La reciente implantación de sistemas de reconocimiento facial en 40 tiendas de Mercadona para detectar a personas con antecedentes penales ha derivado en los últimos días en una polémica sobre la legalidad en el uso de esa información sensible y sus consecuencias jurídicas. Hasta el punto de que la Agencia Española de Protección de Datos (AEPD) ha señalado a varios medios que ha abierto una investigación "en fase preliminar" para determinar si la nueva tecnología de la cadena de supermercados vulnera de algún modo la legalidad vigente. Sin embargo, Mercadona alega ahora que informó previamente a la agencia e, incluso, que "siguió los pasos" marcados por la misma a la hora de llevar a cabo el proyecto, tal y como han confirmado fuentes de la compañía a 'La Información'.
"No tenemos constancia del expediente abierto por la Agencia", explican desde Mercadona, a pesar de que, tal y como adelantó a 'Business Insider' este lunes, la AEPD ha abierto una "investigación de oficio" contra Mercadona. La tecnología utilizada se encuentra ya activa en aproximadamente 40 tiendas ubicadas en Mallorca, Zaragoza y Valencia. El sistema de detección anticipada, que no guarda ninguna información, funciona a través del reconocimiento de rasgos físicos, detecta únicamente la entrada de personas con sentencia firme y medida cautelar de orden de alejamiento en vigor contra Mercadona o sus trabajadores, tal y como apunta la compañía.
Lo que la AEPD pone en cuestión es el tratamiento de los datos obtenidos por Mercadona (potencialmente, el de absolutamente todos los clientes que pisen una de sus tiendas). Sin embargo, desde la cadena explican que su único objetivo es detectar a personas con antecedentes incluida en una base de datos propia elaborada a partir de las sentencias en firme contra individuos que hayan delinquido en sus establecimientos. Y, por eso, el principal mecanismo de control para que no se produzca ningún abuso con la información obtenida es el tiempo que permanece en sus sistemas: 0,3 segundos.
Asimismo, la compañía explica que su compromiso con la protección de datos va más allá y que ha llevado a cabo la implementación y puesta en marcha de esta medida "siempre en constante contacto con las autoridades correspondientes para garantizar la total protección y todas sus garantías legales". Por eso, considera que su sistema de detección anticipada contribuye, "exclusivamente, al cumplimiento de las sentencias firmes y medidas cautelares en vigor, que tengan una orden de alejamiento del establecimiento o contra cualquiera de sus trabajadores".
En este sentido, desde Mercadona señalan que ha "estado en contacto con la Agencia Española de Protección de Datos remitiéndoles toda la información sobre el proyecto y siguiendo las pautas que nos han dado". Lo que implicaría que no solo informó previamente a la AEPD, sino que también desarrolló su sistema de reconocimiento facial con el visto bueno de la agencia. "Hemos actuado con total transparencia", defiende la cadena de supermercados, que explica que "así vamos a seguir actuando ante cualquier información que nos sea solicitada".
Por su parte, fuentes de la AEPD reconocen a este periódico que la agencia fue informada previamente por Mercadona en la fase inicial del proyecto y que ya manifestó a la compañía "diversas reservas" en el último trimestre de 2019 sobre la conformidad con la normativa de protección de datos de su sistema de reconocimiento facial y, ante las informaciones publicadas sobre su puesta en marcha, ha decidido iniciar una investigación de oficio en el último trimestre de 2019
El reconocimiento facial debe responder al "interés público"
La AEPD publicaba a finales de mayo un informe en el que analizaban varias cuestiones relacionadas con la licitud de incorporar sistemas de reconocimiento facial en los servicios de videovigilancia proporcionados por empresas seguridad privada. En este caso, Mercadona es la titular de la tecnología -y no una compañía de seguridad-, en lo que parece un vacío legal respecto al uso de estos sistemas por parte de empresas concretas. Sea como fuere, aquel informe establecía varias premisas que presuntamente pondrían en duda este proyecto de Mercadona.
Primero, que al incluir el tratamiento de datos biométricos, es el Reglamento General de Protección de Datos (RGPD) el que regula el reconocimiento facial. En este sentido la norma es categórica: está prohibido. Eso sí, la AEPD deja una puerta entreabierta: "La instalación de los sistemas de videovigilancia con fines de seguridad, que captan y graban imágenes y sonidos, podría ampararse en el interés público. [...] No obstante, si se tratan categorías especiales de datos, como en el caso de la utilización de tecnologías de reconocimiento facial, la normativa requiere que exista un 'interés público esencial' para que pueda ser legítimo, profundizando así en la importancia y necesidad de mayor protección de los datos tratados".
El problema es, de nuevo, la ausencia de legislación. En el mismo informe, la AEPD señala que "la aplicación del interés público esencial como base de legitimación requiere de una norma con rango de ley que justifique en qué medida y en qué supuestos el empleo de la biometría respondería al mismo. La norma con rango de Ley que ampararía ese tratamiento de categorías especiales de datos no existe en el actual ordenamiento jurídico y, en el caso de tramitarse, tendría que justificar específicamente en qué medida y en qué supuestos la utilización de dichos sistemas respondería a un interés público esencial, así como incorporar garantías específicas como exige el Tribunal Constitucional". Es decir, que incluso aunque el sistema de reconocimiento facial de Mercadona cumpliese con la legislación vigente, nada impide que en el futuro pueda revisarse esta situación.
