cometida por una gran empresa —con un volumen de negocio superior a los 5.000 millones de euros—, la cuantía de la sanción se ha graduado acorde a la magnitud de la entidad y el número de afectados.

¿Pueden los insectos reconocer un rostro humano? La respuesta, al menos en el caso de ciertas abejas, es sorprendentemente afirmativa. Diversos estudios han demostrado que las abejas pueden aprender a distinguir rostros humanos cuando se las entrena con recompensas, pese a que su cerebro es diminuto y nunca evolucionó para tal tarea. Experimentos con la especie Apis mellifera revelan que, mediante el aprendizaje visual, estos insectos son capaces de identificar patrones complejos como la disposición de los rasgos faciales.

El experimento fundamental fue realizado por Adrian G. Dyer, Lars Chittka y colaboradores en 2005, y publicado en The Journal of Experimental Biology. En él, las abejas fueron entrenadas para volar hacia una fotografía de un rostro humano asociada con una recompensa azucarada y evitar otra sin premio. Sorprendentemente, lograron reconocer la imagen correcta más del 80 % de las veces, incluso cuando ya no había recompensa.

Para entender cómo lo consiguen, un estudio posterior de 2010, firmado por Aurore Avarguès-Weber, Dyer y Martin Giurfa, exploró si las abejas reconocen los rostros por rasgos individuales (ojos, nariz, boca) o por la configuración global de esos elementos. Los resultados mostraron que las abejas distinguen patrones faciales incluso en dibujos esquemáticos, siempre que los elementos mantengan la disposición típica del rostro humano. Cuando los rasgos se reorganizaban, el reconocimiento se desvanecía, lo que sugiere un procesamiento “configural”.

Implicaciones desafiantes sobre inteligencia y percepción

Estos hallazgos desafían la idea de que el reconocimiento facial requiere un cerebro grande y especializado. Dyer y sus compañeros subrayan que el cerebro de una abeja contiene menos del 0,01% del número de neuronas de un humano, y aun así logra ejecutar tareas visuales complejas. Esto sugiere que la percepción de configuraciones espaciales no depende tanto del tamaño cerebral como de la eficiencia de las redes neuronales.

Más allá de la curiosidad biológica, estos estudios tienen implicaciones tecnológicas. La forma en que las abejas procesan y simplifican la información visual podría inspirar algoritmos de inteligencia artificial más eficientes, basados en sistemas compactos y de bajo consumo. La biología, una vez más, ofrece claves para innovar en inteligencia artificial.

Sin embargo, los científicos insisten en una distinción esencial: que las abejas puedan reconocer imágenes de rostros no significa que comprendan lo que es una “persona”. Su aprendizaje es puramente perceptivo y no implica conciencia del significado detrás de lo que observan.

Un reciente artículo de The Guardian añade una capa importante al debate: las abejas no solo pueden resolver tareas cognitivas complejas, sino que podrían experimentar estados emocionales análogos al optimismo o la frustración. Esto refuerza la idea de que son criaturas con una vida mental mucho más rica de lo que solemos pensar.

En definitiva, los estudios sobre la percepción de las abejas invitan a pensar los límites de la inteligencia animal. Si un cerebro del tamaño de una semilla puede reconocer un rostro humano, quizá debamos reconsiderar cuánto subestimamos la mente de los seres más pequeños que nos rodean.

La Agencia Española de Protección de Datos (AEPD) ha sancionado con 160.000 euros al grupo Sidecu, especializado en deporte y que gestiona la cadena de gimnasios Supera, por imponer a sus socios un sistema de acceso a través de reconocimiento facial, con el que infringió varias garantías de la legislación sobre protección de datos personales. La compañía se ha acogido a los descuentos por “pago voluntario” y al “reconocimiento de la responsabilidad” de la infracción, por lo que la multa ha quedado finalmente en 96.000 euros, según la resolución a la que ha accedido elDiario.es.

Este nuevo sistema de acceso fue implantado a partir de verano de 2023 en varios gimnasios de la cadena Supera (Entrepuentes de Sevilla, San Diego de Coruña, La Lanera de Palencia, Palero Superior de Valladolid, y Guadalquivir de Sevilla), tras otro previo que utilizaba la huella dactilar de los usuarios. El reconocimiento facial se impuso al inicio de manera obligatoria para acceder a sus instalaciones, sin alternativa posible.

Varios socios se quejaron de este método, por considerarlo muy invasivo y que vulneraba su intimidad, y algunas de ellas llegaron a la AEPD, que ha sancionado a la compañía y obligado a suspender temporalmente y de manera inmediata esta forma de control de entradas. La AEPD recibió en total nueve reclamaciones de socios, así como dos denuncias contra el sistema, presentadas por la asociación de consumidores Facua y por un particular.

Son datos personales “de alto riesgo”

El grupo Sidecu rechazaba las quejas de los clientes al considerar que el nuevo sistema ni siquiera trataba datos personales, ya que el reconocimiento facial no almacenaba los datos físicos de los clientes sino un patrón numérico que se asocia a los rostros de los usuarios.

La Agencia Española de Protección de Datos tumba la tesis de la cadena deportiva y da la razón a los usuarios, concluyendo que los datos biométricos utilizados para el acceso de los socios son datos personales y, no solo eso, sino “de categoría especial y de alto riesgo”.

Según el Reglamento de protección de datos, “para que exista un tratamiento de datos biométricos de carácter personal se requiere, precisamente, que se aplique sobre la información biométrica tomada en bruto (imagen digital de la huella, cara, grabación de voz…etc) un procesamiento técnico (software o programa como el utilizado en el presente supuesto) del que se obtenga un 'patrón biométrico' de las muestras recogidas. Por ello, el patrón biométrico o plantilla biométrica es verdaderamente el dato biométrico de carácter personal”, argumenta la resolución.

Ese patrón numérico es el que se asocia a los rasgos físicos de la persona en cuestión y permite identificarla, por lo que se trata de datos personales. Este tipo de datos, además, están tipificados por la legislación como datos personales de categoría especial, “cuyo tratamiento está generalmente prohibido”, recuerda la Agencia, salvo que concurran algunas excepciones, que además considera que no se cumplen en este caso.

En cualquier caso, dado esa categoría especial de los datos, su tratamiento hubiera requerido de unos análisis previos y ciertas obligaciones legales –como una evaluación de impacto (EIPD)– que la compañía no realizó, por lo que también se sanciona a la empresa.

Medida desproporcionada: hay alternativas menos invasivas

La Agencia de Protección de Datos detalla varias irregularidades de la implantación de este sistema de reconocimiento facial por parte de la cadena de gimnasios. Por ejemplo, advierte de que no respeta las reglas del consentimiento, entre otros motivos por la falta de libertad de los usuarios. “Aara que se pueda considerar libre el consentimiento a un método de acceso que implique el tratamiento de datos biométricos, el responsable del tratamiento debe establecer un método alternativo para poder realizar el control de acceso, sin tener ninguna consecuencia para la persona que no quiera utilizar el control de acceso mediante un tratamiento de datos biométricos”, recoge la resolución.

Además, destaca que “se entiende que el tratamiento realizado no superaría este triple juicio de proporcionalidad”. La AEPD concluye que no parece “necesario ni proporcional” el reconocimiento facial, que supone la utilización de datos biométricos personales de caracter especial, “dada la existencia de medios menos intrusivos y la relación entre ventajas y desventajas”. “Existen otros posibles métodos alternativos de control de acceso igual de eficaces que permitirían cumplir con la finalidad del tratamiento, que ya se emplean en la actualidad o han sido empleados en el pasado por la reclamada, por lo que existen evidencias de que el tratamiento implantado no supera tampoco la evaluación o triple juicio de proporcionalidad”, argumenta el organismo público.

La Agencia Española de Protección de Datos (AEPD) ha impuesto dos multas, por un importe total de 220.000 euros, a una empresa de Banyeres de Mariola (Alicante), por usar tecnología de reconocimiento facial en el sistema de fichaje de sus trabajadores. Un empleado de Cartonajes Bañeres SA formuló una solicitud de derecho de acceso el 29 de agosto de 2022 sin que, finalmente, recibiera respuesta formal de la empresa. Un mes y medio después, el trabajador recurrió a la AEPD, denunciando que “como empleado”, la empresa “le obliga a fichar en la entrada a su puesto de trabajo con un dispositivo de reconocimiento facial, sin alternativa de uso de otro medio distinto”.

Se trataba de un terminal de reconocimiento facial 3D que captaba varias imágenes de la cara y generaba un patrón biométrico mediante un algoritmo matemático. Los datos biométricos se almacenaban en una base de datos del 'software' de control horario ubicado en el servidor de las instalaciones de la empresa.

En la copia del consentimiento sobre el tratamiento de datos personales de los empleados, aportada a la AEPD, solo se aludía a la huella digital para el “control del cumplimiento de la jornada laboral”. Además, según el apartado de hechos probados de la resolución, el documento “no lleva ningún apartado para seleccionar el consentimiento afirmativo, o negarlo, ni opción alguna para revocar el consentimiento, ni en definitiva invitación alguna a aceptar una operación de tratamiento”.

En una visita de inspección la AEPD constató que Cartonajes Bañeres SA había sido adquirida por el Grupo Saica el 7 de julio, un mes y medio antes de la solicitud de acceso del trabajador a cuenta del reconocimiento facial.

El Comité de Protección de Datos del Grupo Saica, tras la integración de la filial alicantina, analizó el sistema de fichaje y recomendó que se sustituyera “de forma inmediata”. A pesar de ello, “consta acreditado” que la empresa siguió usando el sistema de tratamiento biométrico facial hasta el 29 de mayo de 2023. Posteriormente, recurrió a un sistema de fichajes con tarjetas individualizadas de los empleados, propio del resto de plantas de la empresa matriz. 

La AEPD comprobó durante su inspección que los datos del registro de fichajes de los trabajadores, anteriores al cambio del sistema, se conservaban en un fichero y los 'hash' (el patrón biométrico) almacenados habían sido destruidos.

Cartonajes Bañeres SA se escudó en que el trabajador había prestado su consentimiento expreso para el tratamiento de sus datos, entre ellos también para el biométrico “de la huella dactilar” para el “control de cumplimiento de la jornada laboral”. La empresa también alegó que el sistema de reconocimiento facial se instauró en 2016, cuando, a su juicio, no le era de aplicación la normativa estatal y europea de protección de datos. La firma consideraba que se había aplicado de manera retroactiva una normativa “que no era aplicable cuando acontecieron los hechos sancionados”.

La resolución de la AEPD, por el contrario, recuerda que “los hechos constitutivos de la infracción y que han sido probados se producen” desde la entrada en vigor del Reglamento General de Protección de Datos, una norma europea de “plena aplicación”.

La empresa multada también consideraba que la agencia había incurrido en una falta de proporcionalidad de la sanción, al no haber aplicado atenuante alguno. Sin embargo, la resolución tiene en cuenta el “grado de intencionalidad, descuido o negligencia que revele la conducta”.

Nuevos escenarios con “múltiples riesgos”

La AEPD también argumenta que el tratamiento de reconocimiento facial con herramientas biométricas de lectura y registro “presenta altos riesgos para los derechos y libertades fundamentales”.

“Antes de implantar un proyecto de tratamiento de datos, siempre y cuando sea probable que el mismo suponga un riesgo significativo para los derechos y libertades de las personas, como es este caso, es preciso auditar su funcionamiento, no de forma aislada sino en el marco del tratamiento concreto en que se va a emplear”, afirma la resolución. En todo caso, los responsables del uso de esta tecnología deben considerar, de entrada, “medios menos intrusivos para lograr su objetivo legítimo de tratamiento”.

El tratamiento biométrico, recuerda la AEPD, “conjuga” productos tecnológicos que evolucionan muy rápidamente, “influyendo sin duda en las esencias de las operaciones de tratamiento, trasladándose a nuevos escenarios la exposición a los múltiples riesgos que precisan continuas reevaluaciones a los que las organizaciones deben responder a nivel técnico y organizativo”.

Sin embargo, la empresa no aportó la Evaluación de Impacto de Protección de Datos Personales (EIPD) —la herramienta prevista por el reglamento europeo— que “debería haber superado para llevar a cabo de tratamiento que realizó”.

“El hecho de que la reclamada considere que no ha de llevar a cabo una EIPD”, concluye la resolución, “no disminuye la obligación general de los responsables de aplicar medidas para gestionar adecuadamente los riesgos para los derechos y libertades de los interesados”.

Un “contexto de desequilibrio de poder”

La AEPD también considera que la situación afectaba a “todos los empleados” (no solo al trabajador que reclamó) y, además, se mantuvo la “falta de la obligación exigible” desde que se incorporó al reglamento europeo, en mayo de 2018. Se trata, en definitiva, de una “infracción que persiste en el tiempo”.

Por otro lado, la resolución también destaca que la recogida y el tratamiento de datos se produce entre la empresa y los trabajadores, “lo que implica un contexto de desequilibrio de poder entre las partes, asociado a la deficiente información del tratamiento de sus datos”. La AEPD recuerda que la empresa indicaba a sus empleados que tenían que “otorgar el consentimiento expreso para el tratamiento de sus datos, incluyendo los de reconocimiento facial, cuando no se le daba otra opción”.

La resolución, publicada el pasado viernes, se convierte en “ejecutiva” (firme) una vez superado el plazo de un mes para interponer un recurso potestativo de resolución. Además, la empresa sancionada también pude plantear un recurso de reposición ante la directora de la agencia o un recurso contencioso-administrativo ante la Audiencia Nacional. El Grupo Saica, actual propietario de la firma sancionada, afirma que recurrirá la resolución.

Las temperaturas en diferentes regiones del rostro están asociadas con varias enfermedades crónicas, como la diabetes y la hipertensión arterial, según un estudio liderado por la investigadora china Jing-Dong Jackie Han publicado este martes en la revista Cell Metabolism. Los autores han entrenado una inteligencia artificial para detectar patrones de temperatura específicos en el rostro de los pacientes mediante una cámara térmica y concluyen que este método simple y no invasivo se podría utilizar en un futuro para la detección temprana de este tipo de enfermedades.

Para el trabajo, los autores analizaron las temperaturas faciales de más de 2.800 participantes chinos de entre 21 y 88 años y utilizaron la información para entrenar modelos de inteligencia artificial que pudieran predecir la edad térmica de una persona. Mediante este cribado, identificaron varias regiones faciales clave donde las temperaturas estaban significativamente relacionadas con la edad y la salud, incluidas la nariz, los ojos y las mejillas. Una nariz más fría y unas mejillas más cálidas, por ejemplo, pueden ser un signo revelador de un aumento de la presión arterial.

