Sistemas biométricos en el proceso penal: el reconocimiento facial basado en inteligencia artificial

Trabajo Fin de Grado de Derecho Doble grado ADE y Derecho Año académico 2024/2025 SISTEMAS BIOMÉTRICOS EN EL PROCESO PENAL: EL RECONOCIMIENTO FACIAL BASADO EN INTELIGENCIA ARTIFICIAL Trabajo realizado por: María Aguiriano López Dirigido por: Miren Josune Pérez Estrada 2 RESUMEN El uso de sistemas biométricos que incorporan inteligencia artificial puede ser de gran utilidad en ámbitos muy diversos, y el ámbito penal no es una excepción. No obstante, debe cumplirse de forma estricta la normativa aplicable al uso de estas tecnologías, debido a que su empleo conlleva el tratamiento de una categoría especial de datos personales: los datos biométricos. En este sentido, será necesario analizar la normativa vigente relativa a los derechos fundamentales, la protección de datos personales y la inteligencia artificial. En particular, el reconocimiento facial basado en inteligencia artificial permite identificar y autentificar a las personas físicas, e incluso categorizarlas o reconocer sus emociones. Por ello, su uso durante la fase de investigación penal puede resultar útil en términos de eficacia de las actuaciones policiales y jurisdiccionales, con el fin de servir como prueba posteriormente. Sin embargo, además de los riesgos relativos a la precisión de la tecnología y la calidad de los datos, su empleo en el contexto de un proceso penal tiene implicaciones para los derechos fundamentales y garantías procesales, en especial, el derecho a la protección de datos personales, el derecho a la igualdad y no discriminación, y el derecho a la tutela judicial efectiva. Palabras clave: sistemas biométricos, reconocimiento facial, inteligencia artificial, proceso penal, investigación penal, datos biométricos, derechos fundamentales. LABURPENA Adimen artifiziala duten sistema biometrikoak erabiltzea oso erabilgarria izan daiteke askotariko eremuetan, eta zigor-arloa ez da salbuespena. Hala ere, zorrotz bete behar da teknologia horien erabilerari aplikatu beharreko araudia, honek berarekin baitakar datu pertsonalen kategoria berezi bat tratatzea: datu biometrikoak. Honi dagokionez, oinarrizko eskubideei, datu pertsonalen babesari eta adimen artifizialari buruz indarrean dagoen araudia aztertu beharko da. Zehazki, adimen artifizialean oinarritutako aurpegiak ezagutzeko sistemak pertsona fisikoak identifikatzea eta autentifikatzea ahalbidetzen du, baita haiek kategorizatzea edo haien emozioak ezagutzea ere. Hori dela eta, ikerketa penalaren fasean erabiltzea baliagarria izan daiteke jarduketa polizial eta jurisdikzionalen eraginkortasunari dagokionez, ondoren froga gisa erabiltzeko. Hala ere, teknologiaren zehaztasunari eta datuen kalitateari buruzko arriskuez gain, prozesu penal baten 3 testuinguruan datu horiek erabiltzeak ondorioak ditu oinarrizko eskubideetan eta prozesuko bermeetan, bereziki datu pertsonalen babeserako eskubidean, berdintasunerako eta diskriminaziorik ezaren eskubidean eta babes judizial eragingarrirako eskubidean. Hitz-gakoak: sistema biometrikoak, aurpegiak ezagutzeko sistema, adimen artifiziala, zigor-arloko prozesua, zigor-arloko ikerketa, datu biometrikoak, oinarrizko eskubideak. ABSTRACT The use of artificial intelligence powered biometric systems can result very useful in a great range of areas, and the criminal field is no exception. However, the regulations applicable to the use of these technologies must be strictly complied, since their use involves the processing of a special category of personal data: biometric data. With regard to this, it will be necessary to analyse the existing rules on fundamental rights, personal data protection and artificial intelligence. Particularly, facial recognition based on artificial intelligence enables to identify and authenticate people, and even to categorise them or recognise their emotions. Therefore, its use during the criminal investigation may be useful as to the effectiveness of police and judicial proceedings, aiming to be valid as evidence at a later stage. However, in addition to the risks related to the accuracy of the technology and the quality of data, their use in criminal proceedings has implications for fundamental rights and procedural guarantees, especially the right to the protection of personal data, the right to equality and non-discrimination, and the right to an effective judicial protection. Keywords: biometric systems, facial recognition, artificial intelligence, criminal proceedings, criminal investigation, biometric data, fundamental rights. 4 ÍNDICE 1. Introducción………………………………………………………………………………………8 2. Aproximación conceptual……………………………………………………………………...10 2.1. Biometría y datos biométricos…………………………………………………………..10 2.2. Inteligencia artificial……………………………………………………………………...12 2.3. Sistemas biométricos basados en inteligencia artificial……………….