Multan al BCP con S/ 289,800 por uso indebido de datos biométricos

El Banco de Crédito del Perú (BCP) fue sancionado con una multa de S/ 289,800 por parte de la Autoridad Nacional de Protección de Datos Personales (ANPD), adscrita al Ministerio de Justicia y Derechos Humanos (MINJUSDH), por el tratamiento indebido de datos biométricos faciales de usuarios que utilizaban el Libro de reclamaciones virtual.

Infracciones confirmadas

La ANPD determinó que el BCP infringió las normas de protección de datos al:

1. Recolectar datos biométricos de manera excesiva y desproporcionada, afectando la privacidad de los usuarios. Esta acción resultó en una multa de S/ 124,200 (27 UIT).
2. Almacenar los datos biométricos sin el consentimiento válido de los usuarios en su base de datos, lo que derivó en una segunda sanción de S/ 165,600 (36 UIT).

Ambas infracciones fueron confirmadas en segunda instancia y las sanciones se calcularon considerando el valor de la UIT en el año de la infracción.

Riesgos de los datos biométricos

Los datos biométricos, como las características faciales, son sensibles debido a su carácter único e inalterable. Según la Ley y el Reglamento de Protección de Datos Personales, su tratamiento implica riesgos como la afectación a la privacidad o el acceso restringido a servicios, por lo que su manejo debe ser estrictamente necesario, pertinente y adecuado para fines específicos.

Medidas correctivas impuestas

Además de las multas, la ANPD ordenó al BCP:

• Eliminar los datos biométricos recolectados a través del Libro de reclamaciones virtual.
• Suspender de inmediato el almacenamiento y uso de patrones biométricos faciales en futuras operaciones.

La ANPD enfatizó que las entidades financieras deben optar por mecanismos de validación menos intrusivos y garantizar que el tratamiento de datos personales esté alineado con finalidades explícitas y lícitas.

Compromiso con la protección de datos

El MINJUSDH, a través de la ANPD, reafirma su compromiso con la protección de los datos personales en el Perú y recuerda a los ciudadanos que pueden denunciar cualquier vulneración de sus derechos a través de su Mesa de Partes virtual o llamando al 204-8020, anexo 2410.

Este caso marca un precedente importante en la regulación del tratamiento de datos sensibles en el país y refuerza la necesidad de que las instituciones cumplan con los estándares legales establecidos.