Edad y temperatura

El planteamiento de partida del equipo era analizar la estructura facial 3D para predecir la edad biológica de las personas, lo que indica cómo está envejeciendo el cuerpo. Su intención era saber si la temperatura de la cara podría ayudarles a predecir la tasa de envejecimiento y el estado de salud de las personas, un dato relevante dado que la edad biológica está estrechamente relacionada con el riesgo de enfermedades, entre ellas el cáncer y la diabetes. 

Los autores constataron que la temperatura de la nariz disminuye con la edad a un ritmo más rápido que otras partes de la cara, lo que significa que las personas con narices más cálidas tienen una edad térmica más joven y que la temperatura alrededor de los ojos tiende a aumentar con la edad.

Las personas con trastornos metabólicos como diabetes y enfermedad del hígado graso tenían un envejecimiento térmico más rápido

En el proceso los investigadores también descubrieron que las personas con trastornos metabólicos como diabetes y enfermedad del hígado graso tenían un envejecimiento térmico más rápido y tendían a tener temperaturas más altas en el área de los ojos que sus homólogos sanos de la misma edad. Las personas con presión arterial elevada también tenían temperatura más alta en las mejillas.

Relacionado con la inflamación

Al analizar las muestras de sangre de los participantes, los autores observaron que el aumento de la temperatura en la zona de los ojos y las mejillas se debía principalmente a un aumento de las actividades celulares relacionadas con la inflamación y la lucha contra las infecciones. “Desarrollamos el método ThermoFace para procesar y analizar imágenes automáticamente y luego generamos modelos de predicción de enfermedades y edad térmica”, escriben. La diferencia entre la edad prevista y la cronológica —añaden— está altamente asociada con los parámetros metabólicos, el tiempo de sueño y es modificable mediante el ejercicio.

Han, que trabaja como investigadora de la Universidad de Pekín, cree que esta herramienta tiene el potencial de promover un envejecimiento saludable y ayudar a las personas a vivir sin enfermedades, ya que vieron que al grupo de personas a las que hicieron ejercicio diario redujo su edad térmica. Ahora quiere explorar si pueden utilizar imágenes faciales térmicas para predecir otras enfermedades, como trastornos del sueño o problemas cardiovasculares, ya que esta aproximación, asegura, “tiene un potencial significativo para el diagnóstico y la intervención temprana de enfermedades”.

La cara como espejo de la salud

No es la primera vez que se utiliza el reconocimiento facial y la inteligencia artificial para el diagnostico de síndromes o enfermedades. En 2019, por ejemplo, se presentó una aplicación llamada Face2Gene que utilizaba el aprendizaje profundo para detectar posibles trastornos congénitos y del desarrollo neurológico a partir del análisis de 17.000 imágenes de rostros de niños ya diagnosticados de 216 síndromes distintos. Y el hospital Johns Hopkins trabaja desde hace tiempo en algoritmos que detecten el ictus de forma temprana mediante el análisis de los rasgos faciales.

Domingo González Lamuño, médico del Hospital Universitario Marqués de Valdecilla (Cantabria) experto en enfermedades metabólicas, cree que se trata de un artículo bien estructurado y bien planteado. “Los autores buscan tasas metabólicas ligadas a obesidad/actividad física, diabetes, resistencia a la insulina o síndrome metabólico”, señala. “En general este tipo de datos equivale a ver a alguien congestionado o abotargado, pero con la IA puedes asignarlo a riesgo metabólico”.

En su opinión, usar este tipo de imágenes térmicas quizá sirva también para identificar el riesgo de enfermedad cardiovascular y tal vez pueda predecir el riesgo de muerte o envejecimiento prematuro. “Pero también puede haber un problema de confidencialidad”, apunta. “Aunque es probable que en China sea más aplicable que en otros entornos donde la privacidad está más protegida”. 

Lara Lloret Iglesias, investigadora del Instituto de Física de Cantabria (IFCA-CSIC) especialista en IA aplicada a la medicina, cree que el artículo es muy interesante y presenta una manera nueva, barata y fácil de monitorizar la salud. “Los resultados obtenidos son prometedores, y todo indica que hay información valiosa en las imágenes térmicas que permite predecir ciertas enfermedades o incluso la edad”, explica a elDiario.es. Sin embargo, considera que necesita más trabajo y verificación, porque las variaciones térmicas pueden deberse a muchos factores externos no relacionados con nuestra salud. 

El estudio representa un primer paso muy valioso que abre el camino para una línea de investigación con mucho potencial

Lara Lloret Iglesias — Especialista en IA aplicada a la medicina del Instituto de Física de Cantabria (IFCA-CSIC)

“Aunque los investigadores han intentado homogeneizar la manera en que se tomaron los datos para eliminar el ruido causado por factores como haber subido unas escaleras o salir de un ambiente más o menos cálido, es necesario estudiar en más detalle cómo estas variaciones influyen en las predicciones”, indica Lloret. “Además, el estudio se realizó solo con individuos de una única etnia, los chinos Han. Por lo tanto, antes de sacar conclusiones generalizables, sería necesario realizar estudios con otras cohortes para ver si los resultados son compatibles”. Pero en general, valora, el estudio “representa un primer paso muy valioso que abre el camino para una línea de investigación con mucho potencial”.

Luis Aldamiz-Echevarría, investigador de la Fundación Instituto de Investigación Sanitaria de Santiago [IDIS] experto en enfermedades metabólicas, cree que otra limitación del estudio, además de que los datos solo se hayan cogido pacientes chinos, es que las condiciones para registrar el rostro del paciente son casi de laboratorio más que de la práctica clínica. “Requiere que la persona tiene que estar en calma, relajada y con una temperatura controlada entre 20-25 grados, que no es lo que uno siempre tiene en la consulta”, señala. 

En general, y a pesar de otras debilidades metodológicas, el especialista cree que este tipo de aproximaciones podrán tener una utilidad en el futuro, cuando se mejoren las herramientas, pero no para el diagnóstico —que aún queda muy lejos—, sino como sistemas de seguimiento en pacientes cuya enfermedad ya se conoce. “Imagínate que tienes un sujeto con una enfermedad ya reconocida, como diabetes, hipertensión o hígado graso y lo puedes monitorizar”, explica. “Si ves un cambio en la temperatura sabes si hay mejoría o empeoramiento o si el tratamiento está funcionando”.

Cada día, miles de personas pasan en Marbella (156.295 habitantes) un reconocimiento facial o ponen su dedo sobre un lector de huellas para fichar en el trabajo. El ayuntamiento marbellí, gobernado por Ángeles Muñoz (PP) recopila desde el año pasado datos biométricos de sus trabajadores, sean funcionarios o contratados, para controlar que cumplen su jornada laboral. En total, hay unos 4.000 empleados públicos en el consistorio.

Después de aplicarlo a la mayoría de las dependencias municipales, este enero ha empezado a hacerlo en la Policía Local, donde está generando resistencia: varios agentes se han negado, y otros que habían prestado consentimiento han solicitado que se cancele el acceso a sus datos. El ayuntamiento les ha denegado la petición, y tampoco parece tener intención de cancelar el sistema, a pesar de que una guía de la Agencia Española de Protección de Datos (AEPD) subraya desde noviembre la irregularidad de estos controles salvo que cumplan unos estrictos criterios de necesidad y estén autorizados por una norma con rango de ley.

“Yo me he negado a dar mis datos. Y muchos compañeros no están de acuerdo, porque entendemos que hay normativa que prohíbe el uso tan de datos tan importantes como huella y reconocimiento facial”, explica por teléfono Sergio Ruiz, delegado de en la Policía Local del Sindicato de Empleados Públicos de Marbella (SEPMA). Este sindicato ha denunciado ante el Consejo de Transparencia y Protección de Datos de Andalucía la implantación generalizada del control biométrico, que el ayuntamiento aprobó por Decreto en diciembre de 2022.

En abril de 2023 el Consejo admitió a trámite la denuncia de SEPMA, y se dio un plazo de 18 meses para resolver. Desde entonces, Marbella ha seguido recopilando datos de trabajadores de Urbanismo, Vía Pública, servicios centrales y, ahora, la Policía Local. También ha abierto expedientes disciplinarios a al menos dos trabajadores del servicio de Parques y Jardines que se negaron a facilitar los datos, según ha podido comprobar elDiario.es Andalucía.

El ayuntamiento de Marbella no ha contestado a las preguntas formuladas por este medio.  

Nueva guía de la AEPD

Los datos biométricos entran dentro de la categoría de datos personales protegidos por el artículo 18.4, y el Tribunal Constitucional ha subrayado que el derecho fundamental garantiza que toda persona debe poder controlar el uso y destino de sus datos.

La insistencia del consistorio marbellí parece chocar con la nueva guía sobre “tratamientos de control de presencia mediante sistemas biométricos”, publicada por la AEPD el pasado 23 de noviembre. En ella se fijan los criterios de uso de la tecnología tanto con fines laborales como no laborales. La utilización de datos biométricos supone un tratamiento de categorías especiales de “datos de alto riesgo”, según subraya la agencia pública, que impone límites “estrictos” para tratar estos datos y superar los análisis de “idoneidad, necesidad y proporcionalidad”. La nueva guía pretende adaptar la práctica española a las directrices del Comité Europeo de Protección de Datos, bajo un criterio general de prohibición del tratamiento de estos datos, con excepciones tasadas.

A diferencia de otros países europeos, hasta noviembre el criterio era que el sistema se consideraba válido si se limitaba a casos donde era necesario. Ahora, la AEPD considera que no hay autorización genérica en la legislación española, de modo que para el registro de jornada y control de acceso con fines laborales, “el responsable [de los datos, aquí el ayuntamiento de Marbella] debe contar con una norma con rango de ley que autorice específicamente utilizar datos biométricos para dicha finalidad”, señala la agencia. El consentimiento no puede levantar la prohibición, “al existir un desequilibrio entre la persona a la que se somete al tratamiento y quien lo está llevando a cabo”.

Propuestas de sanción y negativa a cancelar datos

Tras la publicación de la guía, interpretada unánimemente como una restricción al sistema de “fichaje” con datos biométricos en empresas e instituciones, el ayuntamiento no ha variado su plan de acción. Al contrario, acaba de extender el sistema a la Policía Local. A mediados de diciembre, el Intendente Jefe dirigió una instrucción a toda la plantilla convocándola a la toma de datos biométricos. Y el 29 de diciembre avisó de que a partir del 1 de enero se implantaría el sistema de control horario.

Según SEPMA, quienes se niegan a pasar por el aro están siendo presionados. El verano pasado, el ayuntamiento abrió expediente al menos a dos trabajadores adscritos al servicio de Parques y Jardines por negarse a fichar “mediante los medios habilitados por el Ayuntamiento”. Les acusó de negarse a realizar la biometría facial. Ambos reclamaban seguir fichando mediante el sistema de firmas, pero les informaron de que ya no estaba vigente. Y aunque aportaron la hoja de firmas, la instructora consideró que estaban “evadiendo” los sistemas de control horarios y les imputó una falta grave, según los pliegos de cargos a los que ha accedido este medio. Se enfrentan a una posible suspensión de empleo y sueldo de hasta tres años. El ayuntamiento no ha aclarado si ha resuelto el expediente.

El acceso, rectificación, supresión, limitación y oposición al tratamiento de los datos son derechos esenciales y recogidos por la norma municipal que regula el registro. Sin embargo, el consistorio marbellí desestimado en al menos una ocasión la solicitud de supresión de datos biométricos instada por un agente de Policía. En esa resolución, el ayuntamiento razona que cumple una de las excepciones a la prohibición general, ya que el reconocimiento facial o dactilar sería “necesario” para hacer cumplir los horarios.

Sanciones de la AEPD y renuncias en otras instituciones

La insistencia del ayuntamiento marbellí en mantener el sistema contrasta con las adaptaciones o renuncias de otras instituciones. José Luis Gutiérrez, secretario general de SEPMA, explica que el ayuntamiento de la vecina Estepona desistió de su propósito tras una reunión que mantuvo con el alcalde José María García Urbano (PP). En la Diputación de Sevilla se va a dejar de usar en las próximas semanas “por la nueva guía”. “Lo dejamos de usar por la nueva guía. Los criterios que aporta ahora la AEPD rompían con la opinión mantenida hasta el momento, y limitan el uso para fines de control horario”, explican fuentes de la administración provincial. Allí implantaron simultáneamente la huella dactilar y la tarjeta de proximidad, que será el único método a partir del 16 de febrero. 

El pasado agosto (antes, por tanto, de la nueva guía), la AEPD obligó a la Diputación de Cuenca a suspender el control por huella dactilar al menos hasta que realizara una evaluación del impacto que tome en cuenta “los riesgos para los derechos y libertades de los empleados”. Esa evaluación de impacto no se ha hecho en Marbella. “Siempre terminan obligando a que se elimine”, advierte Gutiérrez, que lamenta que la denuncia ante el Consejo de Transparencia tarde tanto tiempo en resolverse. El sindicato está participando también en una queja conjunta ante el Defensor del Pueblo, en la que van a participar al menos siete agentes. 

La política de recursos humanos en el ayuntamiento de Marbella hace tiempo que está en cuestión. Este medio ha contado que se han destinado fondos europeos a contratos en fraude de ley, que cargó 50.000 horas extra en un mes (con algunos empleados del área de Limpieza cargando 721 horas, más de las que tiene el mes) o que los tribunales obligaron al consistorio a hacer indefinidos a cientos de trabajadores tras contratarlos en fraude de ley para tareas ordinarias. Un juzgado de instrucción abrió diligencias de investigación por el presunto enchufismo en Limpieza (luego archivadas) y ha habido al menos un caso de “traje a medida”, declarado así por sentencia judicial.

Igual que en el anterior mandato, el concejal responsable de Recursos Humanos es José Eduardo Díaz, que también controla las áreas de Urbanismo, Industria, Vía Pública y Seguridad Ciudadana. Es, por tanto, responsable directo de la Policía Local. Díaz es un concejal muy próximo a Muñoz. También era de confianza para el hijastro de Muñoz Joakim Broberg, procesado por narcotráfico y blanqueo de capitales por la Audiencia Nacional. Tal y como desveló elDiario.es, Broberg recurrió a Díaz para ofrecerle un posible adjudicatario de un local, en una llamada intervenida por la Policía que consta en el sumario. El concejal le dice que no puede hacer nada porque no tiene competencias, pero promete cuidarle. “Me cuidas, eh”, le dice Broberg a Díaz. “Eso siempre”, responde él. Díaz también aparece mencionado en un correo en el que un exdirector de un medio de comunicación narra a Muñoz que Díaz y otra concejala habían pagado publicidad en su medio con facturas falsas. 

