Tratamiento de datos sensibles y biométricos con fines de autenticación de ID. Ley N° 21.734 y facultades de la PDI

Es un tema relevante y cada vez de mayor impacto, por la certeza técnica que genera el construir credenciales de autenticación (por ejemplo para controles de acceso, en dispositivos móviles que capturan el rostro, para la apertura de cuentas corrientes, para contratos aperturados con reconocimiento de voz, etc.) con el tratamiento de los elementos biométricos de una persona, titular y propietario de los mismos.

El Instituto nacional de Ciberseguridad (INCIBE) español, en un documento específico o en una Guía referida al tema[i], explica o recuerda que la biometría es un método de reconocimiento de personas basado en sus características fisiológicas o de comportamiento, similar al que realiza el ser humano reconociendo e identificando a sus congéneres por su aspecto físico, su voz, su forma de andar, y que lo que hacen las TIC es automatizar y perfeccionar estos procesos de reconocimiento biométrico, especialmente para aplicaciones relacionadas con la seguridad (y con los sistemas laborales de autenticación habría que agregar). Como iniciativa pionera y de uso comercial, se anota que a comienzo de los años 70 una empresa de EEUU instaló “Identimat”, un sistema de identificación automática basado en la lectura de huellas dactilares para el control de acceso físico a sus instalaciones.

Hoy, la industria de la seguridad y de la ciberseguridad estima que de la mano de otros rasgos biométricos diversos de la huella estamos en el contexto de uno de los elementos basales en cuanto a técnicas de identificación y seguridad.[ii] Usada como forma única de autenticación o combinada con otras medidas (como tarjetas inte­ligentes, claves de cifrado o firmas digitales), señala el INCIBE, la biometría está destinada a extenderse en muchos aspectos de la vida diaria y en los relaciona­dos con la ciberseguridad, donde los “puntos fuertes” de la biometría frente a otros mecanismos de autenticación serían (i) que puede asociarse a una persona concreta (por el contrario una contraseña podría ser usada por otra persona que no fuera el usuario autorizado), (ii) que es cómoda porque no es necesario tener o recordar algo, y (iii) que es altamente resistente al fraude. Y claro, “el contexto en el que se vaya a aplicar (colaborativo, a distancia, presencial, etc.) y la finalidad perseguida (control de accesos, control de presencia, control de identidad/personalidad, lucha contra el fraude, etc.) serán los elementos que determinen qué tecnología concreta es la más apropiada en cada caso”.

Se trata de analizar el Boletín 16.434-15, de noviembre del 2023, que modificó diversos cuerpos legales con el objeto de autorizar el uso de tecnologías de autentificación biométrica, para la correcta identificación de pasajeros del transporte aéreo dentro del país[iii]. Fue publicado como Ley N° 21.734 en el Diario Oficial del 2 de mayo del 2025.

La iniciativa, originada en una moción parlamentaria apoyada por el Ejecutivo, introdujo diversas modificaciones a la ley orgánica de la PDI, habilitando a sus funcionarios para que puedan verificar la identidad de las personas mediante este sistema en vuelos locales. Se trata de un caso de tratamiento de datos personales sensibles y biométricos, legitimado por una norma legal, que puede considerarse no proporcional a la finalidad, y donde el RDP es la Policía de Investigaciones. La medida no sería proporcional además, porque al ser genérica la nueva norma se remite o incluye, por ejemplo, a la identificación biométrica facial, dactilar y por voz, bastando quizás sólo el reconocimiento dactilar[iv]. Y, para también discrepar de lo aprobado, la AEPD anota: «…es preciso evaluar si realmente es necesario utilizar operaciones biométricas para alcanzar los fines del mismo y no se pueden emplear otros medios menos intrusivos. Para ello, es necesario que estén definidas métricas sobre los objetivos de rendimiento necesarios en el tratamiento y realizar un análisis objetivo sobre la adecuación de las distintas opciones, incluida la biométrica, a dichos objetivos».

Preguntarse acerca de cuánta data nominativa sensible deben entregar los particulares al Estado, invocándose razones de seguridad y/o ciberseguridad, es una base para el debate. Aparece muy amplia la competencia asignada. La Ley Orgánica de la PDI ya había señalado que corresponde, en especial a la Policía de Investigaciones de Chile, (i) contribuir prestar la cooperación necesaria en cumplimiento de tratados internacionales ratificados y vigentes en Chile, incluyendo el intercambio de datos personales; (ii) que esta cooperación se ajustará a la legislación nacional en la materia y que en ningún caso implicará la entrega de bases de datos nacionales ni el acceso directo a ellas por parte de los órganos de un Estado extranjero o de los órganos de una organización internacional, observando siempre lo dispuesto en la ley Nº 19.628, sobre Protección de la Vida Privada; y, que es lo agregado ahora, (iii) adoptar, por el personal que disponga la jefatura respectiva y mediante cualquier dispositivo o medio tecnológico idóneo para tal efecto, incluyendo el tratamiento de datos biométricos, todas las medidas conducentes para asegurar la correcta identificación de las personas que salen e ingresan al país y de las que se trasladan dentro del territorio nacional[v].

