Estimado/a asociado/a,
Por considerarlo de interés, damos traslado de información sobre una consulta que han realizado desde CEOE nacional a la Agencia Española de Protección de datos sobre la aplicación del RD 933/2021.
Estimado Asociado,
Desde CEOE Nacional nos comunican que, la Agencia Española de Protección de Datos (AEPD) ha dado respuesta a la consulta formulada por CEOE en relación con la aplicación del Real Decreto 933/2021, particularmente sobre los procedimientos de identificación de viajeros, utilización de sistemas automatizados, conservación de datos, trazabilidad, seguridad y participación de proveedores tecnológicos.
Sin perjuicio del carácter informativo y no vinculante de la respuesta, destacan los siguientes criterios por su incidencia práctica para las empresas:
. Copia de DNI o pasaporte. La AEPD reitera que no debe solicitarse ni conservarse una copia íntegra del documento de identidad, al contener datos adicionales a los exigidos por el RD 933/2021 y resultar contrario al principio de minimización.
. Comprobación visual. La mera visualización del documento para comprobar la identidad del viajero es admisible cuando sea estrictamente instrumental y no implique la captura, registro o utilización posterior de los datos adicionales contenidos en el documento.
. Utilización de OCR y escaneo selectivo. La AEPD considera viable la utilización de sistemas automatizados de lectura de documentos siempre que se garantice técnicamente que únicamente se extraen y registran los datos necesarios para cumplir las obligaciones del RD 933/2021, sin capturar ni almacenar la imagen del documento ni otros datos no requeridos. Corresponde, no obstante, a cada responsable evaluar y acreditar el cumplimiento de la solución concreta.
. Identificación presencial y a distancia. En procedimientos presenciales, la AEPD considera adecuado recabar los datos exigidos y comprobar visualmente su correspondencia con el documento. Para procedimientos a distancia señala, entre otras posibilidades, certificados digitales, mecanismos vinculados al medio de pago o códigos de seguridad (OTP). No existe una obligación general de conservar el documento de identidad como prueba de que se ha efectuado la verificación.
. Plazos de conservación. El plazo de tres años previsto en el RD 933/2021 se refiere a los datos del registro de viajeros. No puede extenderse automáticamente a imágenes de documentos, logs u otras evidencias generadas durante el procedimiento de identificación. Cada categoría de información debe contar con una finalidad y un plazo de conservación propios y justificados.
. Responsabilidades del establecimiento y del Ministerio del Interior. La AEPD señala expresamente que el sujeto obligado no puede ser considerado responsable de las decisiones técnicas relativas a una infraestructura que no diseña ni controla. Su responsabilidad se circunscribe a las operaciones bajo su capacidad efectiva de decisión: recogida de datos, configuración de sus sistemas, gestión de accesos, seguridad de dispositivos, selección de proveedores y protección de los datos antes de su transmisión.
. Proveedores tecnológicos. Cuando se utilicen soluciones proporcionadas por terceros, las empresas deberán seleccionar proveedores que ofrezcan garantías suficientes y poder acreditar el funcionamiento efectivo de la solución. No resulta suficiente limitarse a incorporar cláusulas generales de cumplimiento.
. Análisis de riesgos y EIPD. La utilización de soluciones tecnológicas deberá analizarse desde los principios de protección de datos desde el diseño y por defecto. Cuando del análisis resulte que el tratamiento puede entrañar un alto riesgo, deberá realizarse la correspondiente Evaluación de Impacto en Protección de Datos (EIPD).
En síntesis, la respuesta de la AEPD permite compatibilizar el cumplimiento del RD 933/2021 con la utilización de herramientas tecnológicas para facilitar y automatizar los procesos de identificación, siempre que se respete estrictamente el principio de minimización. Resulta especialmente relevante la posibilidad de utilizar OCR selectivo, la inexistencia de una obligación general de conservar copias de documentos y la delimitación de responsabilidades respecto de los sistemas gestionados por el Ministerio del Interior.
La contestación de la AEPD tiene carácter meramente informativo y no vinculante.