La imposición del uso de la huella dactilar o el reconocimiento facial como método de entrada o control horario por parte de las empresas puede tener los días contados. La Agencia Española de Protección de Datos (AEPD) ha cambiado su criterio respecto al uso de los sistemas de biometría para el control de acceso, tanto con fines laborales como no laborales (como en gimnasios o clubes privados). A partir de ahora, el organismo los considerará sistemas prohibidos salvo que exista una circunstancia excepcional que justifique su uso por delante de métodos que no usen datos “de alto riesgo”.

La Agencia ha publicado este cambio de criterio en su reciente “Guía Tratamientos de control de presencia mediante sistemas biométricos”, que detalla la interpretación que hará a partir de ahora para valorar si estos métodos se ajustan a la normativa de protección de datos. Una actualización que justifica en que la rápida evolución de esta tecnología que ya “permite incluso recoger información sin la cooperación de la persona” o su conocimiento, así como que la inteligencia artificial “puede utilizarse para inferir información adicional sobre las personas”.

El principal cambio respecto al anterior criterio es que deja de considerar el visto bueno de las personas que lo usan como una legitimación suficiente para implantar un sistema de acceso basado en la huella o la cara. El regulador afirma que ese consentimiento no se otorga de forma libre si no existe en la empresa otra forma de entrar o de fichar.

“El consentimiento no puede levantar la prohibición o ser una base para determinar la licitud de este, al existir un desequilibrio entre la persona a la que se somete al tratamiento y quien lo está llevando a cabo”, argumenta la AEPD. Cuando estos sistemas se imponen como control horario o presencial en las empresas, “se produce un desequilibrio de poder entre empleado y empleador que hace que este consentimiento no se proporcione libremente”, continúa.

Da igual que sea más barato o más sencillo

Hasta ahora la Agencia Española había considerado ese visto bueno del usuario como una base legal suficiente para el uso de biometría. Su postura oficial era “desaconsejar” el uso de la huella o la cara si otros métodos de menor impacto estaban disponibles, pero el consentimiento del usuario final unido a argumentos como que el sistema biométrico es más barato o sencillo de implantar conseguían pasar el filtro. También el de que evita irregularidades como la de que un empleado pueda fichar por otros, algo que permiten métodos como las tarjetas de radiofrecuencia.

A partir de ahora, no será así. El regulador recuerda que “el tratamiento de datos biométricos, tanto para identificación como para autenticación” es “un tratamiento de alto riesgo que incluye categorías especiales de datos”. Por tanto, “para poder tratar esas categorías es necesario que exista una circunstancia que levante la prohibición de su tratamiento y, además, una condición que lo legitime”. Un rango en el que la ventaja económica o sencillez de implantación no serán aceptados.

En la ley española no hay autorización alguna para considerar necesario el uso de datos biométricos para el control horario de la jornada de trabajo

AEPD

¿Y cuáles sí lo estarán? “No es fácil contestar a esa pregunta: si hacemos caso en todo a la AEPD lo han dejado muy difícil”, expone Jorge García Herrero, abogado especialista en protección de datos. La Agencia no abunda demasiado en esas excepciones. “El responsable tiene la obligación de valorar muy seriamente y con diligencia si tiene una razón sólida para tratar categorías especiales de datos”, afirma en la Guía, aunque sí específica que casos no considerará excepciones: el control horario de las jornadas de los trabajadores ni la necesidad de ejecutar ningún tipo de contrato.

“En la actual normativa legal española no se contiene autorización suficientemente específica alguna para considerar necesario el tratamiento de datos biométricos con la finalidad de un control horario de la jornada de trabajo”, zanja la AEPD.

Sistemas alternativos

La otra vía que la AEPD habilitaba para usar biometría también queda cerrada. Esta consistía en habilitar un sistema alternativo al que todos los usuarios puedan acogerse sin ceder sus datos biométricos. Para entrar a un espacio, por ejemplo, esa alternativa podía ser simplemente un timbre y la presencia de alguien en todo momento para abrir la puerta, sin que la persona esté obligada a usar su huella o su cara para entrar.

En el caso de existir ese sistema, la AEPD reconoce que el consentimiento del trabajador sí podría ser considerado como otorgado libremente y por lo tanto válido. Sin embargo, es ese mismo sistema alternativo el que ahora tumba la posibilidad de que se utilice biometría con el nuevo criterio más estricto: si se pueden establecer vías funcionales para que los empleados no usen biometría, entonces la opción biométrica no es estrictamente necesaria y no cumple bajo la nueva interpretación.

“Si existen alternativas disponibles al tratamiento de datos biométricos que impliquen menor riesgo para los derechos y libertades de las personas cuyos datos personales se van a tratar, que permitan que en un momento dado todos los trabajadores opten por otras alternativas, el procesamiento de datos biométricos deja de ser necesario”, sostiene el organismo en la Guía.

El giro: los empleados podrían exigir indemnizaciones

El cambio de criterio de la AEPD tiene un último giro asociado que no depende directamente del organismo. Se trata de la pionera sentencia que publicó elDiario.es que reconoció el derecho de un trabajador a recibir una indemnización de su empresa tras aplicarle biometría de manera ilegal. En aquel caso, un sistema de reconocimiento facial.

Esta guía ha puesto, de la noche a la mañana, en situación de incumplimiento por infracción muy grave a miles de empresas españolas

Jorge García Herrero — abogado especialista en protección de datos

“Esta guía ha puesto, de la noche a la mañana, en situación de incumplimiento por infracción muy grave a miles de empresas españolas”, avisa Jorge García Herrero. Estas “pueden afrontar expedientes de la AEPD con sanciones en el entorno de los 20.000 euros, pero también y sobre todo, podrían llegar a ver como cada uno de sus empleados (o incluso los de sus contratas) les exigen indemnizaciones de daños y perjuicios por vía laboral”, continúa, recordando que en la citada sentencia el juzgado consideró ese uso ilegítimo de datos biométricos como una “falta muy grave” que lleva aparejada una sanción mínima de 6.251 euros.

El jurista ha recomendado a su clientes que estudien la sustitución de estos sistemas (en especial, los controles biométricos de fichaje) por opciones no biométricas. “Si bien existen vías para legitimar controles de acceso biométricos, parece muy arriesgado sostener su validez en todos los casos y para todos los trabajadores”, expone.

¡Buenos días!

¿Cómo llevas la semana de la investidura fallida de Alberto Núñez Feijóo? En elDiario.es nos hemos volcado en la cobertura de lo que, en un principio, parecía un intento serio por alcanzar la presidencia del país por parte del candidato de la derecha, pero luego ha devenido en una moción de censura sin ninguna fuerza.  

Una de las cosas más preocupantes del discurso del líder del PP fue su escaso bagaje de propuestas económicas. Pasó de puntillas por la política industrial, se ciñó a dar una visión catastrofista de la situación económica sin mucho fundamento y retorció los datos para entrar en una espiral contradictoria en la que atacaba al Gobierno de coalición por sus decisiones y, a la vez, recuperaba parte de las propuestas económicas del Ejecutivo de Pedro Sánchez. Así, propuso prorrogar o ampliar la mayoría de las medidas que el Gobierno de coalición mantiene actualmente para luchar contra la inflación o anunció que situaría el salario mínimo en el 60% del sueldo medio, una meta que ya alcanzó el Gobierno de coalición. 

Toda la propuesta económica de Feijóo se condensó en el ofrecimiento de un Pacto de Estado con el que lograr “el saneamiento de la economía”. ¿En qué consiste ese pacto? Nadie lo sabe, porque el presidente del PP no dio detalles ni lanzó medidas concretas. Apuntó un objetivo: un crecimiento del PIB del 2,5% anual en los próximos diez años, además de las tradiciones rebajas del IRPF a los que ganen menos de 40.000 euros y del IVA de carne y pescados. Aquí te explicamos la escasa visión económica de Alberto Núñez Feijóo.

Lo que resulta realmente preocupante del planteamiento del líder del PP es su escaso conocimiento de la coyuntura actual y a corto plazo. No hay ningún organismo o servicio de estudios que eleve por encima del 2% el crecimiento económico de España en 2024. Vamos a ser la economía de la Unión Europea que más crezca el año que viene pero se empiezan a percibir nubarrones. Por un lado, en 2024 entran en vigor otra vez las reglas fiscales de la UE, con lo que habrá más control sobre el déficit. La disyuntiva es clara: si se rebajan impuestos no se podrán prorrogar las medidas contra la inflación o viceversa, además de rebajar la deuda y mantener el poder adquisitivo de las pensiones. No se puede soplar y sorber.  

Por otro lado, cada vez se ven más claramente los efectos de la política monetaria contractiva del BCE para luchar contra la inflación. En julio, el número de hipotecas concedidas se hundió un 18,8% respecto al mismo mes del año pasado, tras una racha de 6 meses consecutivos de retrocesos según los datos publicados por el INE (Instituto Nacional de Estadística). En agosto, los préstamos bancarios a empresas se redujeron un 4,1%, siguiendo una estela de ocho meses consecutivos de caídas, según datos del Banco de España. En este enlace te contamos cómo la caída del negocio bancario presiona al BCE para que termine con las subidas de los tipos de interés.

Con estas premisas es más que preocupante la escasa visión económica del líder de la oposición. También puede ser que le dé todo igual y prometa lo que ya sabe que no va a cumplir.

El Dato

6.521 euros

Es la indemnización que le ha tenido que pagar la empresa Plastic Forte a un empleado al que vigiló con un sistema de reconocimiento facial sin informarle ni solicitar su consentimiento. El Juzgado de lo Social número 2 de Alicante ha dictado una sentencia pionera ya que reconoce por primera vez el derecho a una indemnización por parte del trabajador por haber sido sometido a reconocimiento facial de manera irregular. En este enlace te explicamos esta sentencia novedosa.

No ha sido la única información de tribunales relevante de esta semana. El Tribunal Supremo ha dictado una sentencia en la que prohíbe a las empresas que hagan fichar a sus trabajadores por sus visitas al baño como parte de su descanso reconocido para comer. Los jueces dan la razón a CCOO frente a una empresa de contact center que hacía que sus empleados ficharan las visitas al baño como parte de su hora de la comida. Aquí puedes leer todo lo relevante a esta información.  

El Gráfico

Ha sido una de las polémicas de la semana. Otro falso debate creado alrededor del mercado laboral español. El enganche ha sido el anuncio de la aprobación por parte del Gobierno conservador griego de una reforma laboral que permite ampliar las horas de trabajo de las personas con dos empleos, hasta 13 diarias, entre otras medidas lesivas para los trabajadores. Díaz salió a criticar la reforma laboral griega en Twitter y el ministro de Trabajo griego, Adonis Georgiadis, le respondió.

Rápidamente, la red social se llenó de trolls, que atacaron a la ministra de Trabajo asegurando que desconocía que en España se puede contratar sin límite de hora en varios empleos. Pero, ¿cómo está realmente el pluriempleo en España? En elDiario.es hemos realizado una radiografía que indica que algo menos del 3% de las personas trabajadoras está pluriempleada, unas 580.000, según los datos del segundo trimestre del año de Eurostat. En esta información te damos más datos y comparamos a España, en términos de pluriempleo, con el resto de países de Europa. 

Cada vez que habla sube el pan

La resolución de la FTC tendría como resultado menos productos entre los que elegir, precios más elevados, entregas más lentas para los consumidores y menos opciones para las pequeñas empresas

Amazon

Esta ha sido la reacción del gigante del comercio electrónico Amazon ante la demanda interpuesta en un juzgado federal de Seattle (EEUU) por la Comisión Federal de Comercio estadounidense (FTC)  y 17 fiscales estatales. Aunque no está tan claro ante las graves acusaciones que pesan sobre el sitio de comercio online. “El patrón continuo de conducta ilegal de Amazon bloquea la competencia, lo que le permite ejercer un poder de monopolio para inflar los precios, degradar la calidad y minar la innovación para los consumidores y las empresas”, explicó el organismo regulador estadounidense. No es la primera vez que la empresa de Jeff Bezos tiene problemas por sus posiciones comerciales. En nuestro país, la Comisión Nacional del Mercados y la Competencia (CNMC) le impuso una sanción de 143,6 millones de euros a Apple y otra de 50,5 millones a Amazon por llegar a una serie de acuerdos secretos para perjudicar a sus competidores en la web oficial de la multinacional de comercio electrónico. En Bruselas, Amazon tuvo que modificar sus prácticas comerciales para evitar una multa millonaria por abuso de posición dominante. Ahora se inicia una batalla legal que puede provocar cambios en uno de los mayores gigantes tecnológicos del mundo. Aquí te lo contamos. 

Letras que son un tesoro

Esta semana recomendamos un libro de uno de los columnistas económicos más influyentes del mundo. Se trata de Martin Wolf, analista jefe de Economía del Financial Times. En su libro 'La crisis del capitalismo democrático' (Editorial Deusto), Wolf admite que se ha equivocado es muchas de sus opiniones anteriores, pero sigue siendo un defensor del sistema capitalista y las democracias liberales como elementos indisoluble frente a la amenaza del “auge del capitalismo demagógico, autocrático y totalitario”. Frente a las derechas clásicas cuyo política económica no va más allá de la bajada de impuestos, Wolf avisa de que habrá que pagar más impuestos para mejorar los servicios públicos atendiendo a que “la primera preocupación de los Estados democráticos es el bienestar de sus ciudadanos”. Con una polémica visión sobre la inmigración (“los ciudadanos tienen derecho a decidir a quién se permite venir y trabajar en sus países”), en el ámbito corporativo avisa de que es necesario “mejorar la transparencia de lo que hacen las empresas” y “reconsiderar la remuneración de los ejecutivos” así como reforzar la responsabilidad de sus actos. Merece la pena leerlo aunque sea para confirmar que sigue equivocado.

Entrepreneur

Esta semana en nuestra sección 'Entrepreneur' no nos quedamos en el análisis de un empresario o directivo, sino que nos atrevemos con un mercado bursátil, BME Growth. En este mercado salen a cotizar pequeñas y medianas empresas. La gestión de BME Growth corresponde a Bolsas y Mercados Españoles (BME), propiedad de la suiza Six desde 2020. El presidente de BME es Jos Dijsselhof, mientras que Javier Hernani Burzako es el consejero delegado (ambos en la foto). Hasta aquí, poca cosa. Donde empiezan los sorpresas es cuando se comprueba que la Comisión Nacional del Mercado de Valores (CNMV) solo supervisa los posibles abusos de mercado, pero nada de información financiera o estado de cuentas de las compañías cotizadas en el BME Growth. Estos asuntos los controla, en teoría, BME y otros asesores externos (bancos y consultoras). Los fiascos han sido sonados. Aquí te explicamos los grandes batacazos, quiebras incluidas, de empresas cotizadas en el BME Growth.  

