Tras una segunda lectura del informe 36/2020, a raíz de la evaluación de impacto realizada para un cliente, he generado una opinión distinta a la manifestada por la AEPD al considerar los datos biométricos asociados al patrón facial de un usuario como categoría especial de datos.
Identificación versus autenticación o verificación
La AEPD cita el Dictamen 3/2012 del Grupo de Trabajo del Artículo 29 sobre la evolución de las tecnologías biométricas y asume como válida la distinción entre identificación biométrica y verificación o autenticación biométrica:
También cita el Libro blanco sobre la inteligencia artificial de la Comisión Europea, en el que se establece la misma distinción, pero con algunos matices distintos:
La AEPD indica que, atendiendo a la citada distinción, puede interpretarse que, de acuerdo con el artículo 4 del RGPD, el concepto de dato biométrico incluiría ambos supuestos, tanto la identificación como la verificación o autenticación. Sin embargo, y según la AEPD, con carácter general, los datos biométricos únicamente tendrán la consideración de categoría especial de datos en los supuestos en que se sometan a tratamiento técnico dirigido a la identificación biométrica (uno-a-varios) y no en el caso de verificación o autenticación biométrica (uno-a-uno).
Fases de los dos procesos
En mi opinión, las fases de la identificación son las siguientes:
En cambio, en mi opinión, las fases de la autenticación o verificación son las siguientes:
Conclusión de la AEPD
Tras el análisis del caso concreto planteado, consistente en el uso del reconocimiento facial en los exámenes online para verificar que el alumno es realmente quien dice ser y que no se ha producido una suplantación de identidad, la AEPD concluye que los datos biométricos obtenidos pertenecen a una categoría especial de datos.
Para llegar a esta conclusión la AEPD se apoya en tres factores que considero decisivos:
Carácter continuado de la verificación
La AEPD sostiene que una de las características de los sistemas de e-proctoring existentes en el mercado es que garantizan la identificación del alumno mediante el reconocimiento facial, evitando la suplantación de su identidad, no solo en el momento inicial, sino a lo largo del desarrollo de toda la actividad, para lo cual se graba la misma y se van realizando diferentes capturas que se comparan con la información biométrica previamente almacenada en sus bases de datos.
En mi opinión, la finalidad del tratamiento no cambia por el simple hecho de repetir el proceso varias veces a lo largo del tratamiento. Realizar una autenticación varias veces en una misma sesión no convierte la autenticación en identificación, ya que la comparación sigue siendo uno contra uno entre:
Este proceso se denomina autenticación continuada o dinámica y está contemplado en distintas metodologías, manuales y artículos de seguridad de la información.
A continuación cito algunos de ellos:
Autenticación continua del usuario basada en interacción táctil (UAM) – https://repositorio.uam.es/handle/10486/684803
Sistema de autenticación continua de ElevenPaths – https://empresas.blogthinkbig.com/authcode-autenticacion-ciberseguridad/
Patrones biométricos y autenticación dinámica (INCIBE) – https://www.incibe-cert.es/blog/autenticacion-dinamica
Sistema Biométrico Multimodal para Autenticación continua de Usuarios Online – https://www.vicomtech.org/es/idi-tangible/proyectos/proyecto/sistema-biometrico-multimodal-para-autenticacion-continua-de-usuarios-online
Uso de datos adicionales
La AEPD manifiesta que el patrón facial se complementa, en este caso, con el tratamiento de otro tipo de datos biométricos, como las pulsaciones en el teclado y de datos no biométricos, como la grabación del entorno en el que se encuentra el alumno, así como el acceso al micrófono para la grabación de sonidos.
La Agencia da a entender que la acumulación de estos factores modifica la finalidad del tratamiento, pasando de autenticación a identificación.
Sin embargo, la AEPD no tiene en cuenta la existencia de la autenticación multifactor, en la que el uso de distintas técnicas o datos adicionales no modifica la esencia del tratamiento, que sigue correspondiendo a la finalidad de autenticar al usuario.
La autenticación de múltiples factores (AMF) consiste en que el usuario suministre dos o más pruebas diferentes de que realmente es quien dice ser.
La autenticación de doble factor (A2F) es un método utilizado para verificar o confirmar que un usuario es quien dice ser combinando dos componentes diferentes de entre:
En todos estos casos la finalidad sigue siento autenticar, verificar o confirmar que el usuario es quien dice ser, y se comparan datos que sabemos con certeza que pertenecen al usuario con datos que suministra la persona que afirma ser el usuario. Por lo tanto, la comparación sigue siendo uno contra uno.
Además, la dispersión de la capacidad autenticadora entre varios factores produciría el efecto contrario al sugerido por la AEPD, ya que debilitaría el requisito exigido en el artículo 9 del RGPD a los datos biométricos, relativo a la finalidad de identificar de forma unívoca al interesado.
Intervención del tercero suplantador
La intervención de un tercero que intenta suplantar al usuario no cambia tampoco la finalidad de la autenticación. Justamente el principal objetivo de la autenticación es mantener el contacto con el usuario esperado y no permitir que otro lo suplante.
Tal como indica el Libro blanco sobre la inteligencia artificial de la Comisión Europea, que la AEPD toma como referencia, en el proceso de autenticación se realiza una comparación de dos patrones biométricos que, en principio, se supone que pertenecen a la misma persona. Las dos plantillas se comparan para determinar si la persona de las dos imágenes es la misma.
