En las últimas semanas, la prestigiosa firma ARPA Abogados Consultores, con más de 30 años de experiencia en el asesoramiento jurídico, económico, fiscal y de consultoría, a encargo de Veridas, ha completado una Evaluación de Impacto de Protección de Datos (EIPD) para nuestra solución de biometría de voz.
Los resultados obtenidos han sido los esperados, habiendo superado la EIPD con creces, lo que confirma que la solución como tal es segura y permite el tratamiento de los datos biométricos de voz con todas las garantías.
Esto, si bien tiene un alcance limitado por sí solo (más adelante explicamos por qué), es en todo caso una herramienta que aporta valor, utilidad y seguridad para nosotros y nuestros clientes. Cualquier empresa que desee implementar soluciones biométricas, en este caso de voz, y por ende necesite superar una Evaluación de Impacto de Protección de Datos, tendrá gran parte del trabajo realizado si cuenta con una solución puntera de biometría de voz que como la de Veridas.
Esta evaluación se enmarca dentro del compromiso explícito y continuo de Veridas con la protección de datos, el cumplimiento riguroso de toda legislación vigente, la transparencia y la auditabilidad. Nuestras soluciones son privadas por diseño y por defecto, y esto no deja de ser una muestra más de ello.
¿Qué es una Evaluación de Impacto de Protección de Datos (EIPD)?
Una Evaluación de Impacto de Protección de Datos es una de las herramientas básicas para certificar el cumplimiento de la normativa de Protección de Datos. En la Unión Europea se encuentra definida en los artículos 35 y siguientes del Reglamento General de Protección de Datos (RGPD) y complementada por algunos de sus Considerandos, así como por normas a nivel estatal como la española Ley Orgánica de Protección de Datos y Garantía de Derechos Digitales (LOPDGDD).
¿Qué diferencia hay entre una Evaluación de Impacto y un Análisis de Riesgo?
No debe confundirse una Evaluación de Impacto con un Análisis de Riesgos. Por principio, antes de iniciar cualquier actividad que conlleve el tratamiento de datos personales, será necesario realizar lo que se conoce como un Análisis de Riesgos, que, en resumen, implica un estudio concreto de las medidas a aplicar para garantizar, dentro de lo que permite el estado del arte, la máxima seguridad de los datos.
En cambio, la Evaluación de Impacto de Protección de Datos implica un análisis más en profundidad de las condiciones de seguridad que configuran un tratamiento o conjunto de tratamientos de datos personales, así como el grado de cumplimiento con la normativa aplicable, incluso llegando a ser obligatoria en aquellos casos en los que el tratamiento pueda generar un alto riesgo para los datos personales.
En la práctica, el Análisis de Riesgos es necesario siempre, y será a su vez una parte del estudio que requiere una Evaluación de Impacto de Protección de Datos, cuando ésta se realice.
La Evaluación de Impacto de Veridas para su Solución de Autenticación Biométrica por Voz
En el caso de Veridas, del Análisis de Riesgos que llevó a cabo para sus soluciones se desprendió que, atendiendo a los criterios establecidos por la Agencia Española de Protección de Datos (AEPD), el uso de la solución no implica necesariamente un alto riesgo para los derechos de las personas, por lo que en este caso no era necesaria la realización de una EIPD. En cualquier caso, cada Responsable deberá analizar, antes de poner en marcha el tratamiento, si el empleo de esta solución en su caso de uso concreto requiere o no llevar a cabo una Evaluación de Impacto.
Desde Veridas decidimos realizar una EIPD para nuestra solución de biometría de voz, de forma voluntaria, con la convicción de que es adecuado para dotarla de más transparencia. Esta decisión se enmarca dentro de la apuesta firme de la compañía, desde sus inicios, por situarse a la cabeza de la confiabilidad y transparencia de todas sus soluciones biométricas.
En esta Evaluación de Impacto de Protección de Datos se ha analizado el grado de cumplimiento de nuestra solución de biometría de voz con la normativa de Protección de Datos, y de la que se derivan diversas conclusiones:
La importancia del contexto para poder determinar el alcance
En primer lugar, nuestra solución de biometría de voz es una solución diseñada para ser integrada en un sistema ajeno, por lo que el alcance de la Evaluación de Impacto que hemos realizado es, en sí misma, limitada. Dicho de otro modo, en situaciones de uso real, la solución va a formar parte de un sistema mayor, con los controles, medidas de seguridad y procedimientos que determinen nuestros clientes. Por ello, como se ha mencionado más arriba, será el caso de uso concreto el que determinará si es necesaria, o no, la realización de una Evaluación de Impacto de Protección de Datos que analice el sistema al completo.
Veridas como encargado del tratamiento y no responsable
Por otro lado, es también importante recordar que Veridas actúa como Encargado del Tratamiento al prestar sus servicios y licenciar sus soluciones. Esto implica que, en relación con lo mencionado, si un tratamiento concreto de un cliente requiriese, por sus características, la realización de una EIPD, la obligación correspondería al cliente, como Responsable del Tratamiento. En este sentido, la Evaluación de Impacto de Protección de Datos realizada por Veridas puede servir de apoyo para facilitar su realización, pero, dado su limitado alcance, no podrá sustituir a una Evaluación de Impacto completa.
La biometría de voz de Veridas cumple con todos los requisitos legales
En esencia, la Evaluación de Impacto de Protección de Datos realizada determina que la solución de biometría de voz de Veridas “cumple con los requisitos legalmente exigibles y también con las garantías que exige la Agencia Española de Protección de Datos”, considerando, por tanto, que el tratamiento que se realiza de los datos personales es adecuado para la finalidad que se persigue.
Se destaca, en este sentido, la importancia de que los clientes de Veridas analicen la necesidad de realizar una EIPD en función de su caso de uso específico y, en caso de que se deba llevar a cabo la Evaluación, hacerla para “el conjunto del servicio que va a prestar al usuario”, del que la solución de Veridas sólo es una parte.
También es relevante destacar la referencia que se hace a los controles que tiene implementados Veridas, desde la ISO 27001 o la certificación del Esquema Nacional de Seguridad, a evaluaciones voluntarias en el National Institute of Standards and Technology, NIST (con resultados propios de una solución líder en el mercado) o la obtención de la segunda posición en el ránking del Short-duration Speaker Verification Challenge de 2020, así como el resto de controles a nivel técnico y organizativo, “que se consideran adecuados para que el tratamiento de datos se pueda realizar”.
Este logro reciente se suma a otros tantos en la línea de la transparencia y la certificación, como por ejemplo habernos convertido en empresa pionera en el cumplimiento de los principios éticos de nuestra IA o seguir a la cabeza de las evaluaciones del NIST, tanto de biometría facial como de biometría de voz.
![[DEMO GRATUITA]: Descubre cómo funciona nuestra tecnología en vivo](png/f0ff3583-e225-40f1-9e82-8cdc59dfbf9c.png)