……………..13 3. Marco normativo general de la protección de datos personales……………………...……14 3.1. Marco general de los derechos fundamentales………………………….……………14 3.2. Reglamento general de protección de datos personales………………….…………18 3.2.1. Principios relativos al tratamiento de datos personales…………………..……18 3.2.2. Exigencias adicionales para los sistemas biométricos………………...………22 4. Marco normativo de los sistemas biométricos en el ámbito penal…………………………24 4.1. Directiva de protección de datos personales en el ámbito penal, transpuesta al Ordenamiento Jurídico español por la Ley Orgánica 7/2021, de 26 de mayo…..………24 4.1.1. Tratamiento de datos personales para fines penales……………….…………24 4.1.2. Exigencias adicionales para los sistemas biométricos………………...………27 4.1.3. Derechos del interesado………………………….………………………………28 4.2. Regulación de la inteligencia artificial…………………..………………………………30 4.2.1. Reglamento de inteligencia artificial (RIA).……………..………………………30 4.2.2. Adopción de decisiones automatizadas según la normativa de protección de datos personales………………………………………………………………………….34 4.2.3. Real decreto-ley 6/2023, en materia del servicio público de justicia……..….36 5. El uso del reconocimiento facial que incorpora inteligencia artificial en la investigación penal………………………………………………………………………………………………..37 5.1. Precisión de la tecnología y calidad de los datos…………………………………..…42 5.2. Implicaciones del reconocimiento facial en el proceso penal: derechos fundamentales y garantías procesales……………………………………………………..44 5.2.1. Derecho a la protección de datos personales………………………..…………45 5.2.2. Derecho a la igualdad y la no discriminación……………………………………47 5.2.3. Derecho a la tutela judicial efectiva………………………………………………50 5.2.3.1. La tutela judicial efectiva como derecho de acceso a los tribunales………………………………………………………………………….51 5.2.3.2. El derecho a un proceso con todas las garantías…………...……….53 5 5.2.3.2.1. Derechos a utilizar los medios de prueba pertinentes para la defensa y a la asistencia letrada…………………….………………54 5.2.3.2.2. Derechos a ser informado de la acusación y a la presunción de inocencia……………………………………………………...………56 5.2.3.2.3. Derechos a no confesarse culpable y a no declarar contra sí mismo………………………………………………….………………58 6. Conclusiones…………..………………………………………………….……………………59 7. Bibliografía, legislación y jurisprudencia………………………………………………..……62 6 ABREVIATURAS AEPD: Agencia Española de Protección de Datos CCTV: Circuito Cerrado de Televisión CDFUE: Carta de los Derechos Fundamentales de la Unión Europea CEDH: Convenio Europeo para la Protección de los Derechos Humanos y de las Libertades Fundamentales CEPD: Comité Europeo de Protección de Datos Directiva (UE) 2016/680: Directiva (UE) 2016/680 del Parlamento Europeo y del Consejo de 27 de abril de 2016 relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por parte de las autoridades competentes para fines de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales, y a la libre circulación de dichos datos y por la que se deroga la Decisión Marco 2008/977/JAI del Consejo FFCCSS: Fuerzas y Cuerpos de Seguridad IA: Inteligencia Artificial LECrim: Real Decreto de 14 de septiembre de 1882 por el que se aprueba la Ley de Enjuiciamiento Criminal LOPDGDD: Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales LOPDPP: Ley Orgánica 7/2021, de 26 de mayo, de protección de datos personales tratados para fines de prevención, detección, investigación y enjuiciamiento de infracciones penales y de ejecución de sanciones penales LOPJ: Ley Orgánica 6/1985, de 1 de julio, del Poder Judicial RD-L 6/2023: Real Decreto-ley 6/2023, de 19 de diciembre, por el que se aprueban medidas urgentes para la ejecución del Plan de Recuperación, Transformación y Resiliencia en materia de servicio público de justicia, función pública, régimen local y mecenazgo 7 RGPD: Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, y por el que se deroga la Directiva 95/46/CE RIA: Reglamento (UE) 2024/1689 del Parlamento Europeo y del Consejo, de 13 de junio de 2024, por el que se establecen normas armonizadas en materia de inteligencia artificial y por el que se modifican los Reglamentos (CE) nº 300/2008, (UE) nº 167/2013, (UE) nº 168/2013, (UE) 2018/858, (UE) 2018/1139 y (UE) 2019/2144 y las Directivas 2014/90/UE, (UE) 2016/797 y (UE) 2020/1828 STC: Sentencia del Tribunal Constitucional STEDH: Sentencia del Tribunal Europeo de Derechos Humanos STJUE: Sentencia del Tribunal de Justicia de la Unión Europea TC: Tribunal Constitucional TEDH: Tribunal Europeo de Derechos Humanos TJUE: Tribunal de Justicia de la Unión Europea UE: Unión Europea 8 1. INTRODUCCIÓN Los sistemas biométricos están adquiriendo un mayor protagonismo en todo el mundo en una amplia variedad de ámbitos, y el ámbito penal no es una excepción. El uso de estos sistemas plantea numerosos interrogantes, especialmente en lo relativo a su impacto