Bien público

Diputado y rentista. ¿Por qué no? Esta semana en 'Bien público', la sección donde aparecen los reportajes de investigación y las informaciones más elaboradas, os traemos un reportaje donde analizamos que intereses inmobiliarios tienen los diputados y senadores. Según las declaraciones de los 350 diputados y los 254 senadores, casi uno de cada cinco representantes en las Cortes cuenta con ingresos procedentes de rentas inmobiliarias. En total, 115 diputados y senadores declaran ingresos extra por el alquiler de inmuebles de su propiedad. En este caso, el bipartidismo tiene un enorme peso: 98 de los 115 representantes de la soberanía nacional que tienen rentas inmobiliarias en las dos cámaras son del PP (58) y del PSOE (40). Aquí tienes más datos e información de esta investigación de Diego Larrouy y Elena Herrera sobre los parlamentarios rentistas.

Nos gusta la competencia

Ahora te ofrecemos una selección de informaciones de otros medios que nos han parecido interesantes:

Aquí se acaba este boletín. La semana que viene más y mejor. Si tienes una idea o propuesta nos puedes escribir a contraoferta@eldiario.es.

¡Buena semana!

Apúntate a Contraoferta, todos los jueves en tu buzón

Acepto las condiciones de uso y privacidad

Apúntate

Sentencia pionera en España sobre el uso de identificación biométrica irregular sobre los trabajadores. El Juzgado de lo Social número 2 de Alicante ha reconocido el derecho de un empleado a ser indemnizado por su antigua empresa, que lo vigiló con un sistema de reconocimiento facial sin informarle ni solicitar su consentimiento. El fallo, al que ha tenido acceso elDiario.es, califica los hechos como una falta muy grave contra la intimidad del trabajador y ordena que se le compense con 6.251 euros.

La condenada es Albero Forte Composite SL, propietaria de la fábrica de plásticos Plastic Forte, que en 2022 solicitó una fotografía al denunciante. En el documento que detallaba los propósitos de esa imagen incluía “la publicación en su página web, redes sociales, campañas, revistas, folletos, publicidad corporativa y demás materiales de apoyo”. Es decir, no informó en ningún momento de que sería usada para nutrir la base de datos de un sistema de vigilancia que se utilizó para el fichaje de los trabajadores.

La propia Plastic Forte reconoció haber aplicado este reconocimiento facial sobre los trabajadores en un proceso paralelo abierto por la Agencia Española de Protección de Datos (AEPD). Como también informó en primicia este medio, la empresa fue multada en abril con 20.000 euros por el regulador de la privacidad por utilizar biometría de manera irregular, ya que no informó a los trabajadores y no haber hecho la preceptiva evaluación de los posibles riesgos del sistema. Este tipo de sistemas de identificación en base a rasgos físicos de las personas están desaconsejados si es posible aplicar métodos alternativos menos invasivos.

Ahora el fallo del Juzgado de Alicante se une a la tesis de la AEPD y se convierte en pionera al reconocer el derecho a una indemnización por parte del trabajador por haber sido sometido a reconocimiento facial de manera irregular. La Fiscalía ha apoyado también las reclamaciones del trabajador.

“Al analizar la proporcionalidad de un sistema biométrico propuesto, es preciso considerar previamente si el sistema es necesario para responder a la necesidad identificada, es decir, si es esencial para satisfacer esa necesidad, y no solo el más adecuado o rentable”, recuerda la sentencia. “Si el beneficio es relativamente menor, como una mayor comodidad o un ligero ahorro, entonces la pérdida de intimidad no es apropiada”, expone.

Si el beneficio es relativamente menor, como una mayor comodidad o un ligero ahorro, entonces la pérdida de intimidad no es apropiada

“En nuestro caso, no consta que se ofrecieran al actor otras opciones sobre el modo de fichaje, pudiendo habérsele ofrecido la posibilidad de fichar con tarjeta”, incide el juez, que recalca que la empresa sí que ofreció este método de identificación a dos trabajadoras gemelas de la empresa.

La sanción de 6.251 euros impuesta por el juez corresponde a la cifra más baja para las infracciones calificadas como “muy graves” en la anterior redacción de la Ley sobre Infracciones y Sanciones en el Orden Social. El demandante, Álvaro Alarcón, había solicitado 20.000 euros. “Creo que la sentencia viene a defender al ciudadano frente al que parece un avance imparable de las tecnológicas. Hay que sensibilizarse y proteger nuestra información más personal frente a empresas e instituciones”, ha opinado sobre el fallo en conversación con elDiario.es.

Durante el juicio, la defensa de Plastic Forte recurrió a la misma argumentación que empleó en el proceso de la AEPD: que el fichaje de trabajadores no se encuentra en los supuestos en los que la ley exige hacer una evaluación de riesgos de los sistemas. El Juzgado de Alicante, a su vez, ha empleado el mismo razonamiento que el regulador de privacidad para desestimarla: “No estamos ante una lista exhaustiva, sino que ha de valorarse la complejidad del proceso de gestión de riesgo, teniendo en cuenta no el tamaño de la entidad, la disponibilidad de recursos, la especialidad o sector de esta, sino el posible impacto de la actividad de tratamiento sobre los interesados y la propia dificultad del tratamiento”.

Albero Forte va a recurrir la sentencia ante el Tribunal Superior de Justicia de la Comunidad Valenciana, según ha adelantado la empresa elDiario.es. La compañía también recuerda que no se ha cometido ningún delito contra la intimidad del trabajador “ya que no se trata de una sentencia penal, sino que es una sentencia dictada en el ámbito laboral”. En el momento de la denuncia Plastic Forte tenía unos 470 trabajadores, pero la compañía tampoco ha confirmado a cuántos aplicó reconocimiento facial sin permiso.

Una jurisprudencia para el reconocimiento facial

El reconocimiento facial es uno de los usos más polémicos de la inteligencia artificial, ya que permite la identificación automática de personas en espacios abiertos. Su capacidad de usarse en procesos de vigilancia masiva indiscriminada lo ha colocado en el punto de mira de las organizaciones de protección de derechos digitales.

Sin embargo, fue su falibilidad la que terminó derivando en una moratoria en su aplicación a gran escala sobre él a raíz de las protestas del movimiento Black Lives Matter, que mostraron que tenía una ratio de acierto mucho más baja cuando debía evaluar a personas no caucásicas.

Estas cuestiones han provocado que la UE se esté planteando prohibir su uso en entornos abiertos y valore permitirlo solo en situaciones en las que se use para identificar a una persona que mira directamente a cámara a corta distancia. Estas conversaciones se dan en el contexto del nuevo Reglamento de Inteligencia Artificial que la UE quiere aprobar antes de 2024.

En España solo ha habido un gran proceso judicial en el que el reconocimiento facial se haya colocado en el centro de la disputa. Tuvo su origen en el intento de Mercadona de usarlo como sistema de vigilancia en sus tiendas para identificar y prohibir la entrada a las personas que ya habían sido condenadas por robar en ellas. La Audiencia Provincial de Barcelona sentenció que la medida “en modo alguno resulta proporcional, necesaria ni asimismo idónea” y la AEPD terminó multando a Mercadona con 2,5 millones de euros.

----------------------

Nota de rectificación remitida por Albero Forte Composite S.L. a elDiario.es

En cumplimiento de la ley Orgánica 2/1984, de 26 de marzo, reguladora del derecho de rectificación, publicamos esta nota enviada por el representante legal de la empresa Albero Forte Composite S.L. a la redacción de elDiario.es:

PRIMERO.- Que la noticia resulta inexacta en algunos aspectos, por cuanto la Sentencia dictada por el Juzgado de lo Social Nº 2 de Alicante el día 15 de septiembre de 2023 no obliga a la empresa a indemnizar a un trabajador por “vigilarlo con reconocimiento facial sin permiso”, sino por utilizar su imagen como sistema de control de entrada y salida en la empresa (fichaje). A este respecto señalar que no consta en la sentencia que la empresa “vigilara” al trabajador.

SEGUNDO.- También es inexacta la referencia a que la Sentencia diga que “la empresa no informó en ningún momento de que la fotografía del denunciante sería usada para nutrir la base de datos de un sistema de vigilancia que se utilizó para el fichaje de los trabajadores”, pues tal afirmación no se contiene en el texto de la Sentencia. En ningún apartado de la Sentencia se menciona que la empresa haya utilizado la fotografía del denunciante para nutrir la base de datos de un sistema de vigilancia que se utilizó para el fichaje de los trabajadores.

TERCERO.- Asimismo resulta inexacta la afirmación de que “… la empresa fue multada en abril con 20.000 euros por el regulador de la privacidad por utilizar biometría de manera irregular, ya que no informó a los trabajadores y no haber hecho la preceptiva evaluación de los posibles riesgos del sistema”. La resolución de la Agencia Española de Protección de Datos (AEPD) sancionó a la empresa por carecer de un requisito exclusivamente técnico, pero no sancionó por no haber informado a los trabajadores.

La ONG de derechos digitales Noyb ha interpuesto una reclamación contra Ryanair ante la Agencia Española de Protección de Datos (AEPD) por forzar a algunos pasajeros a pasar por un sistema de reconocimiento facial con el único propósito de confirmar su correo electrónico. Los únicos clientes de la aerolínea que deben pasar por este proceso son aquellos que compran sus vuelos a través de agencias de viajes como eDreams, denuncia la organización, que entiende “no hay ninguna justificación razonable para utilizar este sistema” y que el objetivo de Ryanair es promover la compra de vuelos en su propia web, donde tiene más posibilidades de aumentar su beneficio con ofertas de reservas de vehículos y hoteles.

“Esta reserva se ha hecho a través de una agencia de viajes externa que no tiene ninguna relación comercial con Ryanair para vender nuestros vuelos”, informa la aerolínea a los pasajeros que reservan sus vuelos con terceros: “Es necesario que verifiques esta reserva para poder gestionarla por ti mismo/a”. Durante ese proceso de verificación la compañía obliga a los pasajeros a someterse a reconocimiento facial, explica Noyb.

La única alternativa para no hacer es acudir al aeropuerto con mucha más antelación y, además, pagar un extra. “Si no completas la verificación y la facturación en línea, tendrás que acudir al mostrador de Ryanair al menos 2 horas antes de la salida y facturar en el aeropuerto pagando una tasa”, avisa a los clientes de agencias de viajes antes de comenzar el proceso de verificación.

La compañía asegura que esta política se debe a que las agencias “impiden que Ryanair se asegure de que a los pasajeros se les notifican nuestros protocolos de seguridad y salud pública”; le “proporcionan datos de contacto incorrectos” y “utilizan sus propias tarjetas de crédito”, lo que le “dificulta” hacer los reembolsos a los pasajeros afectados por alteraciones en los vuelos.

Para Noyb, exigir a los clientes que se sometan a reconocimiento facial para confirmar que el correo electrónico que les ha proporcionado la agencia de viajes es válido es “invasivo” y desproporcionado. “Tu dirección de correo electrónico no está impresa en tu cara ni en tu pasaporte”, afean.

Además, recuerdan que el hecho de que aquellos pasajeros que reservan a través de la web oficial de Ryanair no tengan que pasar por esta identificación biométrica revela que el objetivo es embarrar las reservas a través de otros canales para “obtener una ventaja competitiva”: “La información proporcionada por Ryanair es tan confusa que los viajeros pueden llegar a pensar que su reserva no es válida. Al empujar a los clientes a pasar por su invasivo proceso de reconocimiento facial, la aerolínea consigue tanto violar la privacidad de sus clientes como asegurarse de que no vuelvan a reservar a través de proveedores externos”.

El conflicto de Ryanair con las agencias de viajes viene de lejos. Cuando este tipo de servicios y comparadores de precios de vuelos empezaban a despegar en la primera década de siglo, la compañía intentó prohibir que vendieran sus vuelos, pero una sentencia de la Audiencia de Barcelona ratificó su derecho a ofrecerlos. La batalla comenzó de nuevo en 2021, cuando la Asociación Corporativa de Agencias de Viajes Especializadas (Acave) se querelló contra Ryanair por un delito de injurias por asegurar que su venta de billetes no estaba consentida y que las agencias de viajes retenían cantidades pagadas por la compañía en concepto de reembolso a clientes por retrasos, cancelaciones y devoluciones. Un juzgado de Barcelona sobreseyó la querella en abril, pero Acave ha recurrido el auto ante la Audiencia Provincial de la capital catalana.

A cuenta de un tercero

La encargada de realizar el reconocimiento facial de los pasajeros no es la propia Ryanair sino una empresa subcontratada, GetID. Según explica esta última, las agencias “utilizan bots para completar el proceso de reserva”, por lo que el reconocimiento facial “permite a Ryanair asegurarse de que un pasajero ha recibido información importante de Ryanair y ha completado la facturación personalmente”.

El hecho de que sea un tercero el que lleve a cabo la identificación biométrica agrava la situación, denuncia Noyb, ya que “significa que los clientes tienen que confiar sus datos biométricos a una empresa de la que nunca han oído hablar y con la que no han firmado ningún contrato”.

La política de la Agencia de Protección de Datos en lo referente a los sistemas de reconocimiento facial y otros sistemas de identificación biométrica es clara. El regulador destaca que estas tecnologías tienen un “impacto en los derechos y libertades de las personas” y “conllevan riesgos, tanto para el individuo como para la sociedad”, por lo que su implementación debe responder a necesidades claras que no puedan satisfacerse con otros sistemas menos invasivos.

Ryanair ha defendido esta práctica en un comunicado enviado a elDiario.es. “Las agencias de viajes online extraen el inventario de Ryanair y en muchos casos venden nuestros vuelos y servicios adicionales de forma incorrecta, añadiendo recargos ocultos y proporcionando información de contacto y detalles de pago incorrectos. Como resultado, y para proteger a los clientes, cualquier cliente que reserve a través de ellas debe completar un sencillo proceso de verificación del cliente y puede optar por una verificación biométrica o, alternativamente, completar un formulario de verificación digital, ambos cumplen completamente con todas las regulaciones del GDPR”, ha expresado un portavoz de la compañía.

“Esto es para asegurar que ellos (como pasajeros) realicen las declaraciones de seguridad necesarias y se informen directamente sobre todos los protocolos de seguridad y regulaciones requeridas al viajar, como es exigido por la ley”, han continuado las mismas fuentes.

