Reconocimiento facial para acceder a un servicio

Que un gimnasio, edificio o servicio ofrezca entrar con la cara no significa que el tratamiento sea lícito por resultar cómodo. Deben analizarse qué datos se extraen, quién los conserva, para qué se usan y qué base permite tratarlos. Si se generan datos biométricos para identificar de manera unívoca, el RGPD exige superar tanto sus reglas generales como la prohibición de categorías especiales y sus excepciones. Firmar una cláusula no sustituye ese análisis. 1

Foto, identificación y autenticación

No toda fotografía es automáticamente un dato biométrico de categoría especial. Importa el tratamiento técnico de características físicas que permite o confirma identificación unívoca. Un sistema que compara un rostro con una base de personas y otro que verifica una identidad previamente alegada pueden operar de forma distinta, aunque ambos pueden tratar biometría protegida. 1 3

La AEPD ha destacado que identificación uno a varios y autenticación uno a uno no presentan necesariamente el mismo impacto. Una comprobación local con garantías no debe equipararse sin análisis a una búsqueda masiva en una base central. Esa diferencia afecta al riesgo, pero no elimina por sí sola los requisitos legales. 4

Pregunte si se guarda la imagen, una plantilla matemática o ambas, dónde se comparan y quién puede acceder. Llamar “hash” a una plantilla no demuestra que sea anónima ni que deje de permitir vincular a una persona.

Dos niveles de legitimación

El responsable necesita una base del artículo 6 y, cuando trata categorías especiales, una excepción del artículo 9.2. Alegar interés legítimo o incluir el tratamiento en el contrato no levanta por sí solo la prohibición de datos biométricos. Además deben respetarse finalidad, minimización, conservación y seguridad. 1

Si se invoca consentimiento explícito, debe ser libre, específico, informado y revocable en las condiciones legales. La ausencia de una alternativa real puede cuestionar esa libertad. Un botón obligatorio para obtener un servicio ya contratado no demuestra por sí mismo consentimiento válido. 1 2

Tampoco una alternativa convierte automáticamente en necesario y proporcionado cualquier sistema facial. Deben compararse medios menos intrusivos y justificar el objetivo concreto. La guía de la AEPD sobre control de presencia es especialmente estricta en registro de jornada; sus conclusiones laborales no deben trasladarse sin matices a todo servicio voluntario. 3

Qué información debería recibir el usuario

Solicite identidad del responsable, finalidad, base y excepción invocadas, datos recogidos, conservación, destinatarios y forma de ejercer derechos. Pregunte qué ocurre si no acepta, si falla el reconocimiento o si decide dejar de usarlo. El mecanismo alternativo debe poder valorarse en la práctica, no solo aparecer en letra pequeña. 1

Interesa saber si el proveedor reutiliza plantillas para entrenar modelos, si hay acceso remoto o transferencias internacionales y si se conectan usos distintos. Autorizar acceso a unas instalaciones no autoriza automáticamente análisis de emociones, publicidad o seguimiento de movimientos.

Un teléfono que verifica localmente al usuario y transmite solo una confirmación puede implicar un reparto de tratamientos distinto de un servicio que recibe su rostro. Hay que comprobar arquitectura y contratos, no deducirlos de una pantalla que anuncia “Face ID”.

Qué debe hacer quien implanta el sistema

Antes de comprar o activar, documente finalidad, necesidad y alternativas. Cuando sea probable un alto riesgo para los derechos y libertades, la evaluación de impacto del artículo 35 debe realizarse antes del tratamiento. Compruebe los criterios aplicables a biometría; no es una comprobación voluntaria que pueda posponerse por comodidad. En control biométrico de presencia, la AEPD exige un análisis especialmente riguroso. Una evaluación preparada después de una reclamación no sustituye la revisión previa. 1 3

Defina quién accede, cómo se protegen plantillas, cómo se eliminan, qué registros quedan y cómo se gestiona una incidencia. Compruebe tasas de error y consecuencias para personas a las que el sistema rechaza. Un proveedor que afirma “cumple el RGPD” no asume todas las decisiones del establecimiento.

La consulta previa a la autoridad corresponde cuando, tras la evaluación, persiste alto riesgo no mitigado en los términos del artículo 36. No es un sello comercial obligatorio para cualquier cámara ni una autorización genérica transferible entre clientes. 1

Un criterio de la AEPD que no debe generalizarse

En su resumen de una consulta de 2025 sobre acceso a instalaciones de seguridad, la AEPD subrayó diferencias de impacto, diseño y proporcionalidad. Valoró un contexto de seguridad pública con habilitación específica y medidas técnicas concretas. 4

Ese análisis no permite a un gimnasio invocar sin más la misma base legal. La utilidad del criterio es metodológica: comparar arquitectura, finalidad y riesgos, y comprobar la norma que habilita el tratamiento en el sector correspondiente. La protección de instalaciones policiales y una comodidad comercial no son situaciones intercambiables.

Si le niegan una alternativa

Conserve condiciones, mensajes, carteles y prueba de que el acceso depende del rostro. Pida una explicación escrita y una opción compatible con sus derechos. Puede ejercer acceso o supresión cuando proceda, recordando que otros datos contractuales pueden necesitar conservación por razones distintas. 1

Si reclama ante la AEPD, aporte quién trata, cómo se impone y qué respuesta recibió. Si además no puede utilizar un servicio pagado, valore la reclamación contractual o de consumo. La tutela de datos no resuelve automáticamente devolución, permanencia o daños.

No existe un plazo universal para resolver toda controversia biométrica; los derechos del RGPD tienen como regla un mes de respuesta y las excepciones legales. Una incidencia urgente de acceso requiere también una solución operativa sin esperar al expediente administrativo.

Ejemplo ficticio

Un gimnasio sustituye tarjetas por reconocimiento facial y anuncia que todos deben registrarse. Una socia pide alternativa y explicación sobre plantillas y proveedor. El centro debe justificar base, necesidad y garantías, además de atender el contrato. La aceptación de unas condiciones generales anteriores no prueba que se hubiera consentido libre y explícitamente ese tratamiento nuevo.

Preguntas frecuentes

¿Borrar la foto elimina todos mis datos biométricos? No necesariamente. Pueden existir plantillas, copias o registros; pregunte qué se conserva y con qué finalidad.

¿Si hay una tarjeta alternativa el sistema facial siempre es legal? No. La alternativa puede ser relevante para la libertad, pero quedan necesidad, proporcionalidad, base jurídica y seguridad.

¿Toda cámara de entrada usa reconocimiento facial? No. Videovigilancia y tratamiento biométrico pueden ser diferentes; hay que comprobar la tecnología y la finalidad reales.