Las claves de la pol¨¦mica por el uso de reconocimiento facial en los supermercados de Mercadona

El pasado 1 de julio Mercadona comenz¨® a utilizar en 40 supermercados de Mallorca, Zaragoza y Valencia un sistema de reconocimiento facial. El tratamiento de datos biom¨¦tricos de todos los compradores que acudan a estos establecimientos ha suscitado pol¨¦mica entre los expertos en la materia y ha llevado a la Agencia Espa?ola de Protecci¨®n de Datos (AEPD) a iniciar una investigaci¨®n de oficio a la compa?¨ªa valenciana a ra¨ªz de las informaciones publicadas en medios de comunicaci¨®n. EL PA?S ha contactado con tres expertos en privacidad y protecci¨®n de datos para evaluar las implicaciones legales que podr¨ªa conllevar utilizar esta tecnolog¨ªa en supermercados.

?Qu¨¦ se sabe sobre el sistema de reconocimiento facial implantado en los supermercados?

La compa?¨ªa pretende utilizar el sistema de reconocimiento facial para detectar a personas con sentencias firmes o medidas cautelares que tengan una orden de alejamiento contra Mercadona o sus trabajadores que les proh¨ªbe entrar a las tiendas. Una vez que el sistema descubre que una de estas personas quiere acceder al supermercado, tras cotejar su imagen con una base de datos, genera una alerta que ser¨¢ contrastada por un equipo de seguridad para despu¨¦s alertar a las Fuerzas y Cuerpos de Seguridad del Estado.

La compa?¨ªa insiste en que el sistema es absolutamente legal y ha estado en contacto con la AEPD durante la planificaci¨®n del proyecto. El software, que ha sido desarrollado por una compa?¨ªa israel¨ª llamada AnyVision, no almacena las im¨¢genes, seg¨²n la compa?¨ªa. Los datos ¡°son eliminados en 0,3 segundos¡±. ?Y de d¨®nde saca Mercadona las im¨¢genes de los delincuentes? El sistema ¡°se nutre con las im¨¢genes generadas por las c¨¢maras de videovigilancia que han sido aportadas como prueba en el procedimiento judicial donde ha sido dictada la sentencia¡±. ¡°Todas las im¨¢genes salen a trav¨¦s de las resoluciones nacionales¡±, aseguran desde Mercadona.

?Por qu¨¦ los datos biom¨¦tricos tienen una protecci¨®n especial?

Para entender qu¨¦ supone la decisi¨®n de Mercadona, es importante tener en cuenta que la normativa establece diferentes niveles de protecci¨®n en funci¨®n del tipo de dato que se trata. ¡°Si estamos hablando de datos de contacto como los nombres, apellidos, la direcci¨®n o el DNI, el nivel de protecci¨®n es menos exigente que para aquellos datos personales referidos a infracciones penales o datos especialmente sensibles, como son los datos biom¨¦tricos¡±, explica ?lvaro Orts Ferrer, abogado experto en privacidad y director de Orts Consultores.

El uso de reconocimiento facial es pol¨¦mico porque, adem¨¢s de que no es una tecnolog¨ªa perfecta y falla, es capaz de identificar a personas en cualquier contexto. Las caras se pueden reconocer a distancia a diferencia de lo que ocurre con otro tipo de t¨¦cnicas biom¨¦tricas como el iris o la huella dactilar. La Agencia Espa?ola de Protecci¨®n de Datos suele ser especialmente restrictiva con el uso de t¨¦cnicas de reconocimiento facial para la identificaci¨®n de una persona, como parece ser el caso de Mercadona.

?Cu¨¢l es la diferencia entre identificar y autenticar?

¡°Identificar no es lo mismo que autenticar¡±, se?ala Orts. Autenticar significa comprobar si los patrones de puntos de una cara coinciden con el patr¨®n de solo una cara en concreto. Esta situaci¨®n se puede dar, por ejemplo, en aeropuertos al introducir el pasaporte en una m¨¢quina y mirar a c¨¢mara. En este caso, el sistema comprueba que eres quien dices ser.

Pero identificar supone poner en relaci¨®n un patr¨®n con muchos otros patrones. Es decir, cotejar el patr¨®n biom¨¦trico de una persona en concreto con todos los patrones que forman parte de una base de datos. Es aqu¨ª donde la normativa ¡°es especialmente restrictiva a la hora de permitir el uso de esta tecnolog¨ªa para el tratamiento de datos personales¡±.

?Mercadona cumple los requisitos necesarios para poder utilizar sistemas de reconocimiento facial?

Los expertos consultados coinciden en que con los datos que se conocen hasta el momento resulta complicado valorar la decisi¨®n de Mercadona de implantar un sistema de reconocimiento facial en algunos supermercados. El art¨ªculo 9.2 del RGPD establece que el tratamiento de este tipo de datos debe responder a un inter¨¦s p¨²blico esencial y debe ser proporcional al objetivo perseguido.

Las tiendas que utilizan este sistema tienen en su entrada un cartel informativo. Mercadona apela en ¨¦l que el tratamiento se realiza precisamente en base al ¡°inter¨¦s p¨²blico¡±. Pero el delegado de protecci¨®n de datos Jorge Garc¨ªa Herrero lo cuestiona: ¡°El principal inter¨¦s en juego no es el p¨²blico, sino el corporativo: la protecci¨®n de las propiedades de la empresa. Y hubiera sido m¨¢s respetuoso con la realidad haberlo reconocido y articulado as¨ª¡±.

