¿Cómo aprovechar esta apasionante tecnología en un panorama jurídico incierto y cambiante?
No tengo una bola de cristal, pero si observamos los estados con leyes que restringen los datos biométricos y las propuestas de los estados que están considerando hacerlo, podemos identificar tendencias y principios que nos ayudarán a planificar el panorama biométrico que se avecina.
En la actualidad, sólo Illinois, Texas y Washington tienen leyes de privacidad que regulan la recogida y el uso de datos biométricos. Aunque cada estado define los datos biométricos de forma diferente, existen similitudes en los requisitos para la recogida y el tratamiento de los datos biométricos. Si se observan los estados que están considerando actualmente proyectos de ley sobre datos biométricos, muchos aplican los mismos principios generales que Illinois, Texas y Washington. He aquí los cinco principios generales que se desprenden de mi examen de las propuestas biométricas:
- Aviso: Informe a sus afiliados/empleados de que se recoge su información biométrica, por qué se recoge y cómo podría utilizarse.
- Consentimiento: Obtenga el consentimiento de sus afiliados/empleados para recoger y utilizar su información biométrica.
- Retención: Establezca un calendario para el tiempo que almacena la información biométrica de los afiliados/empleados
- Seguridad: Asegúrese de que proporciona un nivel de seguridad para la información biométrica al menos igual, si no superior, al que proporciona para otra información confidencial o personal.
- Propósito: Articular una justificación para la recogida de datos biométricos, y asegurarse de que es coherente con cualquier ley aplicable. ¿Quiere reforzar la seguridad de su club? ¿Proporcionar más beneficios a sus socios? Debe saber por qué la recogida de datos biométricos mejorará su negocio.
Estos principios están en consonancia con un cambio más amplio en la forma en que la sociedad y los reguladores ven la privacidad de los datos. Como se destacó en la publicación de mayo del CBI The Data Privacy Priority, la llegada del Reglamento General de Protección de Datos (GDPR) en Europa y la Ley de Privacidad del Consumidor de California (CCPA) han señalado un movimiento hacia una mayor transparencia y control del consumidor sobre la recopilación y el uso de los datos personales. Si recopila datos biométricos, o está considerando hacerlo, debería pensar seriamente en incorporar estos principios a sus procesos empresariales.
Algunas sugerencias sobre cómo podría empezar a poner en práctica estos principios:
- Póngalo por escrito: Cree un formulario escrito que pueda entregar a los afiliados/empleados explicando sus prácticas de recogida de datos biométricos.
- Menos es más: Sólo recoja y almacene los datos biométricos que necesite. Minimizar la recogida reduce el riesgo.
- Consígalo por escrito: Obtenga el consentimiento por escrito de los afiliados/empleados autorizando la recogida de sus datos biométricos y conserve el consentimiento en el archivo.
- Programas de retención: Cree un calendario de retención y unas directrices para destruir permanentemente la información biométrica cuando ya no exista una necesidad empresarial o legal de conservarla. Comparta el calendario de retención con sus miembros/empleados. Además, asegúrese de consultar las leyes de retención de registros de su estado para asegurarse de que cumple con ellas.
- Anonimizar si es posible: Si es posible, haz que los datos sean anónimos, para que no puedan vincularse a una persona concreta. Hay diferentes maneras de conseguirlo, dependiendo de la tecnología que se utilice.
Tomar medidas ahora para incorporar los principios de notificación, consentimiento, retención y seguridad podría reportar verdaderos dividendos al minimizar la interrupción de las empresas cuando entren en vigor las nuevas leyes biométricas. Por ejemplo, la Ley de Privacidad de la Información Biométrica (BIPA) de Illinois contiene un derecho de acción privado. Este derecho de acción significa que las empresas privadas culpables de violar la BIPA son responsables de compensar a los demandantes:
- 1.000 dólares o los daños reales (lo que sea mayor) si se considera que ha habido negligencia,
- 5.000 dólares o los daños reales (lo que sea mayor) si se descubre que ha infringido la ley de forma intencionada o temeraria.
En una sentencia reciente, Rosenbach contra Six Flags Entertainment, el Tribunal Supremo de Illinois determinó que se puede demandar a una empresa por violar la BIPA, incluso si su recogida de información biométrica no provocó ningún daño al demandante. En otras palabras, si usted recoge datos biométricos en Illinois y se salta una casilla de la lista de control de la BIPA, es responsable.
