En 2025 se produjeron avances en materia de datos biométricos que indican un tratamiento jurídico cada vez más razonable. Los requisitos para realizar un tratamiento ajustado al entorno regulatorio y a los criterios de las autoridades de control han quedado clarificados tras la resolución de la AEPD en el caso AENA y el Dictamen 11/2024 del Comité Europeo de Protección de Datos.
"El Centro Criptológico Nacional (CCN) señala que no existe un sistema de autenticación equivalente y menos intrusivo que la biometría para acreditar la identidad real de una persona."
Se confirma la validez de escenarios donde la plantilla biométrica está bajo control exclusivo del interesado, ya sea en su dispositivo individual (comparación 1:1) o mediante almacenamiento centralizado cifrado con una clave que solo posea el usuario.
La autenticación (verificación unívoca 1:1) genera significativamente menos riesgo que la identificación (búsqueda activa 1:N). Esta distinción es esencial para determinar la proporcionalidad y la necesidad de una evaluación de impacto.
No existe constancia documental de casos de suplantación exitosos mediante plantillas biométricas robadas de bases de datos, dada la irreversibilidad del hash y la incompatibilidad entre algoritmos de diferentes fabricantes.
El CCN recomienda el uso de plantillas biométricas RBR (Renewable Biometric References) por su capacidad de revocabilidad y no interoperabilidad, aportando garantías de identidad real inalcanzables para contraseñas o tarjetas.
El futuro de la autenticación se dirige hacia sistemas híbridos que combinen criptografía post-cuántica, hardware seguro y biometría local. El Reglamento de IA excluye de la zona de alto riesgo aquellos sistemas destinados a la verificación biométrica cuyo único propósito sea confirmar la identidad declarada por una persona con su participación activa.
Caso de uso IA Farma 04 – Uso de la IA en ensayos clínicos. Análisis de riesgos del uso de un sistema de IA basado en PLN y aprendizaje automático en el reclutamiento, el diseño, la monitorización y la gestión de datos del ensayo clínico.
La sanción de 10 millones de euros a AENA por incumplimiento del artículo 35 del RGPD fija los criterios que debe cumplir una evaluación de impacto en protección de datos: RAT completo, gestión correcta del riesgo, juicios de idoneidad, necesidad y proporcionalidad por finalidad, y análisis documentado de alternativas.