Cualquier tratamiento de datos ¡°debe sujetarse a los principios de licitud, lealtad, transparencia, limitaci¨®n en la finalidad y minimizaci¨®n¡±. En este caso, ¡°pese a que se persigue identificar un exiguo porcentaje de los clientes (los condenados), se somete a control biom¨¦trico a todas las personas que entran, incluso a las que es imposible que hayan cometido delitos¡±. ¡°Por ejemplo, los ni?os peque?os que adem¨¢s son un colectivo vulnerable especialmente protegido¡±, a?ade.

?Cu¨¢ntas personas hay con sentencia firme y medida cautelar de orden de alejamiento en vigor para que compense la inversi¨®n en este sistema y la captaci¨®n de la imagen de todos los clientes? Esta es una de las preguntas a¨²n sin respuesta que se han hecho diferentes expertos en derecho digital en los ¨²ltimos d¨ªas. Mercadona no ha ofrecido a este peri¨®dico una cifra apelando a motivos de seguridad.

Garc¨ªa a?ade que la proporcionalidad y minimizaci¨®n bien aplicadas ¡°implicar¨ªan por ejemplo seleccionar justificando caso por caso solo las tiendas m¨¢s robadas y restringir el acceso y el control a las mismas, permitiendo a quien lo deseara sustraerse a este tratamiento tan intrusivo¡±. En cuanto al principio de transparencia, le sorprende que Mercadona no haya explicado sus motivaciones y circunstancias ¡°con antelaci¨®n suficiente¡±. ¡°M¨¢s a¨²n en este momento, en el que el uso obligatorio de mascarillas hace cuestionar la utilidad pr¨¢ctica del sistema¡±, explica.

?C¨®mo puede afectar a los clientes el sistema de reconocimiento facial?

Alfonso Pacheco Cifuentes, abogado especializado en protecci¨®n de datos y copropietario del blog Privacidad L¨®gica, explica que ¡°el sistema tiene que estar muy bien montado para evitar situaciones no justificadas¡±. ¡°?La prohibici¨®n de acceso por haber cometido hurtos en los Mercadona de mi ciudad implica solo los establecimientos de mi ciudad o todos los abiertos en Espa?a? Adem¨¢s, si pesa sobre m¨ª una orden de alejamiento de mi expareja, que trabaja en un centro en Valencia, no hay motivo para que yo no pueda comprar en un Mercadona de Palma de Mallorca¡±, afirma.

Tambi¨¦n recuerda las consecuencias que pueden tener para los clientes los fallos que pueda cometer el software. Es decir, si el sistema identifica a una persona de forma incorrecta y se la detiene delante de todo el mundo podr¨ªa conllevar una ¡°vulneraci¨®n del derecho al honor¡±. Que los programas de inteligencia artificial cometen fallos, especialmente con mujeres y personas negras, no es algo nuevo. Se debe en parte a que los conjuntos masivos de datos con los que los algoritmos son entrenados est¨¢n condicionados por nuestros conocimientos y prejuicios y suelen incluir un porcentaje mucho menor de im¨¢genes de mujeres y personas con piel oscura que de hombres y personas con la piel clara.

?A qu¨¦ se enfrenta Mercadona?

¡°SI la AEPD llega a la conclusi¨®n de que hay infracci¨®n legal y el tratamiento ya est¨¢ en marcha va a haber una sanci¨®n s¨ª o s¨ª¡±, afirma Pacheco. Al ser datos considerados de categor¨ªa especial, explica que se aplicar¨ªa el art¨ªculo 83.5 del Reglamento General de Protecci¨®n de Datos. Este reglamento establece un r¨¦gimen sancionador muy severo con multas de hasta 20 millones de euros o, en el caso de una empresa, el 4 % de su volumen de negocios anual mundial.

¡°El procedimiento se encuentra en fase de actuaciones previas de investigaci¨®n, por lo que no podemos ofrecer detalles sobre el mismo dado que se encuentra abierto¡±, ha afirmado a este peri¨®dico la AEPD. Mercadona, que asegura no tener constancia de la investigaci¨®n abierta por este organismo, afirma que s¨ª ha realizado consultas previamente a este organismo. ¡°Hemos estado en contacto con la Agencia Espa?ola de Protecci¨®n de Datos, remitiendo toda la informaci¨®n sobre el proyecto y siguiendo las pautas que nos han dado, actuando con total transparencia. Y as¨ª vamos a seguir actuando ante cualquier informaci¨®n que nos sea solicitada¡±, aseguran desde la empresa.

Para Pacheco, el quid del ¨¦xito o arrinconamiento del reconocimiento facial depender¨¢ de c¨®mo de estrictas sean las autoridades de control y los tribunales en la interpretaci¨®n de los requisitos que habilitan su tratamiento. ¡°Todo ello teniendo en cuenta que al estar hablando de protecci¨®n de datos, un derecho fundamental, las interpretaciones de lo que se puede hacer en relaci¨®n con ese derecho fundamental deben ser restrictivas, siempre barriendo a favor del derecho fundamental¡±, concluye.