El Informe 0292/2010 del Gabinete Jurídico de la Agencia Española de Protección de Datos (AEPD) aborda la conformidad con la Ley Orgánica 15/1999 de Protección de Datos de Carácter Personal y su Reglamento de desarrollo, aprobado por Real Decreto 1720/2007, respecto a la comercialización y utilización de microchips intradérmicos. Estos dispositivos podrían contener información personal, como datos de identificación, números de tarjeta de crédito, localización o información médica.
El informe destaca la dificultad de proporcionar una respuesta definitiva debido a la amplitud de la consulta y la falta de especificidad sobre los usos concretos de los microchips. Sin embargo, se analiza la posibilidad de que el tratamiento de datos derivado de la lectura de estos dispositivos pueda ser lícito o ilícito, dependiendo de la legitimación y el cumplimiento de los principios de protección de datos.
Para que el tratamiento de datos sea conforme a la ley, debe estar amparado por causas de legitimación, como el consentimiento inequívoco del interesado o la existencia de una relación jurídica específica. El consentimiento debe ser libre, específico, informado e inequívoco, y en el caso de datos relacionados con la salud, debe ser expreso.
El informe también subraya la necesidad de que el tratamiento de datos sea adecuado, pertinente y no excesivo en relación con las finalidades determinadas y explícitas para las que se hayan obtenido. Además, los datos no pueden usarse para finalidades incompatibles con aquellas para las que fueron recogidos.
La implantación de microchips intradérmicos plantea problemas de índole legal, especialmente en lo que respecta al derecho a la dignidad y a la integridad física de las personas. La lectura de los microchips debe estar permitida por el interesado, y se deben implementar medidas de seguridad para evitar lecturas no autorizadas.
El informe concluye que la implantación y tratamiento de datos mediante microchips intradérmicos solo serán conformes a derecho si se analiza caso por caso la necesidad de la implantación en relación con la finalidad perseguida, se obtiene el consentimiento del interesado y se implementan medidas de seguridad adecuadas. La AEPD ha reiterado en múltiples ocasiones la importancia de que el tratamiento de datos biométricos o invasivos sea estrictamente necesario y proporcional a la finalidad perseguida.