Le régulateur espagnol de la protection des données clarifie les risques et la nécessité biométriques

SC Media rapporte que le régulateur a établi une distinction entre la vérification faciale biunivoque et la reconnaissance faciale univoque-multivoie, notant que les bases de données persistantes introduisent des préoccupations uniques en matière de protection des données.[1]Biometric Update rapporte que le régulateur a publié l'avis en réponse à une question soulevée par une entreprise anonyme.[2]SC Media indique que l'AEPD a souligné que la nécessité ne s'applique que lorsqu'aucune alternative tout aussi efficace et moins intrusive n'existe.[1] Selon Biometric Update, l'AEPD a constaté que une alternative moins intrusive peut être souhaitable, mais n'est pas suffisante pour passer de la nécessité au consentement explicite[2] comme base juridique. Biometric Update rapporte qu'une alternative non biométrique n'a pas besoin d'être identique et peut avoir des « différences raisonnables en vitesse, confort ou fonctionnement. »[2] SC Media indique que le régulateur a suggéré que des méthodes telles que les signatures électroniques qualifiées ou l'identification numérique pourraient servir d'alternatives viables.[1]CEA Digital Law écrit que ceci s'écarte de la lecture plus stricte des lignes directrices de l'AEPD sur le contrôle de présence biométrique dans l'emploi, émises en novembre 2023[3]. Il rapporte également que l'AEPD souligne que ceci n'est ni une autorisation générale ni une certification de la technologie.[3]Selon Biometric Update, l'AEPD a infligé une amende de 950 000 euros (environ 1,1 million de dollars américains) à Yoti en mars pour ne pas avoir proposé d'alternative non biométrique pour l'authentification.[2] Le média rapporte que Yoti a répondu qu'il n'existe pas d'alternative offrant une sécurité adéquate, un degré d'assurance et une commodité client suffisants, retirant son application du pays.[2]Biometric Update note également que la proposition Omnibus numérique que l'UE examine introduirait une exception à l'article 9 du RGPD pour la vérification de l'identité biométrique dans certaines situations.[2]