El Informe 0082/2010 del Gabinete Jurídico de la Agencia Española de Protección de Datos (AEPD) aborda la consulta sobre la creación de una base de datos que incluya las huellas dactilares de los clientes, asociadas a un código alfanumérico. La consulta plantea si dicha base de datos debe registrarse conforme a la Ley Orgánica 15/1999 de Protección de Datos de Carácter Personal.
El informe analiza si los datos almacenados en la base de datos son identificables y, por ende, sujetos a la mencionada ley. Según el artículo 2.1 de la Ley Orgánica 15/1999, esta normativa se aplica a los datos de carácter personal registrados en soporte físico y a su uso posterior por sectores público y privado. El artículo 3.a) define los datos de carácter personal como cualquier información concerniente a personas físicas identificadas o identificables.
El Reglamento de desarrollo de la Ley Orgánica 15/1999, aprobado por el Real Decreto 1720/2007, amplía esta definición, considerando datos de carácter personal cualquier información que permita identificar a una persona, directa o indirectamente. El artículo 5.1.o) especifica que una persona es identificable si su identidad puede determinarse mediante cualquier información referida a su identidad física, fisiológica, psíquica, económica, cultural o social.
Aplicando estas definiciones al caso planteado, el informe concluye que la base de datos que se pretende crear está sujeta a la Ley Orgánica 15/1999, ya que el código alfanumérico obtenido a través de la huella dactilar identifica sin esfuerzo a los clientes. Además, carecería de sentido instalar un sistema que no permita identificar a los clientes para otorgarles servicios.
Este criterio ha sido ratificado por la Audiencia Nacional en una sentencia de 8 de marzo de 2002, que establece que para que exista un dato de carácter personal, no es necesario una plena coincidencia entre el dato y una persona concreta, sino que basta con que la identificación pueda efectuarse sin esfuerzos desproporcionados.
El informe también destaca que la creación de esta base de datos debe cumplir con el principio de proporcionalidad establecido en el artículo 4.1 de la Ley Orgánica 15/1999. Este principio exige que los datos de carácter personal solo se recojan y traten si son adecuados, pertinentes y no excesivos en relación con las finalidades determinadas, explícitas y legítimas para las que se hayan obtenido.
El Tribunal Constitucional ha señalado que cualquier medida restrictiva de derechos fundamentales, como la que supone el tratamiento de datos biométricos, debe cumplir con el juicio de idoneidad, necesidad y proporcionalidad en sentido estricto. Esto implica que la medida debe ser susceptible de conseguir el objetivo propuesto, no existir otra medida más moderada con igual eficacia, y que los beneficios para el interés general superen los perjuicios sobre otros bienes o valores en conflicto.
En el caso específico, la finalidad del tratamiento es otorgar un servicio a los clientes. El informe concluye que recabar la huella dactilar es desproporcionado para este fin, ya que el servicio puede prestarse mediante otros medios menos intrusivos, como el uso de tarjetas de fidelización. Por lo tanto, la base de datos debe registrarse en el Registro General de Protección de Datos y se debe evaluar si el tratamiento de la huella dactilar es realmente necesario y proporcional para la finalidad perseguida.