sobre los derechos fundamentales de las personas. Entre ellos, el derecho a la protección de datos de carácter personal ha adquirido una relevancia central, ya que estas tecnologías implican el tratamiento de datos personales altamente sensibles. Además, el derecho a la igualdad y no discriminación también se ve comprometido debido a problemas recurrentes en la calidad de los datos y los sesgos algorítmicos que afectan la precisión de estas herramientas. A todo ello se añade el avance de la inteligencia artificial, la cual ha impulsado el desarrollo de nuevas aplicaciones biométricas, y al mismo tiempo, ha agravado los riesgos asociados a su uso. En el contexto de un proceso penal, el uso de sistemas biométricos puede ser de gran utilidad, pues su uso facilita tanto la prevención como la investigación y persecución de delitos. Si bien estas tecnologías están revolucionando los métodos tradicionales de investigación criminal, también tienen repercusiones negativas en derechos fundamentales y garantías procesales, lo que genera preocupaciones sobre su compatibilidad con los principios básicos del Estado de Derecho. De hecho, la incorporación de herramientas que se basan en inteligencia artificial ya es uno de los mayores retos del ámbito procesal, pues debe hacerse siempre desde el respeto a los derechos fundamentales procesales y las garantías constitucionales del proceso. En particular, la tecnología de reconocimiento facial utilizada para fines penales está generando cierta preocupación, especialmente aquella basada en inteligencia artificial, habiéndose consolidado como una de las aplicaciones tecnológicas más disruptivas en este ámbito. Si bien estos sistemas permiten capturar y analizar características únicas de las personas físicas mediante algoritmos avanzados, lo cual puede optimizar la fase de investigación penal, su implementación no está exenta de controversias, sobre todo cuando se trata de equilibrar la utilidad de estas herramientas con la protección de los derechos fundamentales y las garantías procesales. En la Unión Europea, a pesar de que los casos reales de implementación del reconocimiento facial en el ámbito penal todavía son limitados, se han desarrollado numerosas pruebas y planes para su despliegue. 9 El presente trabajo tiene como objetivo analizar las implicaciones más relevantes del uso de sistemas biométricos en el contexto del proceso penal, con un enfoque específico en el reconocimiento facial basado en inteligencia artificial durante la fase de investigación. En primer lugar, se realiza una aproximación conceptual que detalla las características y tipos de biometría y su interacción con la inteligencia artificial, estableciendo un marco técnico con las bases para comprender el funcionamiento de estas tecnologías, sus ventajas, y sus limitaciones y riesgos. En segundo lugar, se analiza el marco normativo general relativo al tratamiento de datos de carácter personal, desde una perspectiva del derecho a la protección de datos personales como derecho fundamental, así como se estudiará la normativa vigente de protección de datos personales a nivel de España y de la Unión Europea. A continuación, se analizan las particularidades normativas de la protección de datos personales en el ámbito penal, que incluye el tratamiento de datos biométricos por las autoridades judiciales y policiales, seguido de la regulación relativa a la inteligencia artificial y el uso de ésta por la Administración de Justicia. En la parte final, y tras una explicación de la tecnología de reconocimiento facial como un tipo de sistema biométrico, se examinan las implicaciones para el proceso penal de su uso durante la fase de investigación, en particular, su impacto sobre las garantías procesales y derechos fundamentales a la protección de datos personales, la igualdad y no discriminación, y la tutela judicial efectiva. El propósito de este trabajo es conocer los beneficios y potenciales riesgos en el contexto procesal penal a la hora de implementar los sistemas biométricos, en general, y el reconocimiento facial, en particular. Este análisis busca ofrecer una visión sobre la viabilidad y los principales desafíos legales que plantea la integración de estas tecnologías en la fase de investigación, subrayando la importancia de un marco regulatorio adecuado que permita aprovechar sus ventajas sin comprometer los derechos fundamentales de las personas, así como la necesidad de tomar las medidas pertinentes por parte del responsable del tratamiento de los datos biométricos. 