¿Qué es importante saber en lo que respecta a la biometría y al cumplimiento de los requisitos normativos?
Nos reunimos con Sarah Eckert, asesora jurídica y responsable de cumplimiento normativo de Aware, para conocer mejor la relación entre el cumplimiento normativo y la biometría, así como los aspectos fundamentales que las organizaciones deben tener en cuenta a la hora de utilizar la biometría.
P: ¿Qué es el cumplimiento normativo?
R: El cumplimiento normativo abarca una amplia variedad de aspectos, entre los que se incluyen el cumplimiento legal, el cumplimiento en materia de seguridad y el cumplimiento financiero. Dependiendo del lugar en el que se desarrolle la actividad empresarial, se está sujeto a diferentes normativas. Si nos referimos al ámbito jurídico del mundo empresarial, se trata más bien de cuestiones como el cumplimiento de la normativa de privacidad y de seguridad; además, en Estados Unidos, como empresa que cotiza en bolsa —como es el caso de Aware—, hay que tener en cuenta el cumplimiento de las normas de la SEC, los requisitos de información financiera, etc.
P: ¿Qué es importante que comprenda una organización media en materia de cumplimiento normativo?
R: Es importante que las organizaciones se aseguren de que cumplen con la normativa que se aplica directamente a su empresa. En concreto, si se trata de una empresa que opera en Europa, debe cumplir con el RGPD en materia de privacidad y tratamiento de datos. Debes asegurarte de que gestionas los datos europeos de forma adecuada. Lo mismo se aplica en Brasil, donde también existe una ley similar sobre el tratamiento de datos. El incumplimiento de la normativa puede acarrear graves problemas a una organización, lo que puede dar lugar a multas elevadas, responsabilidad civil y, en algunos casos, responsabilidad penal para los directivos de la empresa.
P: ¿Qué aspectos es importante tener en cuenta en materia de cumplimiento normativo en lo que respecta a la biometría?
R: La información biométrica se considera, de manera generalizada, cuando se analizan las normativas sobre protección de datos, como un interés especial o una categoría especial de PII (también conocida como información de identificación personal). Se trata de una categoría de interés especial, ya que es algo que no se puede modificar. A diferencia de tu número de la Seguridad Social o tu dirección de correo electrónico, por ejemplo, que son datos que puedes cambiar si se produce una filtración. Las contraseñas también se pueden cambiar si se produce una filtración. La información biométrica no se puede cambiar, por lo que su protección es sumamente importante. Es sumamente importante que tengas control sobre dónde va a parar y qué empresas tienen acceso a ella. Por ello, está regulada por normativas específicas en el marco del RGPD, así como por algunas normativas de protección de datos y de tratamiento de datos en Estados Unidos, como la CCPA y la CPRA. Y en Brasil está la LGPD, que regula el mismo tipo de información que el RGPD.
P: ¿Qué papel desempeñan la privacidad y la protección de datos en el cumplimiento normativo?
R: Cuando se trata de la privacidad y la protección de datos, es importante asegurarse de que se cuente con las normas de seguridad internas adecuadas, de modo que no todos los empleados de la empresa puedan acceder a los datos. Los datos a los que se pueda acceder deben almacenarse adecuadamente y solo deben estar disponibles para los empleados que necesiten acceder a ellos.
P: ¿Y qué hay del papel de la conservación de datos?
R: La conservación de datos es importante porque uno de los principios del RGPD es la minimización de datos, lo que significa que no se deben almacenar ni tratar datos más de lo necesario ni durante más tiempo del necesario para llevar a cabo las tareas de tratamiento que se han asignado. Por ejemplo, en nuestro caso, aquí en Aware, eso significa que, por norma general, almacenamos los datos de acuerdo con el cumplimiento de nuestras obligaciones contractuales durante la vigencia de dicho contrato. De este modo, podemos seguir autenticando a los usuarios una vez que se han registrado en nuestro sistema. Sin embargo, en lo que respecta a nuestros clientes, contamos con mecanismos para que nuestras empresas clientes puedan solicitar la eliminación de usuarios. Si ese usuario ya no está activo en nuestra empresa cliente, o si el interesado desea que eliminemos la información, podemos asegurarnos de que dicha información se elimine correctamente.
P: ¿Podrías hablarnos más sobre el papel de la transparencia y el consentimiento en el cumplimiento normativo?
R: La transparencia es una de las principales razones por las que la Unión Europea aprobó el RGPD. Se trata en gran medida de los derechos de los consumidores: garantizar que estos sepan cómo se tratan sus datos, qué datos se tratan y qué se hace con esa información una vez que se dispone de ella. Gran parte de ello gira en torno a categorías de datos que no son de especial interés, como correos electrónicos, nombres, direcciones, información de los empleados u otra información sobre tu empresa que pudiera utilizarse para identificarte. Todo ello está regulado por el RGPD. Por lo tanto, para garantizar la transparencia, debes informar al consumidor o al interesado con antelación de que estás recopilando estos datos, de qué los vas a hacer exactamente, cómo se almacenarán y cómo pueden solicitar que se modifiquen o se eliminen. Además, los interesados deben dar su consentimiento explícito.
Puntos clave:
- Cumplimiento normativo: Asegúrate de que tus datos biométricos se gestionen de acuerdo con el RGPD, la CCPA y otras normativas internacionales. Si no es así, corres un riesgo.
- Controla la conservación de datos: guarda solo lo que necesites. Asegúrate de poder eliminar los datos cuando ya no sean necesarios.
- Exige transparencia: infórmate con exactitud de cómo se utilizan, almacenan y protegen tus datos. Si no te informan al respecto, es una señal de alarma.
- Acceso interno seguro: Limita quién puede acceder a los datos biométricos dentro de tu organización. Solo las personas autorizadas deben tener ese privilegio.
- Mantente a la vanguardia a nivel mundial: asegúrate de que tus prácticas cumplan con la normativa, no solo a nivel local, sino también a nivel mundial. No dejes que unas normativas que hayas pasado por alto te pongan en peligro.