En el nuevo artículo 5° se indica expresamente, como corresponde en Derecho Público, que (i) para el cumplimiento de sus funciones, la Policía de Investigaciones de Chile podrá celebrar convenios con otros organismos de la Administración del Estado e instituciones autónomas, y que, en su calidad de RDP, (ii) deberá dar cumplimiento a las disposiciones de la ley Nº 19.628, sobre protección de la vida privada. En concreto esto significará hasta el 2026 que debe cumplir con los deberes de finalidad, secreto, diligencia y seguridad, de los actuales artículos 7, 9 y 11; pero en relación a la nueva LPDP esto significará:

“Artículo 14 quinquies. El responsable de datos debe adoptar las medidas necesarias para resguardar el cumplimiento del principio de seguridad establecido en esta ley, considerando el estado actual de la técnica y los costos de aplicación, junto con la naturaleza, alcance, contexto y fines del tratamiento, así como la probabilidad de los riesgos y la gravedad de sus efectos en relación con el tipo de datos tratados. Las medidas aplicadas por el responsable deben asegurar la confidencialidad, integridad, disponibilidad y resiliencia de los sistemas de tratamiento de datos. Asimismo, deberán evitar la alteración, destrucción, pérdida, tratamiento o acceso no autorizado.

En consideración al estado de la técnica, los costos de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como los riesgos de probabilidad y gravedad variables para los derechos y libertades de los titulares, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros: (i) la seudonimización y el cifrado de datos personales; (ii) la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento; (iii) la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico; y, (iv) un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento.

Interrogantes para el análisis: ¿y si el uso de biometría facial no se autoriza por ley y lo implementa LATAM por su cuenta, fundándose en el consentimiento de los pasajeros?. Se puede argumentar: (i) sería desproporcionado (lo que le quita legitimación) el uso de sistemas de reconocimiento de rasgos faciales en los aeropuertos, a pesar de permitirse a los pasajeros acceder a los vuelos de forma más rápida y sencilla, en cuanto existen otros medios que pueden servir para el mismo fin; (ii) ¿cómo se aseguraría la necesaria protección de los datos personales biométricos obtenidos y para que las aerolíneas no tengan acceso a la información para utilizarla a su favor o cederla a terceros (por ejemplo, empresas de verificación de identidad?; y, (iii) según una guía de datos biométricos de la AEPD, su uso debe superar un triple juicio de proporcionalidad, de idoneidad y de existencia de una base jurídica lícita, donde además la finalidad de reducir el tiempo de búsqueda de documentación de los pasajeros no estaría justificando el tratamiento.

En la Unión Europea[vi] se considera que debe tenerse en cuenta que los datos biométricos son particularmente sensibles y que su procesamiento puede crear riesgos significativos para las personas, y la tecnología de reconocimiento facial puede conducir a falsos negativos, sesgos y discriminación; se insta a las compañías aéreas y a los operadores aeroportuarios a optar por formas menos intrusivas de autenticación; y, cuando no se requiera la verificación de la identidad de los pasajeros con un documento de identidad oficial, no debería realizarse dicha verificación con el uso de datos biométricos, ya que esto daría lugar a un tratamiento excesivo de datos. (Santiago, 08 de agosto de 2025)

[i] De su lectura pueden visualizarse la descripción de las diferentes técnicas biométricas existentes, sus características, sus aplicaciones, sus beneficios y riesgos, así como la identificación de aquellos derechos y obligaciones de los diferentes actores del mundo de la biometría; el que se dan a conocer métodos de identificación y que se señala qué medidas y buenas prácticas serían útiles para que su uso sea seguro y respetuoso con la PDP.

[ii] Y claro, frente a la concreta necesidad de gestionar los riesgos inherentes, menciona como a los DP biométricos podría afectarlos casos de pérdida o robo de información biométrica, de suplantación de identidad, de sabotaje, de falta de idoneidad de la implantación, de mala calidad de la tecnología, de indisponibilidad de los sensores, de una variación involuntaria en los rasgos biométricos, etc.

[iii] Puede verse en http://www.senado.cl/appsenado/templates/tramitacion/index.php?boletin_ini=16434-15 y en https://www.senado.cl/comunicaciones/noticias/avanza-proyecto-que-permite-uso-de-autentificacion-biometrica-en

[iv] La tesis de que existe proporcionalidad entiende dado que el objetivo y base de legitimidad de esta propuesta viene a ser la seguridad de todos, lo que es netamente interés público, para así mantener un control apropiado ante la gran concurrencia de personas en un aeropuerto, y además considerando sobre todo que el control aleatorio como se hace actualmente es ineficiente tomando en cuenta la magnitud de personas que transitan por un aeropuerto. Es por ello que a pesar de lo invasivo que es el control biométrico, es un costo al que tendríamos que aceptar estar ee expuestos si queremos evitar que la tecnología usada por los pasajeros sobrepase a la tecnología aplicada en el mismo aeropuerto. Se reflexiona además, que el problema no es sólo si usar biometría en aeropuertos es proporcional, no», sino que se están aplicando reglas del pasado a tecnologías del futuro. La biometría no es sólo verificación, es un sistema de control que, mal regulado, puede virar en vigilancia permanente. El proyecto confunde legalidad formal con verdadera protección, porque los datos biométricos son permanentes y un error o filtración no se corrige cambiando la contraseña, porque esos datos están comprometidos para siempre.

[v] Esto implica transformar a la PDI en el responsable del tratamiento de las imágenes faciales, y eso debiera a priori garantizar una finalidad sólo de servicio público en el tratamiento.

[vi] Los antecedentes pueden verse en https://www.edpb.europa.eu/news/news/2024/facial-recognition-airports-individuals-should-have-maximum-control-over-biometric_es