De Facebook a Ryanair

Noyb es una ONG fundada por el joven abogado austríaco Max Schrems, conocido por haber tumbado en dos ocasiones el acuerdo bilateral entre la UE y EEUU para la transferencia de datos personales entre ambos bloques. Estos tratados regulan un negocio que mueve miles de millones de euros al año y resultan vitales para las grandes tecnológicas estadounidenses.

El argumento que Schrems expresó en las dos denuncias que presentó ante el Tribunal de Justicia de la UE fue el mismo: los datos de los europeos que Facebook envía a EEUU son accesibles por las agencias de seguridad e inteligencia del país sin permiso judicial, lo que viola las leyes de la UE. El hecho de que Facebook continuara estas transferencias de información después de la sentencia del alto tribunal le ha acarreado una de las multas más altas de la historia de la UE, de 1.200 millones de euros, impuesta el pasado mayo. Meta (su matriz) ha recurrido la decisión.

En los últimos tiempos Noyb ha aumentado sus acciones en el resto de Europa contra otras empresas, como muestra la reclamación que ha presentado este jueves contra Ryanair. Considerando que Ryanair facturó 10.780 millones de euros en 2022, la AEPD podría imponerle una multa de hasta 430 millones de euros (4% de sus ingresos globales).

El reconocimiento facial está considerado uno de los usos de “alto riesgo” de la inteligencia artificial. Mientras la UE finaliza las normas que determinarán cómo puede desplegarse esta tecnología en los próximos años, los reguladores de privacidad del continente han pedido que solo se emplee cuando no haya opciones más seguras disponibles. También que se haga de forma transparente para las personas a las que se vigila, dos preceptos que se incumplían en una empresa de Alicante que ha usado reconocimiento facial para hacer el registro horario de sus empleados sin informarles.

La Agencia Española de Protección de Datos (AEPD) ha multado esta semana con 20.000 euros al fabricante de productos de plástico Plastic Forte, que cuenta con una plantilla de unas 470 personas, por hacer una fotografía a sus trabajadores y ocultarles que uno de sus usos sería la creación de una plantilla biométrica para su reconocimiento facial. En el documento de consentimiento, la empresa solo refería que las imágenes “podrían ser utilizadas y difundidas para la publicación en su página web, redes sociales, campañas, revistas, folletos, publicidad corporativa y demás materiales de apoyo”.

La resolución se produce a raíz de la denuncia de un trabajador que solicitó a la compañía información sobre los datos personales que esta manejaba. Pese a disponer de un registro horario de los períodos en los que el empleado estuvo en las instalaciones, en la documentación aportada por la compañía no se citaba la posesión de los datos biométricos de la plantilla.

Plastic Forte alegó ante la AEPD que la ley le obliga a llevar un registro horario del tiempo de trabajo de cada empleado por lo que, al ser esa “la única finalidad” de los datos biométricos, no se consideraba a obligada a notificar el empleo de esta tecnología. Sin embargo, ante la apertura del expediente por parte del regulador de privacidad, decidió reconocer su responsabilidad y renunciar a presentar alegaciones, lo que implica la reducción de la multa en un 20%. Con el pronto pago, consiguió otra reducción de otro 20% y dejar la sanción en los 12.000 euros.

En la resolución la AEPD recuerda que el empleo de reconocimiento facial para el control horario es “un sistema de identificación novedoso y muy intrusivo para los derechos y libertades fundamentales de las personas”. Su uso no está prohibido, pero requiere de una evaluación de impacto y la comunicación al comité de empresa de cómo, cuándo y quién despliega la tecnología biométrica.

Dicha evaluación debe incluir un análisis de “la necesidad y la proporcionalidad” de esos sistemas, así como “las medidas previstas para afrontar los riesgos” que lleva a aparejado el reconocimiento facial, como las brechas de seguridad o la desviación de la información biométrica a “bases de datos centralizadas” menos seguras, recuerda la AEPD.

En caso de que aún así se decida implementar el sistema de reconocimiento facial, el organismo recalca que se debe tener en cuenta cuántos datos de la cara se recogen e intentar minimizarlos. “Por una parte, el tamaño de la plantilla debe ser lo bastante grande para gestionar la seguridad (evitando solapamientos entre los diferentes datos biométricos, o sustituciones de identidad) y, por otra, no deberá ser demasiado grande a fin de evitar los riesgos de reconstrucción de los datos biométricos”, señala.

elDiario.es ha contactado con Plastic Forte para incluir su valoración en esta información. La empresa ha rechazado el ofrecimiento y ha amenazado con acciones legales “civiles y penales” contra este medio si no refleja de forma “fehaciente” el contenido del dictamen de la AEPD.

Vigilancia no consentida de trabajadores

Una de las líneas habituales de las resoluciones de la AEPD tiene que ver con los sistemas de vigilancia desplegados sobre los trabajadores sin su consentimiento. El registro de imágenes o audio de manera opaca es fuente habitual de sanciones y apercibimientos por parte del organismo de privacidad español.

Este miércoles la institución ha multado a otra empresa con 5.000 euros por instalar un sistema de videovigilancia capaz de retransmitir en tiempo real el audio de un establecimiento sin informar a los trabajadores, ni tampoco a los clientes. “Se entiende desproporcionada la captación de la voz tanto de los trabajadores como de clientes de la parte reclamada para la función de videovigilancia pretendida. Se tiene en cuenta que la captación de voz supone una mayor intromisión en la intimidad”, expone la resolución.

En este caso, la denuncia llegó por parte de otra trabajadora que descubrió que estaba siendo escuchada cuando su responsable le preguntó a través del grupo de WhatsApp del negocio por lo que se escuchaba en el local. “Qué tienes puesto de fondo? Por qué no hay música?”, inquirió: “Entré en la cámara y se escuchaban las noticias”, afirmó en una conversación que la empleada aportó como prueba.

Pasar la palma de la mano por un lector infrarrojo o simplemente sacarse una foto del antebrazo con el móvil. Un programa de inteligencia artificial que compara esa imagen con una base de datos de sujetos y listo: la persona ha sido identificada por la geometría de sus venas. Se trata del reconocimiento vascular, la nueva frontera de la biometría apoyada en algoritmos. Sus partidarios defienden que es un método de identificación mucho más preciso que otros en los que se ha investigado más en los últimos años, como los que usan los rasgos de la cara.

Las venas no cambian a lo largo de los años, no tienen sesgos raciales y es imposible cambiar sus patrones o falsificarlos, ya que estos métodos requieren presión sanguínea.

Sin embargo, sus detractores avisan de que se trata de un método invasivo que puede comprometer aún más la privacidad personal, especialmente la de los grupos vulnerables.

Los dispositivos de reconocimiento vascular están avanzando a pasos agigantados. Investigadoras del Instituto de Microelectrónica de Sevilla (Universidad de Sevilla-CSIC) acaban de presentar un sistema para hacerlo con cualquier móvil de gama media. “Hoy en día, la biometría basada en patrones venosos como rasgo es una técnica prometedora. Los patrones venosos satisfacen los requisitos de universalidad, distintividad, permanencia, rendimiento y protección contra la elusión”, explican en su estudio, publicado en la revista científica Applied Sciences.

Su método toma una imagen de la muñeca del sujeto y aplica un contraste infrarrojo para detectar las venas y los capilares. La hemoglobina presente en la sangre absorbe más luz infrarroja que el resto de tejidos, lo que permite trazar con exactitud el recorrido de los vasos sanguíneos sin tener en cuenta los rasgos cutáneos. Esa geometría de venas y capilares es propia de cada individuo, con lo que un algoritmo especializado puede identificar a cualquier persona partir de esas imágenes.

Con todo, lo novedoso de la investigación española es que presenta una forma de captar esas imágenes de las redes de vasos sanguíneos a bajo coste. Era uno de los dos problemas que tiene la biometría vascular en comparación con el reconocimiento facial o la huella dactilar, ya que los sistemas de captación de las imágenes son caros y complejos.

El segundo reto de esta tecnología es la disponibilidad de imágenes para entrenar a los algoritmos de inteligencia artificial. Para ser fiables, estos sistemas necesitan analizar primero los patrones de las venas de los seres humanos a partir de enormes bases de datos de cómo se dibujan las venas de las personas. Millones de imágenes, a ser posible.

El acceso a ese material de entrenamiento ya ha sido un tema controvertido en otros sistemas biométricos, especialmente el reconocimiento facial. Gran parte de las fotografías de caras que han usado los algoritmos de las principales empresas que disponen de estos servicios se sacaron de Internet sin el permiso de las personas que las subieron. Algunas compañías incluso ofrecen reconocimiento facial de pago comparando la foto suministrada con las imágenes disponibles de forma pública en Internet. ClearView, una de las más famosas, fue multada en 2022 con 20 millones de euros en Francia por este motivo.

Las imágenes de la disposición de los vasos sanguíneos, al contrario que las fotografías de caras, no son tan comunes en la red. El gigante chino Tencent (la segunda multinacional tecnológica del país por detrás de Alibaba) ha tenido varias iniciativas para intentar formar ese banco de imágenes con los que entrenar a su inteligencia artificial. Una de ellas es ofrecer refrescos por un céntimo, siendo ese céntimo la excusa para que sus usuarios registren la estructura vascular de su mano como forma de pago, ha revelado MIT Technology Review.

No es casualidad que la gran tecnológica asiática sea una de las primeras que se ha lanzado a desarrollar biometría vascular. China es uno de los países más avanzados en reconocimiento facial. Es uno de los principales ingredientes del estado de hipervigilancia basado en el crédito social. Un sistema en el que juega un papel muy importante WeChat, propiedad de Tencent. Se trata de una superapp de uso masivo en el país que acumula las funciones de sistema de mensajería, plataforma de pago o red social, y en la que el régimen tiene libre acceso a los datos. El nuevo sistema para pagar con las venas de la mano es un proyecto de WeChat Pay.

China también es una de las más avanzadas en el estudio de la biometría vascular en el contexto académico. “Puedo decirles, muy honestamente, que hemos estado trabajando en el reconocimiento de huellas palmares durante más de 20 años. Ya está listo”, asegura David Zhang, profesor de la Universidad China de Hong Kong. “El reconocimiento de las huellas palmares combina [las ventajas de identificar] el detalle de las huellas dactilares, la textura del iris y la información geométrica de los rostros”, explica. Las investigaciones de su equipo muestran que las tasas de precisión de las identificaciones por las venas de la mano es hasta diez veces mayor que usando huellas dactilares o rostros.

Sin embargo, no todos los usuarios chinos parecen conformes con ceder esos datos a Tencent a cambio de saltarse una cola o tener refrescos gratis. “¿Así que ya han terminado de recopilar todos los demás datos biométricos y pasan a las huellas de la palma de la mano? El iris será lo siguiente, y luego el ADN”, comentaba uno en Douyin, el TikTok chino, en un comentario recogido por la citada revista tecnológica del MIT.

Datos sensibles y sistemas de riesgo

La biometría es un sistema de identificación en auge porque una de las ambiciones de las compañías tecnológicas es dejar atrás las contraseñas. Las claves débiles son mayoría entre los usuarios y uno de los eslabones más sensibles de la cadena de ciberseguridad. Pero se trata de una tecnología que lleva aparejada una traba estructural: si se filtra o hackea una contraseña, se puede configurar una nueva. Pero si se inventa un método para copiar una identificación biométrica, el usuario no puede cambiar su cara o su patrón vascular.

Es por esto que el uso de biometría está controlado a nivel legal en Europa. Por una parte, los datos biométricos “relativos a las características físicas, fisiológicas o conductuales de una persona que permitan o confirmen su identificación” están considerados como “datos sensibles” por el Reglamento General de Protección de Datos de la UE. Esto impide recopilarlos sin el consentimiento expreso del usuario, aunque la norma deja la puerta abierta a que los cuerpos de seguridad o autoridades sanitarias los usen si existe “un interés público esencial”.

Sin embargo, la explosión de la biometría en los últimos años, especialmente del reconocimiento facial, ha hecho que las autoridades comunitarias se planteen tomar más medidas sobre su uso. Este tipo de algoritmos serán declarados “de alto riesgo” en el nuevo Reglamento de Inteligencia Artificial que la UE tiene en el horno. Comisión, Parlamento y Consejo europeos se han mostrado de acuerdo en vetar su uso en “entornos abiertos”, es decir, para la vigilancia de personas al estilo chino. Sin embargo, el texto también vuelve a contemplar la posibilidad de que la policía lo emplee de esta forma ante riesgos concretos de seguridad o en protección de fronteras. Este es uno de los puntos que aún está abierto a debate.

El problema no es la tecnología sino el contexto en el que se aplique

Ana Valdivia — profesora de la Universidad de Oxford

Con todo, ninguna de las dos normas menciona de forma específica la biometría vascular. “Es cierto que con estos métodos pasa como con la identificación por huella dactilar, que tienen menos riesgos éticos que sistemas como el reconocimiento facial porque este te lo pueden hacer por la calle sin que te des cuenta”, explica Ana Valdivia, profesora del Internet Institute de la Universidad de Oxford especializada en la intersección entre Inteligencia Artificial, Gobierno y Política. “Pero el problema no es la tecnología, sino el contexto en el que se aplique”, avisa.

Valdivia estudió uno de estos sistemas de identificación que fue implementado para el control de fronteras en el Reino Unido, uno de sus primeros usos en Europa. Su conclusión fue que si la política de aplicación de ese sistema de identificación es discriminatoria, da igual que la tecnología tenga mayor base ética que otras. “Si tú implementas un algoritmo, como en este caso el que lee las venas de la palma de la mano, y fuerzas al migrante a que te dé la palma por un tema de legislación, porque lo que quieres es identificar a esa persona para que no cruce a Francia, da igual que el sistema sea más justo. Si el contexto de aplicación es injusto, todo será injusto”, concluye.

El Ministerio del Interior está probando un sistema de reconocimiento facial para identificar sospechosos. El programa utiliza un algoritmo de inteligencia artificial desarrollado por la compañía francesa Thales, especializada en tecnología militar. Según han revelado fuentes policiales a El País, el objetivo es ponerlo a disposición de la Policía Nacional, la Guardia Civil y los cuerpos regionales durante los próximos meses.

