Cada expediente que entra en NormaBio sigue la misma secuencia. No es un formulario que se rellena y se archiva: hay revisiones intermedias, una fase de contraste con el marco aplicable y un documento final que el cliente puede presentar ante su comité legal o su autoridad de control.
Recogemos el supuesto concreto: qué tecnología se quiere desplegar, en qué espacio opera y qué datos trata. Una cámara con reconocimiento facial en una estación de tren no plantea las mismas obligaciones que un lector de huella en un control de acceso corporativo. En esta fase descartamos los casos que no encajan con nuestro alcance y acordamos por escrito qué queda dentro del encargo.
Solicitamos la documentación técnica del proveedor, los informes de pruebas del sistema y, si existen, las evaluaciones previas de impacto. Contrastamos ese material con el RGPD, con la normativa sectorial aplicable y con los estándares ISO/IEC pertinentes. Aquí suelen aparecer las primeras lagunas: certificados caducados, métricas PAD mal interpretadas o ausencia de análisis de sesgo.
Cuando el caso lo requiere, encargamos o coordinamos pruebas con un laboratorio externo. Se revisan tasas de error por subgrupo demográfico, resistencia a ataques de presentación y condiciones reales de captura. No aceptamos cifras globales sin desglose: una precisión del 99 % puede esconder disparidades importantes entre grupos.
Enviamos un borrador de hallazgos y lo discutimos con quien asume la responsabilidad legal del sistema. Este paso sirve para corregir lecturas erróneas, incorporar contexto operativo que no aparece en los documentos y acordar qué recomendaciones son viables y cuáles exigen rediseñar el despliegue.
El resultado es un informe con la evaluación de conformidad, las no conformidades detectadas y una propuesta de medidas correctoras ordenadas por prioridad. Incluye referencias normativas concretas para que el documento pueda sostenerse ante una inspección o integrarse en una evaluación de impacto más amplia.
Los sistemas biométricos cambian: se actualizan modelos, se añaden cámaras, se modifican los umbrales. Recomendamos una revisión semestral del dictamen y avisamos cuando una norma relevante se modifica. Si el cliente lo solicita, acompañamos la respuesta a requerimientos de la autoridad de control.
Todo el proceso se documenta por escrito. Los expedientes se conservan bajo acuerdo de confidencialidad y no se comparten con terceros sin autorización expresa del cliente.
Cada bloque responde a una obligación concreta: desde la base legal del tratamiento biométrico hasta la revisión periódica del sistema ya desplegado. No es una lista de intenciones, sino el trabajo que un equipo de cumplimiento tiene que poder demostrar ante una auditoría.
Antes de instalar cualquier lector biométrico hay que justificar la necesidad, descartar alternativas menos invasivas y documentar la evaluación de impacto relativa a la protección de datos. Redactamos esa justificación con el nivel de detalle que exige una autoridad de control.
Un sistema que no supera ataques de presentación no sirve por muy alta que sea su tasa de acierto. Coordinamos ensayos con máscaras, vídeos y réplicas digitales siguiendo los niveles de esfuerzo de la ISO/IEC 30107 y contrastamos los informes que entregan los proveedores.
Las tasas globales esconden diferencias entre grupos demográficos. Definimos conjuntos de prueba estratificados, medimos disparidad en falsos positivos y negativos, y dejamos por escrito qué umbral se considera aceptable para cada caso de uso urbano o corporativo.
Un despliegue no termina el día de la puesta en marcha. Fijamos calendario de revisiones, responsables internos, registro de incidentes y criterios de suspensión del sistema si los indicadores se salen del rango previsto.
Señalización en el espacio vigilado, información comprensible sobre el tratamiento y canales para ejercer derechos. La trazabilidad de quién accede a los datos y con qué motivo forma parte del mismo paquete.
Cláusulas de encargado del tratamiento, retención de plantillas biométricas, portabilidad al cambiar de suministrador y obligaciones de notificación de brechas. Revisamos la letra pequeña antes de firmar.
Comentarios de responsables de cumplimiento, auditores y equipos técnicos que han pasado por una revisión de sistemas biométricos en entorno urbano o corporativo. Sin valoraciones genéricas: cada nota describe qué se midió, qué se corrigió y qué quedó pendiente.
Llegamos a la auditoría con un informe del proveedor que daba una tasa de error global del 0,3 %. Al estratificar por edad y tono de piel, la disparidad en falsos positivos se multiplicaba por cuatro en el subgrupo de mayor edad. Rehicimos el conjunto de pruebas con imágenes propias del municipio y ajustamos el umbral. La lección fue clara: una métrica agregada no sirve para decidir.
Preparamos la licitación de reconocimiento facial en dos accesos y el pliego exigía certificado PAD. Ningún proveedor presentó los valores APCER y BPCER por separado. Tuvimos que pedir pruebas adicionales con máscaras de silicona y vídeos de reproducción. El proceso se alargó tres meses, pero evitamos adjudicar a ciegas.
La revisión semestral nos pilló con el modelo ya en producción. Detectamos que el conjunto de validación original no incluía personal con gafas graduadas, algo habitual en la plantilla. Reentrenamos con muestras reales de los turnos de noche y la tasa de rechazo legítimo bajó sin tocar el umbral de seguridad. Ahora la auditoría es trimestral.
Nos pidieron justificar el consentimiento explícito para identificar a visitantes en recepción. Revisamos el artículo 9 del RGPD y concluimos que el consentimiento no era viable: hay relación de subordinación con el personal y los visitantes no tienen alternativa real. Cambiamos a un sistema de tarjeta con verificación manual y dejamos la biometría solo para accesos críticos.
El proveedor afirmaba cumplir ISO/IEC 30107 nivel 2. Al pedir el informe completo, el ensayo se había hecho con un único tipo de ataque y sin deepfakes generados con modelos actuales. Repetimos las pruebas con un tercero independiente y el sistema bajó a nivel 1. No era fraude, era un certificado antiguo mal interpretado por comercial.