Pagar con la cara: qué cambia cuando la llave eres tú

Es tentador leerlo como una noticia de producto. No lo es. Un rostro usado para reconocer a una persona concreta no es una fotografía: es un dato biométrico dirigido a identificar de manera unívoca a una persona física, y el RGPD lo sitúa entre las categorías especiales del art. 9.1. La consecuencia práctica es que no basta una base del art. 6: hace falta además una de las condiciones del art. 9.2, y en el comercio minorista la realmente disponible es una sola, el consentimiento explícito de la letra a).

Ahí se abre la pregunta de verdad, que no es sobre Revolut sino sobre quien quiera copiar el modelo. El consentimiento vale si es libre, y libre significa que quien dice que no no pierde nada. Mientras junto a la caja biométrica haya una caja normal, la condición se sostiene. En el momento en que el rostro se convierte en la única manera de pagar, o en la que se salta la cola mientras la otra no, el consentimiento deja de ser base jurídica y pasa a ser una formalidad recogida bajo presión.

• Un identificador comprometido no se cambia. Una tarjeta se bloquea, una contraseña se reescribe, un rostro no. Por eso el art. 9 trata estos datos de otra forma, y no es un exceso de prudencia.
• La evaluación de impacto no es opcional: tratamiento a gran escala de categorías especiales, art. 35.3.b).
• Revocar debe ser tan fácil como adherirse, y la revocación debe producir un efecto verificable, no solo una casilla que cambia de estado.
• Siempre debe existir una alternativa efectiva al mismo precio y con la misma comodidad; si no, el consentimiento no es libre.

Para el DPD de un comercio al que se le proponga un sistema así, la pregunta que debe hacer al proveedor antes que ninguna otra es quién decide qué. Si el proveedor fija fines y medios y la tienda se limita a alojar el terminal, la tienda no es responsable de ese tratamiento; pero sigue siendo responsable de la decisión de instalarlo en sus locales, y debe informar a quien entra, garantizar la alternativa y saber dónde acaban las imágenes. «Los datos no los guardamos nosotros» es una respuesta sobre el dónde, no sobre el quién, y las dos cosas se confunden continuamente.

En el plano europeo los marcos se suman, no se sustituyen. El reglamento de inteligencia artificial no prohíbe la verificación uno a uno hecha con el consentimiento del interesado —la prohibición se refiere a la identificación biométrica remota en tiempo real en espacios de acceso público con fines de aplicación de la ley— pero sitúa igualmente los sistemas biométricos entre los regulados, con obligaciones propias que se suman al RGPD y no lo absorben. Experimentos similares ya ha habido en la Unión: Mastercard y PayEye probaron el pago biométrico en cinco tiendas Empik de Polonia en junio de 2024.

Qué llevarse, en concreto. Si un cliente pide una opinión sobre una caja que reconoce rostros, hay cuatro cosas que poner por escrito antes que nada: la condición del art. 9.2 en la que se apoya; la evaluación de impacto, hecha antes y no después de la instalación; los plazos de conservación distintos del modelo biométrico y de cualquier imagen conservada como respaldo; y la alternativa no biométrica, descrita de modo que se vea que nadie sale perdiendo al elegirla. Sin esas cuatro, la mejor información del mundo describe un tratamiento que no tiene una base sólida.