La Agencia Española de Protección de Datos (AEPD) ha advertido a LaLiga de fútbol español de la posible ilegalidad de los sistemas de reconocimiento facial en estadios. Este aviso se produce ante la licitación de un contrato de desarrollo de un sistema de reconocimiento facial para el acceso de los aficionados.
La advertencia recuerda a la institución deportiva la necesidad de que un sistema de estos rasgos se adapte a la legalidad y que incurriría en una infracción que desencadenaría el inicio de actuaciones previas de investigación y actuaciones correctivas, sanciones incluidas, si no adopta las medidas correspondientes.
En este sentido, según indica la propia AEPD, el establecimiento de cualquier tecnología que emplee el tratamiento de datos biométricos solicita una gestión y evaluación del riesgo con carácter de anterioridad, así como que se apliquen las medidas técnicas y organizativas apropiadas para garantizar y demostrar que el tratamiento de esos datos se ajusta a la ley.
En caso de demostrarse un “alto riesgo” que justifique la instalación de sistemas como el anteriormente mencionado, dicho proceso deberá también superar favorablemente una evaluación de impacto para la protección de datos que supere el triple criterio de “idoneidad, necesidad y proporcionalidad“, fijado tanto por la ley de protección de datos como por el Tribunal Constitucional.
La Agencia ha instado a La Liga a comprobar si pueden concurrir alguno de los supuestos previstos en el Reglamento General de Protección de Datos, el cual prohíbe de manera explícita tratar datos que revelen el origen étnico o racial, las opiniones políticas, las convicciones religiosas, el tratamiento de datos genéticos, biométricos, de salud, o relativos a la vida y orientación sexual de una persona. A su vez establece algunas excepciones para ello, entre ellas que el interesado dé un consentimiento claro o que sea estrictamente necesario por razones de un interés público esencial.
Por otra parte, el organismo público propone un sistema menos intrusivo para obtener los mismos fines y además señala que debe existir una condición previa que justifique la licitud de un tratamiento de datos como este antes de proceder a implantar el sistema y emprender dicho proceso.