Las fuerzas de seguridad utilizarán el programa ABIS (siglas en inglés de sistema automático de identificación biométrica) para investigaciones en curso y no para la vigilancia, según ha asegurado Interior al citado medio. El sistema permitirá a los agentes cotejar las imágenes que hayan podido obtener de una cámara de seguridad, por ejemplo, con las fotografías de la base de datos de personas que ya estaban fichadas por los cuerpos policiales. En este momento una parte de los trabajos se centra en armonizar esos repositorios, que contienen millones de imágenes, para permitir que ABIS los analice. No se utilizará información procedente de otros registros, como las fotografías del DNI.

La Agencia Española de Protección de Datos (AEPD) se encuentra en contacto con Interior para analizar el desarrollo del programa y su posible impacto en los derechos de los ciudadanos. Cuestiones como durante cuánto tiempo podrá usarse la fotografía de un sospechoso para buscar coincidencias biométricas con las imágenes procedentes de la investigación de un delito están aún por dilucidar. La tecnología de reconocimiento facial está considerado uno de los usos más peligrosos de la inteligencia artificial por su gran capacidad de provocar graves perjuicios a personas que no han cometido ningún delito si el sistema se equivoca.

La UE ultima un nuevo reglamento para la inteligencia artificial que encuadra los sistemas de reconocimiento biométrico, donde se incluye el facial, entre los de riesgo más alto. Esto evitará que se puedan usar para la vigilancia indiscriminada o sin una autorización especial, en caso de que sea un agente privado el que quiera desplegarlos. Sin embargo, el texto deja la puerta abierta para su uso policial al autorizar su aplicación con “fines de prevención, detención o investigación de crímenes graves o terrorismo”.

A estos problemas se suma el hecho de que se trata de sistemas en los que se han descubierto sesgos notables para personas racializadas. En occidente, los algoritmos que utilizan estos programas han sido entrenados con bases de datos donde existe una predominancia de sujetos caucásicos, lo que hace que su margen de error escale notablemente cuando deben identificar a personas de otras características. Su sesgo racista quedó destapado durante las protestas del movimiento Black Lives Matter, tras las cuales se aplicaron moratorias a la venta de esta tecnología y se vetó su uso policial.

Desde Interior aseguran que ABIS se limita a ofrecer una serie de candidatos con el mayor parecido físico con el de una imagen introducida en el sistema, pero que siempre corresponderá a un agente llevar a cabo la identificación definitiva y decidir si se investiga a una persona o no. En cualquier caso, las dudas sobre el reconocimiento artificial también han afectado a este proyecto, que se ha retrasado varias veces y ya lleva más de tres años investigándose.

Junto al ADN o las huellas dactilares

El sistema de reconocimiento facial español se prueba en la Sección de Antropología Forense de la Comisaría General de Policía Científica de Madrid. Esta unidad trabaja habitualmente con dos posibles líneas de investigación en cada delito: el ADN y las huellas dactilares. El objetivo de Interior es que el reconocimiento facial se convierta en la tercera para de su trabajo.

La principal ventaja es que se trataría de una línea que no requeriría que los agentes cuenten con evidencias físicas del sospechoso, como el material genético o los rastros de huellas necesarios en sus investigaciones tradicionales. El problema es que los sistemas de reconocimiento facial tienen un índice de error mucho mayor que las pruebas de ADN o el cotejo de huellas dactilares.

“Cuando le presentas una imagen de una persona, el sistema te ordena las fotografías de reseña policial [unos cinco millones, según interior] desde la que más se parece a la que menos. Entonces el operador recorre las primeras posiciones en busca de una coincidencia”, declara el inspector a cargo del desarrollo a El País. “Mi equipo haría un estudio uno a uno del sujeto ofrecido por la herramienta automática. Se busca una fiabilidad muy alta, porque nuestra pericial puede condicionar una sentencia, y para eso hace falta mucha calidad de imagen”, añade.

Transparencia

En países como China o Rusia se usa la tecnología de identificación biométrica para la vigilancia masiva de los ciudadanos, un uso que la UE ha prohibido por atentar gravemente contra los derechos humanos. Sin embargo, estados europeos como Reino Unido, Países Bajos, Francia o Alemania tienen en marcha sistemas de reconocimiento facial de uso policial o se encuentran en fase piloto.

En el caso de ABIS, Interior explica que aún faltan unos meses para pensar en su aplicación definitiva por lo que aún quedan detalles por perfilar. Uno de ellos será si el programa se usa de manera centralizada por una unidad experta o si se distribuye como una herramienta más entre otras unidades.

Además de las cuestiones legales que está analizando la AEPD, los especialistas en este tipo de sistemas remarcan que la clave es la transparencia y la capacidad de auditar el trabajo de los algoritmos de manera externa. Esto no se cumple en otros algoritmos utilizados por la Policía, como el famoso VioGén, que decide el nivel de riesgo que corre una víctima de violencia machista. Interior se ha negado en repetidas ocasiones a facilitar un análisis independiente a pesar de que el sistema ha fallado y ha asignado riesgos bajos a mujeres que denunciaron y terminaron asesinadas, lo que supuso una menor protección policial y la desestimación de otras medidas especiales de distanciamiento.

Detectar agentes rusos infiltrados, reconocer a personas fallecidas, luchar contra la desinformación o facilitar la identificación de refugiados sin documentación. Ucrania ha llegado a un acuerdo con la firma estadounidense Clearview AI para utilizar de manera gratuita su sistema de reconocimiento facial, cuya base de datos son unos 10.000 millones de imágenes recogidas de Internet sin permiso de las personas que aparecen en ellas. Este sistema ha sido denunciado por organizaciones de privacidad y acaba de acarrearle una multa de 20 millones de euros en Italia, que ha ordenado a Clearview AI detener inmediatamente el procesamiento de fotografías de italianos.

El acuerdo entre Ucrania y Clearview AI fue adelantado por Reuters y ha sido confirmado por elDiario.es. Según la agencia, el Ministerio de Defensa ucraniano utiliza los servicios de la empresa desde este sábado y próximamente se le unirán otros departamentos del Gobierno que dirige Volodímir Zelenski. “Me complace confirmar que Clearview AI ha proporcionado su innovadora tecnología de reconocimiento facial a los funcionarios ucranianos para que la utilicen durante la crisis a la que se enfrentan”, expresa en un comunicado remitido a esta redacción Hoan Ton-That, su fundador y presidente.

La tecnología de Clearview AI permite identificar a una persona a través de las imágenes que ha dejado atrás en Internet, principalmente en redes sociales y plataformas de vídeo. Meta (matriz de Facebook, Instagram o WhatsApp), YouTube, Twitter o LinkedIn le exigieron que dejara de recopilar sus imágenes y más de 40 organizaciones de derechos civiles han criticado sus métodos, pese a lo cual Clearview AI es un contratista habitual de las fuerzas de seguridad de EEUU. Entre sus clientes se encuentran el FBI, el Departamento de Seguridad Nacional y numerosos cuerpos policiales locales y estatales.

Fue Ton-That el que ofreció personalmente sus servicios al Gobierno ucraniano, recordando que su empresa también cuenta con una amplia base de datos de ciudadanos rusos gracias a VK, el Facebook ruso. “La base de datos de Clearview AI contiene fotos de todo el mundo, y una gran parte de las redes sociales rusas, como Vkontakte. Tenemos más de 2.000 millones de imágenes de la red social Vkontakte en la base de datos Clearview AI”, explicó en una carta a la que también ha tenido acceso elDiario.es.

La primera utilidad que enumeraba para su tecnología es la de descubrir a agentes rusos infiltrados. “Con solo una foto de la persona o incluso de su tarjeta de identidad, serán capaces de ver su nombre real, socios, amigos, familia y los enlaces a cualquier información pública que haya online sobre esa persona”, detalló. “Los posibles infiltrados que se hagan pasar por partidarios de Ucrania pueden ser investigados instantáneamente. Por ejemplo, algunos infiltrados podrían tener cuentas públicas en VK con fotos con el uniforme del ejército ruso”.

Algunos infiltrados podrían tener cuentas públicas en VK con fotos con el uniforme del ejército ruso

Hoan Ton-That — fundador y presidente de Clearview AI

Además de para propósitos militares, Thon-That detalla que su tecnología también puede ser útil en Ucrania para identificar cadáveres, especialmente cuando sacar una huella dactilar sea más complicado que una fotografía. “Clearview AI funciona eficazmente independientemente de los daños faciales que pueda sufrir una persona fallecida”, asegura. También sugiere que se puede usar para el reconocimiento de refugiados que no estén en posesión de su documentación.

El fundador de la compañía afirma que el servicio también puede resultar útil para que Ucrania desmienta la desinformación rusa cuando esta implica directamente a personas o grupos concretos. Desde el comienzo de la invasión se han viralizado en redes sociales vídeos que aseguraban provenir de soldados capturados por uno y otro bando. Tras atacar la maternidad de Mariúpol, Rusia difundió sin pruebas que una de las víctimas embarazadas que aparecieron en las imágenes era una “actriz con maquillaje muy realista”.

El uso del reconocimiento facial en un contexto de guerra y sus posibles consecuencias han elevado las alarmas de los expertos. “Es muy preocupante”, expresa a elDiario.es Ella Jakubowska, asesora de European Digital Rights (EDRi), una red de ONG y fundaciones europeas de derechos digitales. “Incluso un sistema que es muy preciso en condiciones de laboratorio no funcionará con la misma precisión en una zona de guerra, con resultados potencialmente fatales”, avisa.

Estamos abriendo la caja de pandora para que tecnologías que han sido declaradas incompatibles con los derechos de las personas se desplieguen en situaciones de vida o muerte

Ella Jakubowska — EDRi

La experta recuerda que el uso de reconocimiento facial en espacios públicos ha sido criticado por la Comisión Europea, por Naciones Unidas o por todos los reguladores europeos de privacidad. Clearview AI es uno de los sospechosos habituales: “Sus sistemas tienen un sesgo racial documentado, han facilitado varias detenciones traumáticas de personas inocentes en todo el mundo y sus técnicas de rastreo de Internet violan los derechos humanos de las personas a la privacidad y la protección de datos”, señala Jakubowska.

“¿Qué ocurrirá cuando Clearview AI decida ofrecer sus servicios a fuerzas militares con las que no estamos de acuerdo? El potencial de abuso –el riesgo de vigilancia masiva biométrica– es simplemente demasiado grande”, continúa. “Estamos abriendo la caja de pandora para que tecnologías que han sido declaradas incompatibles con los derechos de las personas se desplieguen en situaciones de vida o muerte”.

Máxima multa en Italia, investigada en más países

El modelo de negocio de Clearview AI que ahora utilizará Ucrania es incompatible con las leyes de la UE. “Los datos personales en poder de la empresa, incluida la información biométrica y de geolocalización, se trataron ilegalmente sin una base jurídica adecuada”, ha expuesto el Garante per la Protezione dei Dati Personali, el regulador italiano de privacidad. El organismo detectó que la empresa tiene imágenes de italianos en sus bases de datos, por lo que ha procedido a multarla con 20 millones de euros, la sanción máxima que le permitían las normas comunitarias. También le ha ordenado que borre las fotos de inmediato y que no vuelva a recopilarlas.

Los reguladores de protección de datos de Francia, Alemania, Suecia, Austria, Grecia y Reino Unido también están investigándola tras ser denunciada por varias organizaciones como Privacy International. Las agencias gala y germana también han ordenado a Clearview AI que elimine las imágenes de sus nacionales, mientras que la sueca ha descubierto que la Policía nacional estaba usando sus servicios “ilegalmente”, ha revelado la ONG. Reino Unido emitirá su resolución a mediados de este año y la empresa también se arriesga a la sanción máxima.

La compañía ha negado que tenga negocios en la UE ni clientes que operen desde su territorio, por lo que afirma que no debería estar sometida a sus normas de privacidad. “Solo recogemos datos públicos de Internet y cumplimos todas las normas de privacidad y de la ley. Estoy desconsolado por la mala interpretación que se ha hecho en Italia”, afirma su fundador en un comunicado remitido a este medio: “Mis intenciones y las de mi empresa siempre han sido ayudar a las comunidades y a sus habitantes a vivir mejor y más seguros”.

La expansión del reconocimiento facial y la vigilancia de personas con inteligencia artificial ha quedado muy acotada en las ciudades europeas, después de que la UE señalara estos sistemas como de alto riesgo y la ONU avisara de que son una amenaza para los derechos humanos. Sin embargo, las fronteras exteriores del continente se rigen por otras normas. España, por ejemplo, utiliza el reconocimiento facial para registrar la cara de las personas que atraviesan los pasos fronterizos de Ceuta y Melilla y rastrear sus movimientos. El Ministerio del Interior lo denomina “frontera inteligente”.

Ante la posible reapertura de la frontera terrestre con Marruecos tras la crisis sanitaria, más de 40 ONG y asociaciones de apoyo a las personas migrantes piden al Gobierno que no reactive este tipo de sistemas peligrosos. “La aplicación de la 'frontera inteligente' como un elemento de lucha contra el terrorismo supone un peligro de discriminación y criminalización y la convierte en un nuevo dispositivo racista dentro del Estado Español”, denuncian en una carta publicada este jueves a la que ha tenido acceso elDiario.es.

Las organizaciones recuerdan que los algoritmos de reconocimiento facial bajan su efectividad cuando trabajan con personas no caucásicas, debido a que son minoría en las bases de datos con las que se entrenan estas inteligencias artificiales. Un mayor porcentaje de falsos positivos en los sistemas de vigilancia fronteriza “podría suponer graves consecuencias para personas identificadas erróneamente como sospechosas de actos terroristas”, avisan.

La petición, rubricada por Oxfam Intermon, Rights International o Caminando Fronteras, también destaca que este tipo de controles vulneran el derecho a la privacidad de las personas que cruzan la frontera, que ven como los datos de su cara o sus huellas dactilares se recogen y almacenan en ficheros sobre los que no tienen control. “Los datos biométricos son datos intrínsecos a las personas. Su recopilación sin pasaporte europeo no cumple con el principio de proporcionalidad”, avisa la carta.

Transparencia

Para evitar estos efectos perniciosos, las organizaciones piden al Gobierno que habilite mecanismos de transparencia y control externo. Estos deben permitir tanto a las personas afectadas como a organizaciones de la sociedad civil evaluar si los algoritmos de Inteligencia Artificial funcionan como las autoridades publicitan o, por el contrario, “suponen un peligro de vulneración de derechos humanos, discriminación, criminalización y violación de la privacidad” para los que cruzan las fronteras de Ceuta y Melilla.

A su vez, solicitan la “incorporación sistemática de observadores de derechos humanos en las actuaciones en frontera” que puedan dar cuenta de lo que sucede en las tripas de esos sistemas de vigilancia, así como eliminar de las normas europeas la excepción que permite utilizar el reconocimiento facial en contextos de seguridad.

