Guía
Firma biométrica y datos personales: qué exige la Ley 25.326
Los datos biométricos captados al firmar son datos personales alcanzados por la Ley 25.326, y la Agencia de Acceso a la Información Pública los trata como sensibles cuando permiten identificar unívocamente a una persona. En la práctica eso exige tres cosas: consentimiento libre, expreso e informado antes de la captura; cifrado de los datos dinámicos de modo que sólo puedan abrirse en una pericia; y un plazo de conservación atado a la finalidad, no indefinido.
Antes de discutir tabletas hay una pregunta que define el proyecto: los datos del trazo son datos personales, y la Ley 25.326 los alcanza. La Agencia de Acceso a la Información Pública los trata con el recaudo de los sensibles cuando identifican unívocamente a una persona, que es para lo que sirven.
El problema: se implementa primero y se pregunta después
El patrón se repite. Se compra la solución, se firma durante un año, y recién con una auditoría aparecen las tres preguntas que nadie hizo: con qué consentimiento se captura, quién puede abrir esos datos y hasta cuándo se guardan.
Las tres son mucho más baratas antes que después: rehacer el circuito de consentimiento con doce meses de firmas tomadas es una migración, no un ajuste.
Cómo se resuelve
Consentimiento previo, expreso e informado. Previo significa antes de la captura, e informado significa que la persona sepa que no se guarda sólo la imagen de la firma. Un cartel en la pared no alcanza, y una cláusula al dorso del contrato que se firma con esa misma firma tampoco: tiene que poder acreditarse por separado.
Clave fuera del alcance de la empresa. Los datos del trazo se cifran al capturarlos y la clave queda en poder de un tercero o de un escribano. Así una filtración de la base de contratos no es una filtración de biometría.
Plazo atado a la finalidad. Para un contrato suele alinearse con la prescripción de las acciones que puedan derivarse. "Para siempre por las dudas" contradice el principio de finalidad.
Lo que es tuyo y no del proveedor
Inscribir la base en el Registro Nacional de Bases de Datos de la AAIP es obligación del responsable —la empresa—, no de quien vende el software. Es el punto que más se olvida, porque todos asumen que viene incluido.
Cómo te ayudamos
Armamos la implementación y el circuito legal juntos: el consentimiento, la custodia de la clave y el plazo se definen antes de la primera firma. Separarlos es lo que produce el retrabajo.
El panorama legal completo está en qué validez tiene la firma biométrica.
Preguntas frecuentes
¿Hay que registrar la base de datos biométricos ante la AAIP?
Sí. La Ley 25.326 obliga a inscribir las bases de datos personales en el Registro Nacional de Bases de Datos que lleva la Agencia de Acceso a la Información Pública. La obligación es del responsable de la base —la empresa— y no del proveedor del software de firma.
¿Cuánto tiempo se pueden conservar los datos biométricos de una firma?
El tiempo necesario para la finalidad que justificó la recolección. Para un contrato, eso suele alinearse con el plazo de prescripción de las acciones que puedan surgir de él. Conservarlos por tiempo indeterminado contradice el principio de finalidad de la Ley 25.326.
¿Se puede firmar biométricamente sin consentimiento previo?
No. El consentimiento tiene que ser libre, expreso e informado, y obtenerse antes de la captura. Además debe poder acreditarse de forma independiente del documento que se firma con esa misma firma.
¿El proveedor de firma biométrica puede acceder a los datos del trazo?
No debería. En una implementación correcta el vector biométrico se cifra en el momento de la captura con una clave pública, y la privada queda fuera del alcance tanto del proveedor como de la empresa, habilitándose sólo ante una pericia.
Fuentes