El Supervisor Europeo de Protección de Datos –EDPS–, junto con la Agencia Española de Protección de Datos –AEPD–, ha publicado hace unas semanas una nota técnica con un listado de 14 equívocos relacionados con el uso de la biometría y cómo estos afectan a la protección de datos.

El informe, dirigido a responsables y encargados de protección de datos, tiene como objetivo ofrecer información sobre las confusiones e imprecisiones más comunes que se asocian al uso de esta tecnología.

La identificación es el proceso de reconocer a un individuo particular entre un grupo y la autenticación es el proceso de probar que es cierta la identidad reclamada por un individuo. Con la creciente popularización del uso de datos biométricos para fines de identificación y autenticación –por ejemplo, huellas dactilares o reconocimiento facial– se han extendido una serie de equívocos. Entre los equívocos más habituales relacionados con la biometría encontramos:

• “La información biométrica se almacena en un algoritmo“. Un algoritmo es un método ordenado de operaciones y no un medio para almacenar datos biométricos.
• “El uso de datos biométricos es igual de intrusivo que cualquier otro sistema de identificación/autenticación“. Los datos biométricos recogen más información personal sobre el individuo. Por ejemplo, podrían recoger datos como la raza, el género, el estado emocional, las enfermedades, las discapacidades, etc.
• “La identificación biométrica es precisa“. La identificación biométrica se basa en probabilidades y hay una determinada tasa de falsos positivos –podría darse una suplantación– y falsos negativos –rechazo de un individuo autorizado.
• “La identificación/autenticación biométrica es lo suficientemente precisa como para diferenciar siempre entre dos personas“. Hay casos como el de la identificación de hermanos gemelos o con las condiciones medioambientales en entornos no controlados que provocan un aumento de la tasa de error y por lo tanto llevan a confusión.
• “La identificación/autenticación biométrica es adecuada para todas las personas“. Hay personas que no la pueden usar por sus características físicas, lesiones, accidentes, etc. Podría ser una causa de exclusión social.
• “El proceso de identificación/autenticación biométrica no se puede burlar“. Hay técnicas que permiten “engañar” a los sistemas de autenticación biométrica y asumir la identidad de otra persona.
• “La identificación biométrica no está expuesta“. Las características biométricas de una persona están expuestas y se podrían capturar a distancia.
• “Todo tratamiento biométrico implica identificación/autenticación“. No necesariamente es así. Se podría producir un uso de la información diferente al propósito original por fallos de seguridad, cambios normativos, etc.
• “Los sistemas de identificación/autenticación son más seguros para los usuarios“. Puede haber igualmente una grieta de seguridad.
• “La autenticación biométrica es fuerte“. Esta afirmación dependerá de la tecnología empleada y de las circunstancias, percepción y cultura de cada usuario.
• “La autenticación biométrica es más cómoda para el usuario“. Esta afirmación dependerá de la tecnología empleada.
• “La información biométrica convertida en un hash no es recuperable“. Se podría conseguir en patrón biométrico original.
• “La información biométrica almacenada no permite reconstruir la información biométrica original de donde se ha extraído“. Una reconstrucción parcial tiene a veces fidelidad suficiente para que otro sistema biométrico la reconozca.
• “La información biométrica no es interoperable“. Al contrario; los sistemas de información biométrica siguen estándares para garantizar su interoperabilidad.

_____

Aquest apunt en català / This post in English / Post en français