Vigilar a la máquina vigilante

La Inteligencia Artificial aplicada a contextos de vigilancia de personas queda cada vez más en entredicho. Desde hace dos años se han producido movimientos sociales destinados a sacarla de circulación por los problemas de sesgo y efectividad que lleva aparejados. Uno de los primeros se desencadenó en las protestas en torno a Black Lives Matter y consiguió que se impusieran moratorias a la venta de esta tecnología a la policía por parte de las empresas que la desarrollan, como Amazon o IBM.

Este tipo de reclamaciones se basan en el trabajo de especialistas como Cathy O'Neal (en su libro Armas de destrucción matemática) o Virginia Eubanks (en La automatización de la desigualdad), que alertaron de cómo la Inteligencia Artificial se reviste de una “falsa neutralidad matemática” y esquiva el escrutinio al que sí se somete a las decisiones humanas. La realidad, avisaron, es que puede ser tan racista, machista o clasista como las empresas o programadores que la desarrollan.

España ha tomado cartas en este sentido con una Agencia para la Supervisión de la Inteligencia Artificial que se creará este 2022 tras ser incluida en los presupuestos. Su misión es auditar el funcionamiento de estos sistemas. No obstante, como explicaron algunos expertos a este medio, uno de sus mayores retos será aplicar esta lógica de transparencia a los algoritmos que utiliza la administración pública y que, como en el caso de las fronteras de Ceuta y Melilla, pueden ser tan opacos como los que usan las empresas privadas.

El problema ya está bastante definido. Investigadores, tecnólogos o la ONU llevan varios años señalando que detrás del nombre comercial de “Inteligencia Artificial” hay algoritmos que pueden ser tan discriminadores como aquellos que los programan: sistemas opacos que bajo una falsa sensación de neutralidad matemática pueden ser tan injustos como un jefe explotador o tomar decisiones directamente desde el machismo estructural. Con las pruebas en la mano, llega la hora de la política.

Los presupuestos para 2022, aprobados definitivamente este martes, incluyen la creación de una Agencia Estatal para la Supervisión de la Inteligencia Artificial, independiente y con presupuesto propio. La misión del organismo será “minimizar los riesgos” de los algoritmos que se extienden por toda la sociedad, desde las redes sociales al entorno laboral, pasando por los Siri, Alexa y otros asistentes virtuales que han aterrizado en las casas a los que actúan para distribuir los recursos públicos o las ayudas.

La creación de este ente, conocido ya como la Agencia de Algoritmos, llega a través de una enmienda de Más País-Equo pactada con el Gobierno. El acuerdo incluye poco más que las líneas generales de la Agencia y su partida inicial, que será de cinco millones de euros. Un pacto que ha sido bienvenido por los especialistas, que piden que no se quede en lo cosmético y se meta de lleno en la “auditoria de algoritmos” que impida que sus efectos nocivos pasen desapercibidos.

No es una misión fácil. Se suele decir que los sistemas de Inteligencia Artificial son “cajas negras” porque todas las empresas, desde los gigantes digitales a la más pequeña startup, son muy reacias a revelar cómo funcionan. Es su patrimonio inmaterial: los detalles del buscador de Google, del reparto de tareas entre repartidores de Glovo o de encontrar el próximo contenido de moda de TikTok valen miles de millones. Antes solo había una fórmula de la Coca-Cola, ahora cada compañía digital tiene la suya.

A nadie le entra en la cabeza que una farmacéutica se niegue a que se sus productos se analicen para comprobar que no son peligrosos. Con la Inteligencia Artificial debe pasar lo mismo

Héctor Tejero — Más País

“Hay que respetar la propiedad intelectual de las empresas, pero a nadie le entra en la cabeza que una farmacéutica o una empresa alimenticia se nieguen a que sus productos se analicen para comprobar que no son peligrosos. Con la Inteligencia Artificial debe pasar lo mismo”, expone Héctor Tejero, coordinador político de Más País, en conversación con este medio.

“Creemos que la Agencia de Auditoría de Algoritmos debe trabajar de forma similar a cómo lo hacen las autoridades de salud pública: si tu quieres sacar un producto al mercado debes demostrar que no es perjudicial y cumplir toda una normativa de control”, abunda: “El mejor ejemplo es la ley rider, que obliga a las empresas a permitir que los trabajadores accedan a los algoritmos. Si la ley que se redacta para crear esta Agencia establece criterios similares, estaríamos en el buen camino”.

Crear escuela

La formación de Íñigo Errejón está en conversaciones con la Secretaría de Estado de Digitalización e Inteligencia Artificial (SEDIA) para la redacción de la ley que debe definir las funciones de esta Agencia estatal. Parte del trabajo estará inspirado desde Bruselas, puesto que la UE ultima un Reglamento de Inteligencia Artificial que tendrá la auditoría de algoritmos como eje central. En julio la SEDIA propuso a las instituciones comunitarias que España sea el campo de pruebas para el Reglamento.

Convencer a las empresas de que permitan el examen público de sus algoritmos no será el único reto que enfrentará la nueva Agencia. También deberá establecer cómo llevar a cabo ese análisis, un terreno absolutamente inexplorado en la administración pública. Organismos como la Agencia de Protección de Datos, con la que se planea que trabaje conjuntamente, acumulan en comparación una trayectoria que se acerca ya a las tres décadas.

“Ahora mismo no hay ningún protocolo de qué es auditar un algoritmo, qué pasos hay que seguir, etc. La Agencia tendrá que crear un estándar”, reconoce Tejero. “España se puede convertir en una pequeña potencia en este campo”, dice.

Otra de las aspiraciones de la Agencia es que la de que las administraciones públicas den ejemplo y auditen los algoritmos que utilizan.

“La administración empieza con mal pie”

La creación de la Agencia de Algoritmos está llena de buenas intenciones. No obstante, lo cierto es que las administraciones públicas tienen una larga trayectoria a la hora de dificultar que los ciudadanos auditen los sistemas que ellas emplean. Hasta el punto de llegar a los tribunales para intentar impedirlo.

Actualmente el Tribunal Supremo tiene pendiente una recurso contencioso administrativo sobre la transparencia del bono social energético, las ayudas para familias vulnerables, presentado por la fundación a favor de la transparencia Civio. El Ministerio de Transición Ecológica se niega a entregar el código del algoritmo, pese a que el Consejo de Transparencia le instó a ello.

Ya tenemos muchas guías de buenas prácticas. Lo que necesitamos son herramientas concretas, indicaciones claras y modelos de cumplimiento

Gemma Galdón — Eticas Consulting

“Es evidente que la administración pública empieza con mal pie”, afea Gemma Galdón, directora de Eticas, una consultora especializada en analizar el impacto de la Inteligencia Artificial. “Nosotros hemos estado cuatro años insistiéndole al Ministerio de Interior para que permita la auditoría de VioGen [el algoritmo que analiza el riesgo de los casos de violencia de género] y no lo han permitido. Al final hemos decidido hacerlo de forma externa. Lo mismo que con RisCanvi [algoritmo que predice el riesgo de reincidencia de los presos de las cárceles catalanas]”, indica.

La creación de la Agencia “es una buena noticia”, pero “lo importante es que se le dote de mecanismos concretos”. “Ya tenemos muchas guías de buenas prácticas genéricas, lo que necesitamos son cosas concretas, herramientas, indicaciones claras y modelos de cumplimiento”, pide la experta.

“La capacidad de la inteligencia artificial para servir a la población es innegable, pero también lo es su capacidad de contribuir a violaciones de derechos humanos en gran escala, de manera casi indetectable”, avisa la Alta Comisionada de las Naciones Unidas para los Derechos Humanos, Michelle Bachelet. Su Oficina ha publicado esta semana un informe que alerta de que los estados no están prestando la suficiente atención a la expansión de esta tecnología, a pesar de los graves riesgos que entraña. Por ello, pide que se imponga una moratoria en la venta y aplicación de algunos de estos sistemas, como los de reconocimiento de emociones, identificación biométrica o aquellos que necesitan una recolección masiva de datos personales.

La ONU recoge múltiples investigaciones que han mostrado que la IA refleja los sesgos de sus programadores y puede tomar decisiones clasistas, machistas o racistas. Sin embargo, avisa que los gobiernos están incorporando la inteligencia artificial a sus sistemas de seguridad, judiciales o de concesión de ayudas sociales sin las debidas garantías.

Además de la paralización de los sistemas más peligrosos para los derechos humanos, el informe incluye una serie de recomendaciones a los estados. Entre ellas destaca el deber de “aumentar drásticamente la transparencia de su uso de la IA, incluso informando adecuadamente al público y a las personas afectadas y permitiendo una auditoría independiente y externa de los sistemas automatizados”.

La investigación recoge ejemplos de todo el mundo y sus recomendaciones son globales. No obstante, España no es una excepción en la tendencia que contrasta Naciones Unidas. El uso más extendido es la detección biométrica. Los servicios de seguridad de estaciones y aeropuertos emplean reconocimiento facial y algoritmos de la forma del cuerpo para identificar individuos sospechosos. Este año Renfe llegó a sacar a concurso la contratación de un sistema capaz de detectar la etnia, el tipo de vestimenta o estado de ánimo de los viajeros, aunque se vio obligada a cancelarlo por la polémica generada.

Las tecnologías biométricas, que se están convirtiendo en un comodín para los Estados y las empresas, necesitan urgentemente más directrices de derechos humanos

La tendencia va más allá de las fuerzas públicas de seguridad. Un número creciente de empresas privadas analizan las posibilidades de esta tecnología. Mercadona puso en marcha en pruebas un sistema de reconocimiento facial que analizaba a todos los clientes de sus establecimientos solo para detectar a aquellos a los que la justicia había impuesto órdenes de alejamiento (un total de 37 personas en toda España). La Agencia de Protección de Datos multó a la empresa de Juan Roig con 2,5 millones de euros al fallar el pasado julio que el sistema era “desproporcionado”. Ante las dudas legales sobre el mecanismo, la compañía decidió abandonar el proyecto.

El de los reconocimientos biométricos es uno de los ámbitos que más preocupa a Naciones Unidas y por el que que ha pedido que se paralice la implantación de la inteligencia artificial, “al menos hasta que las autoridades responsables puedan demostrar el cumplimiento de las normas de privacidad y protección de datos y la ausencia de problemas significativos de precisión e impactos discriminatorios”. “Las tecnologías biométricas, que se están convirtiendo en un comodín para los Estados, las organizaciones internacionales y las empresas de tecnología, necesitan urgentemente más directrices de derechos humanos”, añade.

La UE también está negociando una moratoria como la que pide Naciones Unidas para los sistemas de reconocimiento biométrico. No obstante, en el borrador que ha presentado Bruselas se añade una excepción para situaciones que afecten a la seguridad, lo que da vía libre a su uso por parte de policías y cuerpos de seguridad. 60 organizaciones de la sociedad civil de toda Europa han organizado una campaña para pedir a la Comisión Europea que endurezca las normas europeas contra “los usos de la biometría que puedan dar lugar a una vigilancia masiva ilegal”. Hasta el momento la han suscrito 60.600 ciudadanos.

Tecnologías sin base científica

El reconocimiento emocional es un derivado del reconocimiento facial. Parte de la industria de la inteligencia artificial defiende que sus sistemas pueden detectar y predecir los sentimientos de una persona a partir de su cara y sus gestos. Su objetivo es venderlos como programas útiles para, por ejemplo, la protección de fronteras, donde puede elevar alertas sobre personas en las que detecte ansiedad o culpa.

El problema es que ese tipo de reconocimiento carece de base científica, según cada vez más estudios e investigadores. Naciones Unidas ha recogido esa alerta y encuadra la tecnología de reconocimiento emocional en el grupo de inteligencias artificiales que pide paralizar: “Los sistemas de emociones operan bajo la premisa de que es posible inferir automática y sistemáticamente el estado emocional de los seres humanos a partir de sus expresiones faciales, lo cual carece de una base científica sólida”.

En este sentido, la ONU pide que deje de utilizarse el reconocimiento emocional para calificar a los empleados en su puesto de trabajo o para evaluar su valía para un determinado puesto, otros dos de los usos más extendidos. Recalca además que, junto al reconocimiento facial, el emocional es el que supone una mayor amenaza de recolección masiva e indiscriminada de datos e imágenes de personas que no son sospechosas de ningún delito.

Ayudas sociales decididas por máquinas

Otro de los usos de la inteligencia artificial sobre el que el informe de Naciones Unidas llama la atención a los estados son los procesos de concesión de ayudas sociales. “Se utilizan cada vez más para ayudar a la prestación de servicios públicos, a menudo con el objetivo declarado de desarrollar sistemas más eficientes”, explica. Sin embargo, la opacidad del método de decisión hace que puedan convertirse en injustos “y una distopía de cibervigilancia”.

Una de las principales preocupaciones en relación con el uso de la inteligencia artificial para los servicios públicos es que puede ser discriminatoria, en particular con respecto a los grupos marginados

La ONU recuerda el caso de los Países Bajos, que ha servido de ejemplo internacional por una sentencia judicial que prohibió un sistema algorítmico cuya misión era detectar el fraude con las ayudas sociales. Los jueces neerlandenses consideraron que infringía el derecho a la intimidad de los solicitantes, puesto que recopilaba un gran número de datos sobre ellos. El peligro que acarrean estos sistemas es el de imponer una doble pena a aquellos que se ven obligados a solicitar prestaciones, puesto que ven su privacidad violada y se “socavan la autonomía y la capacidad de elección individuales”, dice el informe.

En España se conoce el uso de varios de estos algoritmos en los servicios públicos, pero se ha cuestionado la transparencia de todos ellos. La Policía usa el conocido VioGen, que evalúa el riesgo que corren las denunciantes de violencia de género. El Ministerio del Interior se ha negado a abrir el algoritmo para que sea auditado por organizaciones independientes. Otro caso es el del programa BOSCO, que otorga o deniega el derecho a recibir la ayuda del bono social de la luz. El Gobierno se ha negado a revelar su código fuente ante una petición de transparencia de Civio y actualmente el caso se encuentra en los tribunales.

“El despliegue de sistemas de identificación biométrica a distancia en espacios de acceso público supone el fin del anonimato en esos lugares. Aplicaciones como el reconocimiento facial en tiempo real interfieren con los derechos y libertades fundamentales”, han manifestado este lunes el Supervisor Europeo de Protección de Datos y el Comité Europeo de Protección de Datos. Las dos organizaciones, responsables de vigila el respeto de la privacidad en la UE, han emitido un comunicado en el que solicitan la prohibición preventiva “inmediata” de este tipo de usos de la inteligencia artificial, que ya han sido puestos en práctica en muchos países comunitarios.