16 fundamentales debe: 1) estar prevista por la ley, 2) respetar la esencia del derecho, 3) respetar el principio de proporcionalidad, y 4) responder a objetivos de interés general reconocidos por la UE o a la necesidad de proteger los derechos y libertades de los demás. Respecto de dichos requisitos, el CEPD ha hecho algunas aclaraciones. En primer lugar, se exige una base legal específica, la cual debe ser lo suficientemente clara para proporcionar a los ciudadanos una indicación adecuada de las condiciones y las circunstancias en las que las autoridades están facultadas para recurrir a una medida de recogida de datos 25 . En segundo lugar, la limitación de los derechos fundamentales inherentes a cada situación deberá respetar el contenido esencial del derecho concreto, que se refiere al núcleo mismo del derecho 26 ; al respecto, existen indicios de una posible infracción del núcleo inviolable, como que no se permita o se dificulte el acceso a los tribunales 27 , o la ausencia de principios básicos de protección de datos 28 . En tercer lugar, debiendo responder a un objetivo legítimo, la UE reconoce tanto los objetivos del artículo 3 del Tratado de la UE como otros intereses protegidos por disposiciones específicas de los Tratados (un espacio de libertad, seguridad y justicia, y la prevención y lucha contra la delincuencia). Y, en cuarto lugar, cualquier limitación debe ser estrictamente necesaria y proporcional. Un objetivo de interés general, por esencial que sea, no justifica, por sí solo, la limitación de un derecho fundamental 29 . Las limitaciones solo deben aplicarse en la medida estrictamente necesaria 30 , lo que también implica que no existan medios menos gravosos para alcanzar el fin, debiendo estudiarse y evaluarse cuidadosamente las posibles alternativas. 31 25 STEDH, de 21 de junio de 2011, Asunto 30194/09, Shimovolos contra Russia, § 68; STEDH, de 18 de octubre de 2016, Asunto 61838/10, Vukota-Boji contra Switzerland. 26 STJUE, de 22 de diciembre de 2010, Asunto C-279/09, apartado 60. 27 STJUE, de 5 de octubre de 2010, Asunto C-400/10 PPU, apartado 55. 28 STJUE, de 8 de abril de 2014, Asuntos acumulados C-293/12 y C-594/12, apartado 40. 29 STJUE, de 8 de abril de 2014, Asuntos acumulados C-293/12 y C-594/12, apartado 51. 30 STJUE, de 8 de abril de 2014, Asuntos acumulados C-293/12 y C-594/12, apartado 52. 31 Comité Europeo de Protección de Datos. (2023). Directrices 5/2022 sobre el uso de la tecnología de reconocimiento facial…, Op. Cit., pp. 16-18. Para un conjunto de herramientas de evaluación de la necesidad y proporcionalidad de medidas que limiten el derecho fundamental a la protección de los datos personales, véase Supervisor Europeo de Protección de Datos. (2017). Manual para la evaluación de la necesidad de las medidas que limiten el derecho fundamental a la protección de datos de carácter personal. Recuperado el 4 de febrero de 2025, de https://www.aepd.es/documento/guia-evaluar-necesidad-tratamientos-en-politicas-y-medidaslegislativas.pdf; así como Supervisor Europeo de Protección de Datos. (2019). Directrices del SEPD para la evaluacin de la proporcionalidad de las medidas que limitan los derechos fundamentales a la intimidad y a la proteccin de los datos personales. Recuperado el 4 de febrero de 2025, de https://www.aepd.es/documento/guia-evaluar-proporcionalidad-tratamientos-en-politicas-ymedidas-legislativas.pdf. 17 Además, en relación con el principio de necesidad y proporcionalidad, el Tribunal Europeo de Derechos Humanos (en adelante, TEDH) ha venido exigiendo que los Estados miembros minimicen todo lo posible la injerencia en estos derechos, intentando encontrar soluciones alternativas, y, en general, buscando alcanzar los fines de la manera que sea menos onerosa para los derechos humanos 32 . Igualmente, el Tribunal Constitucional español (en adelante, TC) ha exigido que la medida debe ser necesaria para conseguir el fin que se persigue 33 , atendiendo a la proporcionalidad entre el sacrificio del derecho fundamental y la situación en que está a quien se le impone 34 , y en todo caso, respetando su contenido esencial 35 . La valoración de si existe otra medida más moderada debe llevarse a cabo incluso con mayor rigor respecto de un tratamiento de datos especialmente protegidos como los biométricos 36 . 37 Asimismo, la protección de los datos personales es un derecho fundamental reconocido en el artículo 18.4 de la Constitución Española. Y, si bien el artículo 8 CDFUE de la protección de datos personales no encuentra equivalente en el CEDH, el artículo 7 CDFUE de respeto de la vida privada sí lo hace en el artículo 8 CEDH 38 . Y es que, a pesar de que los derechos al respeto de la vida privada y a la protección de datos son derechos distintos y autónomos, están estrechamente relacionados, de hecho, en ocasiones se han descrito como el derecho “clásico” a la protección de la vida privada y un derecho más “moderno”, el derecho a la protección de datos 39 . Por ello, se puede concluir que el artículo 8 CEDH garantiza el derecho a la protección de datos personales a través de la referencia que hace al respeto de la vida privada. 32 STEDH, de 8 de julio de 2003, Asunto 36022/97, Hatton y otros contra United Kingdom. 