Jose Felgueroso
Abogado | Attorney
La vulneración de derechos reconocidos en la Ley sobre la Privacidad de la Información Biométrica de Illinois permite reparaciones incluso en ausencia de un daño adicional
info@josefelgueroso.com
2019-06-04
En un caso que implica la Ley sobre la Privacidad de la Información Biométrica de Illinois, el Tribunal Supremo de ese estado decidió unánimemente en enero que un demandante puede obtener compensación y medidas cautelares sin necesidad de alegar un daño aparte de la vulneración de esa ley.
Antecedentes
La tecnología biométrica se basa en métodos de identificación basados en características fisiológicas o biológicas únicas (por ejemplo, el ADN, las huellas dactilares y la voz). Esta tecnología proporciona beneficios, ya que puede ser utilizada para proteger datos y otorgar una capa adicional de seguridad. Pero también genera inquietudes acerca de cómo limitar su uso y distribución a aquellos que tengan una necesidad real; además, compañías y fuerzas de seguridad pueden utilizar información biométrica para seguir a personas de forma generalizada y subrepticia. Una característica que distingue la tecnología biométrica de otras formas de identificación es que si la información biométrica es comprometida (por ejemplo, como resultado de una filtración de datos), la información biométrica afectada no puede cambiarse.
La Ley sobre la Privacidad de la Información Biométrica ("BIPA" por sus iniciales en inglés), promulgada por la Asamblea General de Illinois en 2008, define la información biométrica como información basada en un identificador biométrico usado para identificar a una persona natural, con independencia de cómo haya sido recogida. BIPA exige el consentimiento informado de la persona antes de que se recoja su información biométrica, reconoce sólo un derecho limitado de revelación, incluye obligaciones de protección y directrices de retención, prohíbe el beneficiarse de información biométrica y crea un derecho privado de acción.
En este caso, Stacy Rosenbach demandó a Six Flags en nombre de Alexander, su hijo de 14 años. Six Flags opera un parque de atracciones en Gurnee, Illinois. Desde 2014, Six Flags recogió, grabó y almacenó las huellas dactilares de personas que querían comprar un pase de temporada para el parque. Alexander visitó el parque en 2014, después de que Rosenbach hubiera comprado un pase de temporada. Durante el proceso de registro en el control de seguridad del parque, se le pidió a Alexander escanear su pulgar en un sistema de captura de datos biométricos. Después, en el edificio administrativo del parque, Alexander obtuvo su pase de temporada. El parque no proporcionó ningún documento a Alexander, ni le informó acerca del fin de la recogida de la huella dactilar o durante cuánto tiempo sería almacenada. Ni Alexander ni Rosenbach proporcionaron su consentimiento escrito para la recogida, el almacenamiento, el uso o la revelación de la huella de su pulgar. Six Flags conservó la huella del pulgar de Alexander, pero no reveló ningún uso de esa huella ni durante cuánto tiempo la conservaría; además, Six Flags no tenía una política escrita públicamente accesible que especificara su calendario de retención.
Las partes no disputaban que una huella de pulgar y su versión electrónica fueran identificadores biométricos.
Historia procesal
Rosenbach presentó su demanda en un juzgado estatal de Illinois, y solicitó compensación y medidas cautelares basadas en BIPA, y también presentó una reclamación basada en la acción de derecho consuetudinario por enriquecimiento injusto. Al resolver la solicitud de desestimación de Six Flags, el juzgado de primera instancia desestimó la reclamación de Rosenbach basada en enriquecimiento injusto, pero rechazó la solicitud de desestimar sus reclamaciones basadas en BIPA. Six Flags presentó un recurso interlocutorio al tribunal estatal de apelaciones, el cual determinó que Rosenbach no era una persona "perjudicada" de acuerdo con BIPA, porque no había alegado ninguna lesión aparte de la vulneración de BIPA por parte de Six Flags. Rosenbach recurrió el Tribunal Supremo de Illinois (el "Tribunal").
La sentencia
La cuestión ante el Tribunal era si una persona que no alega un daño real aparte de una vulneración de BIPA puede obtener compensación y medidas cautelares. Rosenbach argumentó que Alexander podría obtener reparación basada en la vulneración de BIPA por parte de Six Flags, mientras que Six Flags argumentó que una persona que no alega un daño real no puede demandar basándose en BIPA.
La disputa se centró en el significado del término "perjudicado". BIPA no define este término, así que el Tribunal determinó que su significado popular debería ser utilizado. Según los precedentes del Tribunal, ser "perjudicado" significa "tener una queja sustancial; una denegación de algún derecho personal o patrimonial". Por otra parte, el diccionario Merriam-Webster Collegiate define el término como "sufrir una vulneración o denegación de derechos legales" y el diccionario Black's Law lo define como "tener derechos legales que resultan negativamente afectados". Además, según la Ley de Illinois sobre la Confidencialidad del SIDA, una persona perjudicada no necesita probar un daño real para obtener reparación; esa ley establece un derecho privado de acción por vulneraciones, en términos similares a los de BIPA.
Con BIPA, la Asamblea General de Illinois indicó que el uso de información biométrica está creciendo para fines comerciales y de seguridad. Además, indicó que los datos biométricos son distintos de otros identificadores únicos, porque son biológicamente únicos, y, una vez comprometidos, la persona no tiene recurso alguno. Partiendo de ese riesgo, BIPA exige notificación y consentimiento por parte de las personas antes de que se recoja su información biométrica, y fija una compensación preestablecida en caso de vulneración. En otras palabras, BIPA crea un incentivo para que quien recoja y almacene información biométrica evite que se originen problemas en primer lugar; según el Tribunal, exigir que una persona afectada por una filtración de datos biométricos espere a sufrir un daño real para obtener reparación sería contrario al fin preventivo de BIPA.
El Tribunal concluyó que si una persona o entidad vulnera BIPA y el demandante no alega una lesión real aparte de la vulneración de los derechos reconocidos en BIPA, el demandante es un perjudicado y puede obtener la compensación preestablecida y las medidas cautelares.
El Tribunal reenvió el caso al juzgado de primera instancia para trámites adicionales.
Relevancia de la sentencia
Estados Unidos no tiene una ley federal general acerca de la privacidad, pero en años recientes varios estados han promulgado leyes sobre la privacidad, tales como la Ley de California sobre la Privacidad de los Consumidores y otras leyes que abordan cuestiones relacionadas con la privacidad, tales como las filtraciones de datos y el robo de identidad.
Illinois promulgó BIPA para abordar daños asociados con la tecnología biométrica, cuyo uso está creciendo y cuyo impacto total todavía es desconocido. Al exigir notificación y el consentimiento informado de personas naturales antes de que su información biométrica sea recogida, BIPA evita la vigilancia biométrica subrepticia y permite a las personas la oportunidad de obtener pleno conocimiento acerca de los riesgos potenciales de compartir su información biométrica. Al incluir una compensación preestablecida, BIPA crea un incentivo para el cumplimiento y una medida reparatoria para las personas cuya información biométrica ha sido recogida, especialmente teniendo en cuenta la dificultad de descubrir y probar un daño real si la información biométrica resulta comprometida, por ejemplo como resultado de una filtración de datos.