Entre los sistemas que deberían quedar fuera de la legalidad por sus “riesgos extremadamente elevados”, las dos instituciones de protección de datos (EDPS y EDPB, por sus siglas en inglés) citan el reconocimiento facial, la forma de andar, las huellas dactilares, el ADN, la voz, las pulsaciones de teclas y otras señales biométricas o de comportamiento “en cualquier contexto”. También piden que se prohíba que la IA utilice ese tipo de parámetros para clasificar personas en función de su género, origen étnico, orientación política o sexual.

La otra alerta del EDPS y del EDPB son los sistemas de reconocimiento de emociones con IA, muy criticados por los científicos por carecer de base empírica y ser “pseudociencia”. Inspirados en el sistema de control social chino, algunos sistemas de vigilancia han implantado este tipo de sistemas para detectar a personas que están “nerviosas” o clasificarlas según su estado de ánimo. En febrero, Renfe canceló la contratación de un desarrollo de este tipo para sus estaciones por la polémica generada tras la salida a la luz del concurso. “El uso de la IA para inferir las emociones de una persona física es muy indeseable y debe prohibirse”, recalcan las dos autoridades de privacidad europeas.

Este posicionamiento va en línea con la postura adoptada por Bruselas en abril, cuando propuso vetar los sistemas de reconocimiento biométrico masivos en calles, parques, edificios y otros lugares públicos. No obstante, exponen que el hecho de que ya estén aplicándose en muchos lugares “exige una aplicación inmediata del enfoque preventivo. Una prohibición general del uso del reconocimiento facial en zonas de acceso público es el punto de partida necesario si queremos preservar nuestras libertades y crear un marco jurídico de la IA centrado en el ser humano”, afirman los responsables del EDPS y del EDPB en su comunicado.

Además, recomiendan a la Comisión Europea que especifique que cualquier sistema de vigilancia y discriminación de personas basado en algoritmos deberá respetar la regulación de privacidad de la UE, que da derecho al ciudadano a saber qué datos personales se captan, durante cuanto tiempo se almacenan y con qué propósitos; así como a disponer de una vía sencilla para oponerse a la recolección y tratamiento de esos datos.

Las alertas de los expertos en el funcionamiento de este tipo de sistemas se acumulan en los últimos meses. En marzo, una carta a la que ya se han adherido más de un centenar de catedráticos, investigadores y profesionales especializados solicitó al Gobierno español que elevara una moratoria en el uso de este tipo de tecnologías “por sus graves deficiencias y riesgos”.

La Justicia rechaza el sistema de reconocimiento facial propuesto por Mercadona para detectar si personas con orden de alejamiento en vigor contra sus tiendas o trabajadores entran en alguno de sus centros. La Audiencia Provincial de Barcelona se ha pronunciado sobre un caso particular y ha denegado a la compañía la autorización para utilizar un sistema de reconocimiento facial con el que pretendían conocer si dos personas condenadas por robo, que tenían una orden de alejamiento sobre un centro en concreto, accedían a cualquier establecimiento de la compañía. 

En un novedoso auto, al que ha accedido elDiario.es, la Audiencia Provincial de Barcelona ha determinado que con estas medidas no se está “protegiendo el interés público”, “sino más bien, los intereses privados o particulares de la empresa en cuestión”, expone el tribunal en la resolución emitida el pasado 15 de febrero. En este escrito también consideran que el sistema propuesto por Mercadona vulnera “las garantías adecuadas en orden a la protección de los derechos y libertades de los interesados, no ya sólo de los que han sido penados y cuya prohibición de acceso les incumbe, sino del resto de personas que acceden al citado supermercado”. Para el tribunal “existe una violación de la privacidad” en la tecnología desarrollada por la empresa presidida por Juan Roig. 

En enero de 2018 dos personas fueron condenadas por un robo con violencia a un año de prisión, entre las penas también se les impuso la prohibición de acceder a una tienda de Mercadona concreta situada en el municipio de Sant Boi de Llobregat (Barcelona) “por tiempo de dos años”. Un año después, en mayo de 2019, la cadena de supermercados instó a que se le permitiese “el uso de medios electrónicos, consistentes en la detección de entrada [de los dos condenados] a los establecimientos de esta cadena”, a través de “un sistema automático” que detectaría la llegada de los penados con un “circuito cerrado de videograbación”. La compañía argumentaba que esta propuesta estaba amparada en “el interés público en virtud del artículo 14 de la Ley de Seguridad Privada y el interés legítimo de la mercantil de asegurar el cumplimiento de las resoluciones judiciales”.

Uno de los condenados defendió que la medida era “desproporcionada”

La defensa de uno de los condenados se opuso a esta petición alegando que era “desproporcionada e inaceptable” y destacando que “la protección de imagen” de su cliente “no podía ser vulnerada por el simple capricho de la mercantil”. Además, recordaba que “los penados no tenían prohibido el acceso a ningún otro supermercado”. 

Ante este posicionamiento, en septiembre de 2019 un juzgado de lo penal de Barcelona denegó la autorización a Mercadona “para la utilización de medios automatizados de captación de datos biométricos de los penados en orden a poder detectar su entrada en cualquier establecimiento de dicha cadena”. Esta decisión fue recurrida por la compañía casi un año después, volviendo a recibir una respuesta negativa en febrero de 2021. El auto dictado hace unos meses es firme y no cabe sobre él “recurso alguno”, exponen los magistrados.

En una detallada argumentación, citando las normas que regulan el uso de datos biométricos y resoluciones de la Agencia Española de Protección de Datos, los magistrados destacan que “no todo vale en materia de derechos fundamentales” porque “estas tecnologías pueden ser realmente intrusivas”, por lo tanto —continúa el auto— su utilización requiere “de un debate ético y jurídico sosegado, toda vez que pueden tener efectos muy adversos en los valores fundamentales y la integridad humana”.

Se preguntan “de dónde sacan” las imágenes para el reconocimiento

Sobre la medida propuesta, los jueces defienden que debería preguntarse “de dónde sacan [en alusión a la compañía] imágenes para el reconocimiento facial, con qué consentimiento” y “por qué mantienen una base de datos de fotografías de gente”. Y recuerdan que el reglamento de protección de datos “contempla la obligatoriedad de que el usuario dé su consentimiento para procesar sus datos personales”. 

Mercadona argumentó que la medida propuesta no “lesiona en ningún momento la protección de datos de los sujetos, puesto que, aunque se procesen los datos biométricos de todo usuario que entre en uno de los establecimientos, el sistema detecta instantáneamente (en 0,3 segundos) aquellos individuos que han sido condenados con una prohibición de entrada al citado establecimiento a través de la sentencia firme en un proceso judicial; en consecuencia, no permanecerá en el sistema ningún dato biométrico de persona que no haya sido condenada y será inmediatamente borrado y jamás utilizado”. 

Ante esta argumentación, los magistrados consideran que “resulta, no obstante, cuanto menos sorprendente que se amparen en la ‘rapidez”. “Por muy rápido que sea, existe una violación de la privacidad. Tanto el argumento de la rapidez como el no tratamiento de datos caen por su propio peso”, apunta el tribunal. 

“Debemos recordar que los condenados gozan de todos los derechos fundamentales reconocidos en la Constitución, a excepción de los que se vean expresamente limitados por el contenido del fallo condenatorio, el sentido de la pena y la ley penitenciaria”, recoge el auto de la Audiencia Provincial de Barcelona.

La medida no “resulta proporcional” ni “necesaria”

Finalmente consideran que la propuesta de Mercadona “en modo alguno resulta proporcional, necesaria ni asimismo idónea”. Además, destacan que “no consta” que los dos condenados que impulsaron esta causa “quebrantasen la correspondiente prohibición de acceso al centro comercial”.  Por lo tanto, desestiman el recurso presentado por la compañía para imponer una medida que detecte la entrada de estas dos personas a “cualquier establecimiento de dicha cadena”.

Mercadona anunció el pasado mes de julio que habían implantado un sistema de detección de personas con orden de alejamiento del establecimiento. La compañía aseguró que la medida estaba activa aproximadamente en 40 tiendas de Mallorca, Zaragoza y Valencia y que se encontraría “debidamente identificadas con cartelería informativa”. A pesar de que el auto que rechaza la utilización de datos biométricos se ha emitido en Barcelona, fuentes de la compañía aseguran que esta vigilancia nunca estuvo vigente en los centros de Catalunya. 

Estas mismas fuentes aseguran que “el proyecto se inició en pruebas” y que actualmente no está funcionando en ninguno de sus supermercados, porque “la prueba se ha ido finalizando tienda a tienda”. Además, desvinculan este fallo judicial del hecho de que ya no estén utilizando esta medida y aseguran “que más de 40 juzgados han dado autorización para instalar el sistema en las tiendas donde se realizaron las pruebas”. Tras hacerse pública la utilización de los datos biométricos en los centros comerciales de Mercadona, la Agencia Española de Protección de Datos abrió una “investigación de oficio”. Actualmente este procedimiento “sigue en curso”, aseguran desde la institución pública.

Un grupo de 70 expertos en inteligencia artificial ha enviado una carta al Gobierno para solicitarle que suspenda cuanto antes el empleo de sistemas de reconocimiento facial por parte de organismos públicos y privados. Los firmantes, entre los que hay catedráticos, investigadores y profesionales especializados, recuerdan que esta tecnología todavía tiene “graves deficiencias y riesgos”, como la ausencia de evidencia científica para algunas de sus categorizaciones, su alto índice de error, la opacidad sobre por qué toman cada una de sus decisiones o su potencial discriminador. “Están en juego cuestiones fundamentales de justicia social, dignidad humana, equidad, igualdad en el trato e inclusión”, avisan en la misiva.

Los sistemas de reconocimiento facial se están extendiendo por todo el mundo como métodos de vigilancia basados en inteligencia artificial capaces, según sus desarrolladores, de hacer predicciones sobre el comportamiento que tendrán las personas analizadas. Entre las características que dicen poder detectar se encuentran aspectos como el estado de ánimo, aplicable al nivel de nerviosismo de un sujeto ante un control de seguridad, la frustración de los clientes de una tienda o la atención de los alumnos en una clase. Estos sistemas también se están empleando en aplicaciones como detectores de mentiras o en recursos humanos, para medir la adecuación de un candidato a un puesto de trabajo.

Esta implantación cada vez más extensiva del reconocimiento facial choca contra la evidencia científica. “No hay modelos científicos aceptados en psicología, antropología o sociología que indiquen que un tipo de nariz, un rictus particular o una manera de andar sean predictores adecuados de comportamientos individuales futuros”, destacan los investigadores. Pese a que estos problemas que implica el uso de esta tecnología han sido “ampliamente documentados y discutidos por la comunidad científica”, se corre el riesgo de que cuando los poderes públicos quieran actuar ya sea tarde.

Nos parece necesario que el Gobierno intervenga de manera rápida antes de que estos sistemas continúen expandiéndose

“Nos parece necesario que el Gobierno intervenga de manera rápida antes de que estos sistemas continúen expandiéndose y se conviertan en estándares de facto, a pesar de la intromisión que suponen en la esfera privada de las personas sin su consentimiento explícito”. Por ello, piden al Ejecutivo que impulse una comisión de investigación que analice la posibilidad de imponer una moratoria en su uso y comercialización. Una prórroga que impida que el reconocimiento facial se siga extendiendo “hasta que las Cortes Generales y las instituciones legislativas europeas debatan cuáles, de qué manera, en qué condiciones, con qué garantías y con qué objetivos debe permitirse, si cabe, el uso de estos sistemas”.

Evitar que casos como el de Renfe pasen desapercibidos

Como ejemplo a evitar, los firmantes de la carta citan lo ocurrido recientemente con Renfe. La operadora ferroviaria abrió un concurso público para contratar un sistema de vigilancia para detectar si los viajeros llevan mascarilla, el aforo o la distancia interpersonal entre unos y otros. No obstante, también solicitaba a las empresas que quisieran hacerse con los más de 700.000 euros del concurso que su software pudiera interpretar “conductas antisociales” o predecir “comportamientos anómalos” de los usuarios del servicio, así como su etnia o el tipo de ropa que usan. Renfe tuvo que retirar el pliego de condiciones solo unas horas después de que saliera a la luz “para revisarlo”.

El objetivo que perseguía la empresa pública con su sistema de vigilancia puede agravar prácticas de seguridad discriminatorias, en especial contra colectivos que ya la sufren, recuerdan los firmantes. “Hay suficientes evidencias que indican que asociar posturas, gestos, rasgos faciales, colores de piel, peinados o prendas de vestir a posibles comportamientos 'problemáticos', capacidades intelectuales o económicas puede resultar en clasificaciones racistas, clasistas y/o sexistas”. Por otro lado, “que una persona sea clasificada en una categoría o perfil determinados no determina su comportamiento futuro, esto viola la idea fundamental de que los seres humanos tenemos libre albedrío”, recalcan.

Los firmantes exponen a su vez que esta tecnología adolece de otros problemas asociados al panorama digital actual, como la opacidad de sus algoritmos (lo que hace imposible fiscalizarlos), o su poca capacidad de adaptación a contextos que no estaban presentes en su entrenamiento.

Hay suficientes evidencias que indican que asociar posturas, gestos, rasgos faciales, colores de piel, peinados o prendas de vestir a posibles comportamientos 'problemáticos' puede resultar en clasificaciones racistas, clasistas y/o sexistas

Las conclusiones de la carta no son ni mucho menos inéditas. Ya en 2019 el Instituto AI Now de la Universidad de Nueva York, una de las instituciones de referencia en el estudio de la Inteligencia Artificial, pidió a las autoridades que prohibieran algunos de los usos que se le dan a esta tecnología. Entre ellos, todos los que se centraban en una “predicción del comportamiento”. Otro estudio más reciente, elaborado por la organización Article19, avisaba que este tipo de sistemas de vigilancia se está extendiendo gracias a empresas chinas que los desarrollan con su gobierno como financiador y cliente, a pesar de que “son pseudociencia”.

Por el momento, el Gobierno no ha expresado voluntad de impedir el uso del reconocimiento facial más allá de las actuales leyes de privacidad y protección de datos. El Ministerio de Defensa, de hecho, acaba de imponerlo en un hospital militar para controlar el horario de los trabajadores, pese a que los sindicatos lo consideran una “tecnología desproporcionada”. La Estrategia Nacional de Inteligencia Artificial, presentada por Pedro Sánchez el pasado mes de diciembre, tampoco hace ninguna referencia al reconocimiento facial.