33 SSTC 66/1995, de 8 de mayo de 1995, 186/2000, de 10 de julio de 2000, 17/2013, de 31 de enero de 2013, o 292/2000, de 30 de noviembre de 2000. 34 STC 37/1989, de 15 de febrero de 1989. 35 STC 57/1994, de 28 de febrero de 1994. 36 STC 76/2019, de 22 de mayo de 2019. 37 Garriga Domínguez, A. (2024). Los derechos ante los sistemas biométricos…, Op. Cit., pp. 138-139. 38 Comité Europeo de Protección de Datos. (2023). Directrices 5/2022 sobre el uso de la tecnología de reconocimiento facial…, Op. Cit., pp. 20-21. Véase la STJUE, de 21 de diciembre de 2016, Asuntos acumulados C-203/15 y C-698/15, apartado 129. 39 European Union Agency for Fundamental Rights. (2019b). Facial recognition technology: fundamental rights considerations in the context of law enforcement, p. 23. Recuperado el 4 de febrero de 2025, de https://fra.europa.eu/sites/default/files/fra_uploads/fra-2019facial-recognition-technology-focus-paper-1_en.pdf. Véase la STJUE, de 9 de noviembre de 2010, Asuntos acumulados C-92/09 y C93/09, apartado 71. 18 3.2. REGLAMENTO GENERAL DE PROTECCIÓN DE DATOS PERSONALES Visto el marco general de los derechos fundamentales entre los que se encuentra el derecho a la protección de datos personales, se hace necesario establecer unos requisitos y garantías que sean exigidos para el tratamiento de estos datos. En este sentido, a nivel europeo cabe referirse al RGPD, que, si bien es una norma aplicable directamente sin necesidad de norma interna de transposición, en el ámbito español existe la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), por la que se adapta el Ordenamiento Jurídico español al RGPD, añadiendo una regulación de los derechos digitales. El considerando 4 RGPD establece que el derecho a la protección de los datos personales no es un derecho absoluto, y su ejercicio debe llevarse a cabo en conformidad con el principio de proporcionalidad. Además, en atención a la jurisprudencia del Tribunal de Justicia de la UE (en adelante, TJUE) 40 , la licitud del tratamiento de datos personales viene determinada por una doble exigencia: una base de legitimación adecuada para el tratamiento y el respeto de los principios relativos al tratamiento 41 . Por consiguiente, los requisitos del tratamiento de datos personales (en general) son los siguientes: 1) debe ampararse en una de las bases jurídicas de legitimación del artículo 6 RGPD (licitud del tratamiento); 2) debe realizarse de acuerdo con los principios relativos al tratamiento de datos personales del artículo 5 RGPD; y 3) siempre respetando el principio de proporcionalidad mencionado anteriormente. Y, puesto que los datos biométricos son una categoría especial de datos personales, el responsable del tratamiento deberá también cumplir las condiciones establecidas en el artículo 9 del RGPD. 3.2.1. PRINCIPIOS RELATIVOS AL TRATAMIENTO DE DATOS PERSONALES El artículo 5 RGPD regula los principios básicos que deben respetarse en la recogida, tratamiento, uso y almacenamiento de los datos de carácter personal, algunos de los cuales se matizan en el Título II de la LOPDGDD (en particular, en los artículos 4 y 5). A continuación, se analiza cada uno de los principios. 40 STJUE, de 20 de octubre de 2022, Asunto C-585/20. 41 Garriga Domínguez, A. (2024). Los derechos ante los sistemas biométricos…, Op. Cit., p. 131. 19 De conformidad con el artículo 5, apartado 1, letra a) del RGPD, todo tratamiento de datos personales debe ser lícito, leal y transparente en relación con la persona física afectada. Para que el tratamiento sea lícito, éste debe tener una base jurídica en el artículo 6 RGPD, y en este sentido, el considerando 40 RGPD establece que “los datos personales deben ser tratados con el consentimiento del interesado o sobre alguna otra base legítima establecida conforme a Derecho, ya sea en el presente Reglamento o en virtud de otro Derecho de la Unión o de los Estados miembros”. Además, el principio de transparencia exige que “para las personas físicas debe quedar totalmente claro que se están recogiendo, utilizando, consultando o tratando de otra manera datos personales que les conciernen, así como la medida en que dichos datos son o serán tratados”, así como que “toda información y comunicación relativa al tratamiento de dichos datos sea fácilmente accesible y fácil de entender, y que se utilice un lenguaje sencillo y claro” (considerando 39 RGPD). Por ello, con el fin de cumplir los requisitos de transparencia, el CEPD ha recomendado que la información más importante debe proporcionarse a través de una señal de advertencia colocada de tal manera que el interesado pueda reconocer fácilmente las circunstancias, también pudiendo facilitarse por otros medios de fácil acceso (como carteles o sitios web) 42 . Y, por último, la lealtad está relacionada con la transparencia, colocando a la persona titular de los datos personales en una posición central para controlar todas las circunstancias relativas al tratamiento 43 . La lealtad exige que “los datos personales no se traten de manera injustificadamente perjudicial, ilícitamente discriminatoria, inesperada o engañosa para el interesado” 44 . No obstante, este principio se ha considerado ambiguo por algunos autores, y como un “principio comodín”, que puede aprovecharse en casos en los que el tratamiento sería permisible pero que parece injusto en el caso en cuestión 45 . Además, en el entorno algorítmico, la lealtad puede ser una solución al problema de las relaciones desequilibradas entre los responsables del tratamiento y los sujetos 46 . 