Aunque en el proceso de autenticación intervenga una persona distinta al usuario, no se produce un cambio en la finalidad ni en la operativa, ya que el patrón obtenido de la persona que intenta suplantar al usuario se presenta como un patrón propio del usuario suplantado. Ello significa que sigue habiendo una comparación uno contra uno entre el patrón original asociado al ID y el patrón que desea ser autenticado.
La clave, por lo tanto, es que se comparan dos patrones asociados a un mismo ID.
Necesidad de una evaluación de impacto
La Agencia considera que se trata de una cuestión compleja, sometida a interpretación, respecto de la cual no se pueden extraer conclusiones generales, debiendo atenderse al caso concreto según los datos tratados, las técnicas empleadas para su tratamiento y la consiguiente injerencia en el derecho a la protección de datos, debiendo, en tanto en cuanto no se pronuncia al respecto el Comité Europeo de Protección de Datos o los órganos jurisdiccionales, adoptarse, en caso de duda, la interpretación más favorable para la protección de los derechos de los afectados.
Esta apreciación hace recomendable realizar una evaluación de impacto, en la que se valorará la necesidad y la proporcionalidad del tratamiento y los detalles del proceso que permitirán determinar si estamos ante una identificación o una autenticación.
Autenticación sin ID
El objetivo final de este análisis es determinar en qué escenarios se produce un riesgo real para los derechos y libertades del interesado, y valorar los efectos de una comparación entre patrones biométricos en función de la finalidad y otros detalles a tener en cuenta para llegar a una conclusión caso por caso.
Lo que en mi opinión está claro es que no es lo mismo que un interesado aporte los datos para acreditar que es realmente él, que identificar a un delincuente en un aeropuerto entre miles de caras anónimas.
En el primer caso la finalidad es autenticar a una persona que se presenta con una identidad determinada, haciendo referencia a un acto de identificación anterior en el tiempo en el que su patrón facial quedó asociado a un ID. La finalidad es comparar los datos que aporta con los que se almacenan en el registro, asociados de forma indubitada a esa identidad. Es por lo tanto la verificación de una supuesta identidad.
En el segundo caso, las personas que la cámara captura no están identificadas, son personas anónimas, desconocidas para el sistema. Lo que hace el sistema es comparar los patrones biométricos obtenidos en ese momento con los de una base de datos de identidades. En caso de coincidencia se produce una identificación.
En mi opinión, la línea propuesta en el Libro blanco sobre la inteligencia artificial de la Comisión Europea es la más adecuada, ya que en la autenticación tiene en cuenta el uso de un único ID por parte del usuario legítimo y del ilegítimo, centrándose la comparación entre el patrón facial asociado al ID en la base de datos y el patrón facial obtenido en el momento de la autenticación o verificación de que el usuario es quien dice ser.
La regla general sería que, salvo en las excepciones que admiten los dos procesos, identifico al desconocido y autentifico al conocido.
Pero ¿qué pasa entonces con la autenticación sin ID, es decir la que utiliza únicamente los datos biométricos?
Siguiendo el criterio expresado hasta ahora, no sería una autenticación, sino una identificación, ya que el patrón biométrico sería comparado con todos los patrones biométricos de la base de datos hasta hallar una coincidencia. (Comparación uno contra todos)
Pero hay una diferencia clara entre la esencia de la autenticación y la esencia de la identificación: el interesado que intenta autenticarse defiende que es un usuario registrado y por lo tanto legítimo, por lo que volveríamos a estar ante la figura del supuesto usuario. En este caso, la finalidad principal del proceso no sería identificar al interesado que se presenta como usuario legítimo, sino verificar que realmente es un usuario legítimo. Aunque en algunos casos la autenticación se produciría a través de la identificación, ésta sería una finalidad instrumental o secundaria. Es decir, la finalidad principal y esencial sería valorar su derecho de acceso y no su identidad. De hecho cabe la posibilidad de crear cuentas anónimas con derechos de acceso. Por ejemplo, para un denunciante anónimo en un canal de denuncias con acceso continuado.
Si medimos el impacto en la privacidad de la autenticación sin ID y la identificación pura de un desconocido, veremos que en esta última se produce un impacto mayor, no sólo en la privacidad, sino también en el conjunto de los derechos y libertades del interesado.
Factor adicional
A partir de esta reflexión, un factor adicional que propongo tener en cuenta es la participación activa del usuario en la autenticación (tanto el usuario legítimo como el suplantador) y la participación habitualmente pasiva, o incluso elusiva, del interesado en la identificación.
En el proceso de autenticación, el interesado que suministra sus datos biométricos defiende activamente su derecho a acceder al sistema o a ser beneficiario de unos permisos, privilegios o prerrogativas. Y la finalidad principal es verificar si ello es así.
En los casos en los que resulte aplicable este factor adicional, además del número de patrones que se comparan entre si, debería valorarse también que en la autenticación es el interesado el que aporta sus credenciales para ser autenticado, mientras que en la identificación, la propia identidad de la persona a identificar forma parte de su privacidad, y lo que el derecho protege en este caso, es su opción a no ser identificada.
Sigue el debate
El tratamiento de los datos biométricos en relación a las categorías especiales de datos ha sido objeto de un intenso e interesante debate en la sección GDPR Hacks de Campus Ribas.
Te invito a participar en él.
