TC Transcontinental utilizó el reconocimiento facial ilegalmente en una de sus plantas de impresión, dictaminó la Comisión de Acceso a la Información. Se trata de una decisión poco común sobre el uso de la biometría, la primera desde el fortalecimiento legislativo en 2022.
“Esta es una llamada de atención para las empresas”, señala Antoine Guilmain, codirector del grupo de práctica nacional de Ciberseguridad y Protección de Datos de Gowling WLG. “Son sólo los 10mi decisión y el 5mi Orden de la Comisión sobre biometría desde 2000”.
En 2020, en el contexto de la pandemia de COVID-19, Imprimeries Transcontinental instaló, en su fábrica de Beauceville, en Chaudière-Appalaches, un sistema de autenticación con dos funcionalidades, una de reconocimiento facial y otra de medición de la temperatura. Todo ello para “limitar los riesgos de propagación del virus”.
Tras la crisis sanitaria sólo se utilizó la herramienta de reconocimiento facial para controlar las idas y venidas. En una decisión dictada en diciembre, aunque pasó desapercibida, la Comisión de Acceso a la Información (CAI) consideró que la empresa “no ha demostrado la necesidad” de recopilar esta información personal para lograr su objetivo de seguridad y salud. .
Según el Ley de protección de datos personales en el sector privado (o Ley de Privacidad), los organismos públicos y las empresas privadas que recopilan “información personal sensible” deben garantizar que esta recopilación sea “necesaria”.
METROmi Guilmain subraya que el empresario obtuvo el consentimiento de los empleados para recoger sus datos biométricos.
Este es otro recordatorio de la Comisión: obtener el consentimiento no cambia el criterio de necesidad.
METROmi Antoine Guilmain, codirector del grupo de práctica nacional de ciberseguridad y protección de datos de Gowling WLG
Desde septiembre de 2022, cualquier creación de un banco de características o mediciones biométricas en Quebec debe “divulgarse a más tardar 60 días antes de su puesta en servicio”. Este nuevo plazo ha sido objeto de una modificación del Ley sobre el marco jurídico de las tecnologías de la información.
TC Transcontinental dice que le dio la espalda al reconocimiento facial en agosto de 2024, unas semanas antes de la decisión que exigía la destrucción de los datos recopilados. A partir de ahora, “ninguna de nuestras 15 fábricas canadienses utiliza esta forma de identificación”, asegura François Taschereau, vicepresidente de comunicación corporativa y asuntos públicos.
¿Amenazas terroristas?
Además de las razones de salud, TC Transcontinental expresó su deseo de respetar los requisitos de la certificación “Aduanas-Comercio Asociación Contra el Terrorismo” (CTPAT), que rige la seguridad de las cadenas de suministro del sector privado con respecto a las amenazas terroristas. .
La Comisión responde que el uso del reconocimiento facial es un medio entre otros para cumplir con la certificación, y no una obligación. “El estándar CTPAT prevé otros medios menos intrusivos en materia de privacidad que permitirían alcanzar el objetivo de controlar el acceso a las instalaciones de la empresa”, se puede leer en la decisión.
¿Por qué no optar por simples “tarjetas de identificación”? Estos “incluyen[nt] riesgos de compartir o copiar tarjetas, además de conducir a una mayor gestión interna en casos de pérdida y cambio de estas tarjetas”, argumentó Imprimeries Transcontinental en respuesta a la Comisión de Acceso a la Información.
Estas desventajas son un problema común en la gestión de una empresa, según la Comisión. En cuanto a los riesgos invocados, no constituyen “una situación real ni una justificación suficiente”, sostiene.
La decisión del comité de vigilancia es coherente con las posiciones de principio del CAI, según el abogado Antoine Guilmain, que sigue atentamente los expedientes biométricos. “Tenemos un escenario en el que queremos utilizar la biometría en un contexto de impresión, para todos los empleados y en todas las instalaciones. Es bastante especial”, afirma.
Fuerte crecimiento
La información biométrica “tiene un carácter inmutable que la convierte en información especialmente sensible en caso de incidente de confidencialidad y el uso malicioso de esta información puede tener graves consecuencias para las personas interesadas”, recuerda la CAI en su decisión contra Imprimeries Transcontinental.
Esto ocurre en un momento en que el uso de bancos de mediciones biométricas está creciendo con fuerza en Quebec. Durante el ejercicio 2023-2024, 124 entidades declararon la recopilación de datos tan sensibles, un 60 % más que el año anterior (78), según datos de la Comisión revelados por La prensa octubre pasado.
Desde 2022, el organismo gubernamental está preocupado por una “cierta trivialización” de las implicaciones de la biometría en términos de protección de la información personal.
La última decisión del CAI al respecto se remonta a 2022, cuando el Auberge du lac Sacacomie se vio obligado a dejar de recopilar la forma de los rostros de sus empleados, además de tener que destruir los datos que había recopilado.