42 Comité Europeo de Protección de Datos. (2020a). Directrices 3/2019 sobre el tratamiento de datos personales mediante dispositivos de vídeo (Versión 2.0), pp. 26-27. Recuperado el 4 de febrero de 2025, de https://www.edpb.europa.eu/sites/default/files/files/file1/edpb_guidelines_201903_video_devices_es.pdf 43 Puyol Montero, F. J. (2016). Los principios del derecho a la protección de datos. En J. L. Piñar Mañas (Ed.), Reglamento general de protección de datos: hacia un nuevo modelo europeo de privacidad. Reus, p. 138. 44 Comité Europeo de Protección de Datos. (2020b). Directrices 4/2019 relativas al artículo 25 Protección de datos desde el diseño y por defecto (Versión 2.0), p. 19. Recuperado el 4 de febrero de 2025, de https://www.edpb.europa.eu/system/files/202104/edpb_guidelines_201904_dataprotection_by_design_and_by_default_v2.0_es.pdf 45 Madiega, T., & Mildebrath, H. (2021). Regulating facial recognition…, Op. Cit., pp.13-14. 46 Malgieri, G. (2020). The concept of Fairness in the GDPR: A linguistic and contextual interpretation. FAT* 2020 - Proceedings of the 2020 Conference on Fairness, Accountability, and Transparency, 154-166. https://doi.org/10.1145/3351095.3372868 20 En virtud del artículo 5, apartado 1, letra b) del RGPD, los datos personales deben recogerse con fines determinados, explícitos y legítimos, y no serán tratados ulteriormente de manera incompatible con dichos fines. Este principio requiere que se definan previa y claramente los objetivos de la obtención y tratamiento de los datos, debiendo determinar la finalidad y valorar los riesgos para los derechos de los interesados desde el principio 47 , y la finalidad prevista debe formularse con suficiente precisión para que la persona afectada pueda conocer la finalidad para la que se tratarán sus datos 48 . Asimismo, se prohíbe que esos datos sean tratados ulteriormente de forma incompatible con los fines para los que se legitimó su tratamiento 49 . Conforme al artículo 5, apartado 1, letra c) del RGPD, los datos personales deben ser adecuados, pertinentes y limitados a lo necesario respecto de los fines para los que son tratados. Este principio exige la no recogida ni almacenamiento de más datos que los estrictamente necesarios para cada finalidad determinada, siendo adecuados y no excesivos para dicha finalidad, y también opera en cuanto a cómo se almacenan dichos datos y quién tiene acceso a ellos 50 . Además, según las autoridades de protección de datos y la doctrina, también incluye la anonimización de los datos cuando sea posible, por ejemplo, en el caso de la obtención de datos biométricos a partir de imágenes o vídeos, es necesario que todo el material que no sea pertinente para la finalidad del tratamiento sea siempre eliminado o anonimizado (por ejemplo, difuminando sin posibilidad retroactiva de recuperar los datos) antes de su utilización 51 . Por su parte, el artículo 5, apartado 1, letra d) del RGPD establece que los datos personales deben ser exactos, y actualizados, en caso de ser necesario; además, cuando sean inexactos, se deberán adoptar todas las medidas razonables para que se supriman o rectifiquen sin dilación. Es decir, deben ser fáctica y temporalmente exactos, implicando que determinados datos deben mantenerse actualizados 52 , lo que la Agencia de los 47 Garriga Domínguez, A. (2024). Los derechos ante los sistemas biométricos…, Op. Cit., p. 132. 48 Madiega, T., & Mildebrath, H. (2021). Regulating facial recognition…, Op. Cit., p.14. 49 Para más información sobre este principio, véase Article 29 Data Protection Working Party. (2013). Opinion 03/2013 on purpose limitation. Recuperado el 4 de febrero de 2025, de https://ec.europa.eu/justice/article-29/documentation/opinionrecommendation/files/2013/wp203_en.pdf 50 Garriga Domínguez, A. (2024). Los derechos ante los sistemas biométricos…, Op. Cit., pp. 132-133. 51 Comité Europeo de Protección de Datos. (2023). Directrices 5/2022 sobre el uso de la tecnología de reconocimiento facial…, Op. Cit., p. 6. 52 Madiega, T., & Mildebrath, H. (2021). Regulating facial recognition…, Op. Cit., pp.15-16. 