¿Es legal la búsqueda facial inversa?
En la mayoría de los sitios, ejecutar una búsqueda facial inversa no es ilegal en sí mismo, pero lo que hagas con el resultado sí puede serlo. Los datos faciales se tratan como datos biométricos sensibles bajo el RGPD y varias leyes estatales de EE. UU., y lo que suele decidir es tu finalidad, tu jurisdicción y si la persona consintió. Esta página explica la forma de las reglas. No es asesoramiento jurídico, y si una decisión tiene consecuencias reales deberías consultar para tu propia jurisdicción.
Última revisión
En resumen
- La búsqueda en sí y el uso del resultado se regulan por separado.
- El RGPD trata los datos de reconocimiento facial como categoría especial que exige una base jurídica explícita.
- La BIPA de Illinois es el régimen más estricto de EE. UU. y permite demandar directamente.
- Verificar a alguien con quien ya tratas se trata de forma muy distinta a perfilar a un desconocido.
- El acoso, la intimidación y desenmascarar a alguien contra su voluntad son ilícitos casi en todas partes.
¿Qué regulan exactamente estas leyes?
La mayoría de la normativa sobre privacidad facial regula el tratamiento de identificadores biométricos, no el acto de mirar una fotografía. Un embedding facial, el descriptor numérico que calcula un motor de búsqueda facial, suele considerarse un identificador biométrico porque permite singularizar a una persona. Ese encuadre importa: una norma puede activarse por el hecho de calcular y almacenar ese descriptor, con independencia de que llegues a actuar sobre el resultado.
¿Cómo trata el RGPD la búsqueda facial en Europa?
Bajo el RGPD, los datos biométricos tratados para identificar de forma unívoca a una persona son una categoría especial de datos personales del artículo 9, y su tratamiento está prohibido salvo que se aplique una excepción específica, la más habitual el consentimiento explícito de la persona. El RGPD del Reino Unido adopta un enfoque materialmente idéntico. Existe una excepción doméstica estrecha para la actividad puramente personal, pero los reguladores la han interpretado de forma restrictiva y se entiende que no cubre publicar resultados sobre terceros ni actuar en consecuencia.
¿Y en Estados Unidos?
No hay una única ley federal de privacidad biométrica, así que la respuesta es estado por estado, y las diferencias son considerables.
- La BIPA de Illinois exige consentimiento informado por escrito antes de recoger identificadores biométricos y permite demandar directamente, por lo que concentra la mayor parte de los litigios.
- Texas y Washington tienen leyes biométricas comparables, aplicadas por la fiscalía estatal y no mediante demandas privadas.
- La CCPA y la CPRA de California clasifican la información biométrica como información personal sensible con derechos de conocer, suprimir y limitar su uso.
- Otros estados han aprobado leyes amplias de privacidad del consumidor que tratan los datos biométricos como sensibles y exigen consentimiento para tratarlos.
¿Qué separa el uso lícito del ilícito?
Normalmente lo decide la finalidad. Comprobar si una persona con la que ya tratas es quien dice ser, o localizar dónde se han republicado tus propias fotografías, son los usos que reguladores y condiciones de plataforma tratan con mejores ojos. Construir un expediente sobre un desconocido, seguir los movimientos de alguien, revelar la identidad de una persona anónima o llevar los resultados a decisiones de empleo, vivienda, crédito o seguros es donde se concentra la exposición legal, y algunos de esos usos están regulados aparte sea cual sea la fuente de los datos.
¿Qué te exige FaceSearch?
Nuestras condiciones exigen que tengas derecho legal a buscar cada imagen que subes y que cumplas la ley de tu lugar. Usar el servicio para acosar, hostigar, intimidar o desenmascarar a alguien contra su voluntad está prohibido y es motivo de cancelación. No permitimos su uso para decisiones automatizadas sobre empleo, vivienda, crédito o seguros. Las fotos subidas se eliminan en un plazo de 24 horas tras completarse la búsqueda, y los descriptores faciales no se conservan tras la eliminación.
Fuentes
- Regulation (EU) 2016/679 (General Data Protection Regulation), EUR-Lex, Publications Office of the European Union
- Special category data, Information Commissioner's Office
- Biometric Information Privacy Act (740 ILCS 14), Illinois General Assembly
- California Consumer Privacy Act (CCPA), California Office of the Attorney General
- Business and Commerce Code Chapter 503, Biometric Identifiers, Texas Legislature
- RCW 19.375, Biometric Identifiers, Washington State Legislature