El reconocimiento facial ya no es una tecnología del futuro. Control de acceso a instalaciones, sistemas de fichaje, verificación de identidad en apps… cada vez más empresas —también pymes— se plantean implantar esta tecnología. Pero antes de dar el paso, hay una pregunta que no puede esperar: ¿qué dice la ley?
La respuesta corta: el RGPD clasifica los datos biométricos como categoría especial de datos, lo que implica restricciones mucho más exigentes que para cualquier otro tipo de información personal. Y desde 2024, el nuevo Reglamento de IA europeo añade otra capa de regulación que toda empresa debe conocer.
Qué son los datos biométricos y por qué son sensibles
Los datos biométricos son aquellos que identifican de forma unívoca a una persona a partir de sus características físicas, fisiológicas o de comportamiento: huella dactilar, iris, geometría facial, voz, forma de andar…
El RGPD los encuadra en el artículo 9 junto a otras categorías especiales como datos de salud, origen étnico o ideología política. El motivo: su carácter irrevocable. Si te roban la contraseña, la cambias. Si te roban los datos de tu cara, no puedes cambiarte la cara.
- El umbral de riesgo que establece el RGPD para este tipo de datos es el más alto del reglamento.
- Son únicos e irreversibles: no pueden anularse ni regenerarse.
- Su tratamiento incorrecto puede provocar discriminación, vigilancia masiva o suplantación de identidad.
Cómo funciona el reconocimiento facial y qué datos genera
Un sistema de reconocimiento facial opera en dos fases: captura y comparación. En la captura, una cámara o sensor obtiene una imagen del rostro. En la comparación, el sistema extrae un vector matemático de esa imagen (el «faceprint») y lo compara contra una base de datos existente.
Desde el punto de vista legal, el dato relevante no es la foto —que podría ser simplemente una imagen— sino el vector biométrico derivado de ella. Ese vector es el dato biométrico protegido por el RGPD.
Esto tiene implicaciones prácticas importantes: aunque el proveedor de la solución te diga que «no guarda fotos», si extrae y almacena el vector biométrico está tratando datos de categoría especial. La forma en que lo almacena el proveedor no exime de responsabilidad al responsable del tratamiento —es decir, a tu empresa.
Qué dice el RGPD sobre datos biométricos
El artículo 9.1 del RGPD establece la prohibición general de tratar datos biométricos con fines de identificación unívoca. El artículo 9.2 recoge las excepciones tasadas que levantan esa prohibición. Para una empresa privada, las más relevantes son:
- 1. Consentimiento explícito del interesado (art. 9.2.a). Debe ser libre, específico, informado e inequívoco. En una relación laboral, el consentimiento raramente cumple el requisito de «libre» por el desequilibrio de poder empleado-empresa.
- 2. Necesidad por razones de interés público sustancial (art. 9.2.g). Aplica a organismos públicos, no a empresas privadas en general.
- 3. Necesidad para cumplir obligaciones en el ámbito laboral si lo autoriza la ley nacional (art. 9.2.b). En España, la Ley Orgánica 3/2018 (LOPDGDD) no habilita expresamente el reconocimiento facial en el entorno laboral.
Conclusión práctica: para la mayoría de los usos empresariales habituales —fichaje, control de acceso, atención al cliente— el marco legal español no ofrece una base jurídica sólida. El uso irreflexivo de reconocimiento facial expone a la empresa a sanciones de hasta 20 millones de euros o el 4% de la facturación anual global.
Casos permitidos y casos prohibidos: ejemplos reales
Casos con mayor probabilidad de ser conformes
- Acceso a zonas de alta seguridad (instalaciones críticas, centros de datos) donde la identificación biométrica es proporcional al riesgo —y siempre que exista alternativa para quienes no consientan.
- Verificación de identidad en servicios financieros o de firma electrónica, cuando la normativa sectorial lo prevé expresamente.
Casos problemáticos o directamente prohibidos
- Fichaje de empleados por reconocimiento facial. La AEPD ha sancionado este uso en reiteradas ocasiones. El desequilibrio de poder en la relación laboral invalida el consentimiento como base jurídica.
- Reconocimiento facial en espacios públicos o abiertos al público por entidades privadas.
- Análisis de emociones o comportamiento a través de rasgos faciales (valoración de estados de ánimo de empleados, clientes…).
Si estás evaluando implantar reconocimiento facial o biometría en tu empresa, consulta con nuestros especialistas antes de implementar nada. → Habla con nuestro equipo
El Reglamento de IA europeo: qué cambia para el reconocimiento facial
El Reglamento (UE) 2024/1689, conocido como AI Act o Reglamento de IA, entró en vigor en agosto de 2024 y despliega sus efectos de forma escalonada hasta 2026. Introduce una clasificación de sistemas de IA por niveles de riesgo con implicaciones directas para el reconocimiento facial.
- Prohibido (riesgo inaceptable): el reconocimiento facial en tiempo real en espacios de acceso público por parte de autoridades policiales, salvo excepciones tasadas. Para empresas privadas, aplica la prohibición de sistemas de identificación biométrica remota en tiempo real con carácter general.
- Alto riesgo: los sistemas biométricos de identificación y autenticación están clasificados como de alto riesgo (Anexo III). Esto implica obligaciones adicionales: evaluación de conformidad, registro en la base de datos de la UE, transparencia y supervisión humana.
- Riesgo limitado: sistemas de reconocimiento facial que solo autentican (no identifican en masa) con consentimiento explícito pueden operar bajo obligaciones de transparencia reducidas.
En la práctica, si tu empresa usa o prevé usar reconocimiento facial, el AI Act exige que revises no solo el cumplimiento RGPD sino también la clasificación del sistema bajo la nueva normativa.
Buenas prácticas si tu empresa trabaja con biometría
Si tras valorar el marco legal decides que existe una base jurídica legítima para el uso de biometría, estas son las medidas mínimas de cumplimiento:
- Realiza una Evaluación de Impacto en la Protección de Datos (EIPD/DPIA). Es obligatoria antes de implantar cualquier sistema biométrico. No es opcional.
- Consulta previa a la AEPD si la EIPD concluye alto riesgo residual. El supervisor puede imponer condiciones o vetar el tratamiento.
- Documenta la base jurídica con detalle. El principio de responsabilidad activa obliga a poder demostrar —no solo afirmar— que el tratamiento es conforme.
- Ofrece siempre una alternativa no biométrica. En entornos laborales es prácticamente imprescindible para que el consentimiento sea libre.
- Minimiza los datos: no almacenes más tiempo del necesario, cifra los vectores biométricos, limita el acceso.
- Informa a los interesados de forma clara y en lenguaje comprensible, antes de iniciar cualquier captura.
En Ubimia Compliance asesoramos a empresas que quieren implementar sistemas biométricos respetando el marco legal. El punto de partida es siempre el mismo: determinar si existe una base jurídica válida para el tratamiento y completar la Evaluación de Impacto antes de desplegar el sistema, no después.
¿Usas biometría o estás pensando en implantarla? Nuestro equipo DPD te asesora antes de dar el paso