21 Derechos Fundamentales de la UE ha relacionado con que los datos sean correctos 53 . Por ello, cabe subrayar la importancia de llevar a cabo una evaluación periódica y sistemática del tratamiento algorítmico con el fin de garantizar dicha exactitud 54 . Cabe mencionar que el artículo 4 LOPDGDD regula también la exactitud de los datos, añadiendo que la inexactitud no será imputable al responsable en determinados casos. De conformidad con el artículo 5, apartado 1, letra e) del RGPD, los datos personales deberán mantenerse de tal forma que se permita la identificación de los interesados durante no más tiempo del necesario para los fines del tratamiento. Ello determina la necesidad de establecer límites temporales para la conservación mediante criterios objetivos conforme con la finalidad que justificó el tratamiento 55 , necesidad que ha sido señalada tanto por el TEDH 56 como por el TJUE 57 . El artículo 5, apartado 1, letra f) del RGPD se refiere al principio de integridad y confidencialidad, también llamado principio de seguridad de los datos. Éste exige la aplicación de las medidas técnicas u organizativas apropiadas, con el fin de garantizar una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental. En el caso de los datos biométricos y otros de categorías especiales, se debe extremar el rigor a la hora de evaluar y adoptar las medidas 58 . En este sentido, el artículo 5 LOPDGDD también recoge el deber de confidencialidad al que están sujetos los responsables y encargados del tratamiento, así como toda persona que intervenga en cualquiera de las fases del tratamiento. Y cabe hacer referencia al artículo 32 RGPD relativo a la seguridad del tratamiento de los datos personales, que establece que “el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel 53 European Union Agency for Fundamental Rights. (2019a). Data quality and artificial intelligence - mitigating bias and error to protect fundamental rights, p. 9. Recuperado el 4 de febrero de 2025, de https://fra.europa.eu/sites/default/files/fra_uploads/fra-2019-dataquality-and-ai_en.pdf 54 Comité Europeo de Protección de Datos. (2023). Directrices 5/2022 sobre el uso de la tecnología de reconocimiento facial…, Op. Cit., p. 19. 55 Garriga Domínguez, A. (2024). Los derechos ante los sistemas biométricos…, Op. Cit., p. 135. 56 STEDH, de 4 diciembre 2008, Asuntos 30562/04 y 30566/04, S. y Marper contra United Kingdom. 57 STJUE, de 8 de abril de 2014, Asuntos acumulados C-293/12 y C-594/12; STJUE, de 13 de mayo de 2014, Asunto C-131/12. 58 Garriga Domínguez, A. (2024). Los derechos ante los sistemas biométricos…, Op. Cit., p. 135. 22 de seguridad adecuado al riesgo”. El CEPD ha sugerido que se haga durante todas las fases, es decir, durante el almacenamiento, la transmisión y el tratamiento 59 . Y, por último, refiriéndose al responsable del tratamiento, el artículo 5, apartado 2 del RGPD establece que éste será el responsable del cumplimiento de los principios relativos al tratamiento, y también deberá ser capaz de demostrarlo. Relacionado con esta disposición está el artículo 24 RGPD, el cual recoge la obligación general de aplicar las medidas técnicas y organizativas apropiadas para garantizar y demostrar que el tratamiento cumple con el RGPD, tomando en consideración “la naturaleza, el ámbito, el contexto y los fines del tratamiento así como los riesgos de diversa probabilidad y gravedad para los derechos y libertades de las personas físicas”. 3.2.2. EXIGENCIAS ADICIONALES PARA LOS SISTEMAS BIOMÉTRICOS Ya se ha mencionado anteriormente que el tratamiento de categorías especiales de datos personales (como los biométricos) estará sujeto, además de a lo dispuesto hasta ahora en relación con los datos personales en general, a que el responsable del tratamiento cumpla una de las condiciones establecidas en el artículo 9.2 del RGPD y 9 LOPDGDD 60 . El apartado primero del artículo 9 RGPD establece la prohibición del tratamiento de (entre otros) “datos biométricos dirigidos a identificar de manera unívoca a una persona física”. Así, establece la condición de que dichos datos biométricos estén dirigidos a identificar unívocamente al individuo, de conformidad con la definición de datos biométricos del artículo 4.14) RGPD, con independencia de su uso, por lo que entrarían dentro de dicho concepto la autenticación e identificación biométrica 61 . Sin embargo, su apartado segundo 59 Comité Europeo de Protección de Datos. (2020a). Directrices 3/2019 sobre el tratamiento de datos personales…, Op. Cit., pp. 2832. 60 Al respecto, es de interés Garriga Domínguez, A. (2023). La especial posición de los datos biométricos en el RGPD: peculiaridades derivadas de su naturaleza y riesgos asociados a su tratamiento. En C. Pauner Chuvi, R. García Mahamut & B. Tomás Mallén (Eds.), La implementacin del reglamento general de Proteccin de Datos en Espaa y el impacto de sus clusulas abiertas. Tirant lo Blanch, pp. 115-144. 61 Anteriormente la AEPD sostuvo que los datos biométricos solo se considerarían categoría especial de datos en los supuestos de identificación biométrica (uno a varios) y no en el caso de autenticación (uno a uno), sin embargo, en la actualidad ha modificado su criterio, coincidiendo con el CEPD. Véase Agencia Española de Protección de Datos. (2020). Informe jurídico 0036/2020, p. 19. Recuperado el 4 de febrero de 2025, de https://www.aepd.es/documento/2020-0036.pdf; así como Agencia Española de Protección de Datos. (2021). Resolución del Procedimiento Nº: PS/00120/2021, p. 39. Recuperado el 4 de febrero de 2025, de https://www.aepd.es/documento/ps-00120-2021.pdf 23 dispone que dicha prohibición no será de aplicación cuando concurra alguna de las circunstancias previstas, entre las que se encuentran el consentimiento explícito del interesado, datos personales que el interesado ha hecho manifiestamente públicos, cuando los tribunales actúen en ejercicio de su función judicial, o la necesidad por razones de un interés público esencial. Estas circunstancias son excepciones a la prohibición general y deben interpretarse de forma restrictiva, en conformidad con los considerandos 51 y 52 RGPD, siendo de especial relevancia “la aplicación del principio de necesidad y proporcionalidad en orden a calibrar la legitimidad de la injerencia” 62 en el derecho fundamental que aquí nos ocupa. Al respecto, ha indicado la Agencia Española de Protección de Datos que, si no concurre alguna de dichas excepciones, “no hay legitimación para tratar datos biométricos de nadie” 63 , independientemente de las causas de licitud del artículo 6 del RGPD. En cualquier caso, cabe mencionar que el apartado cuarto del artículo 9 RGPD establece que “los Estados miembros podrán mantener o introducir condiciones adicionales, inclusive limitaciones” respecto del tratamiento de datos biométricos. En el caso español, éstas han sido concretadas en el artículo 9 LOPDGDD. En relación con lo expresado en este apartado, cabe mencionar que se habla de la insuficiencia de las bases de legitimación del artículo 6 RGPD para el tratamiento de los datos biométricos 64 , en el sentido de que la prohibición general del artículo 9 tiene como consecuencia la insuficiencia de las causas de licitud del artículo 6 para esta categoría de datos personales. También parte de la doctrina ha considerado que el artículo 9 RGPD prevalece sobre el artículo 6, como lex specialis 65 , mientras que el CEPD 66 asume su aplicación concurrente. 62 Garriga Domínguez, A. (2024). Los derechos ante los sistemas biométricos…, Op. Cit., p. 137. 63 Agencia Española de Protección de Datos. (2021). Resolución del Procedimiento…, Op. Cit., p. 33. 64 Para mayor detalle véase Garriga Domínguez, A. (2024). Los derechos ante los sistemas biométricos…, Op. Cit., pp. 136-142. 65 Ibidem. 66 Véase Comité Europeo de Protección de Datos. (2020a). Directrices 3/2019 sobre el tratamiento de datos personales…, Op. Cit., p. 17. 24 4. MARCO NORMATIVO DE LOS SISTEMAS BIOMÉTRICOS EN EL ÁMBITO PENAL 4.1. DIRECTIVA DE PROTECCIÓN DE DATOS PERSONALES EN EL ÁMBITO PENAL, TRANSPUESTA AL ORDENAMIENTO JURÍDICO ESPAÑOL POR LA LEY ORGÁNICA 7/2021, DE 26 DE MAYO En la recopilación y tratamiento de datos personales por las autoridades competentes para fines penales 67 se aplica el régimen de la Directiva (UE) 2016/680 relativa a la protección de datos personales en el ámbito penal (en adelante, Directiva (UE) 2016/680) 68 , que ha sido objeto de transposición por la Ley Orgánica 7/2021, de 26 de mayo (en adelante, LOPDPP) 69 , la cual concreta e incorpora al ordenamiento jurídico español las reglas establecidas por la Directiva (UE) 2016/680. Estas normas imponen a los órganos judiciales, como autoridades competentes, principios de actuación y limitaciones que han de regir el modo en que recaban datos durante el proceso y los someten a tratamiento 70 . En comparación con el RGPD, la Directiva (UE) 2016/680 es un régimen más específico y aplicable cuando las autoridades públicas tratan datos personales para la prevención, investigación, detección o enjuiciamiento de delitos penales, en virtud de los considerandos 11 y 12 de la Directiva (UE) 2016/680 y considerando 19 del RGPD. 4.1.1. TRATAMIENTO DE DATOS PERSONALES PARA FINES PENALES Los artículos 8 Directiva (UE) 2016/680 y 11 LOPDPP establecen que sólo será lícito el tratamiento en la medida en que sea necesario para los fines que se señalan en el artículo 1 y se realice por una autoridad competente en el ejercicio de sus funciones. Por ello, existen tres requisitos para la licitud del tratamiento: 1) el tratamiento deberá ser realizado 67 Al respecto, puede resultar de interés Montoro Sánchez, J. A. (2023). La Directiva 2016/680/UE: un nuevo paradigma para el tratamiento de datos de carácter personal con fines penales. En C. Aranguena Fanego, M. de Hoyos Sancho & E. González Pillado (Dirs.), Proceso penal ante una nueva realidad tecnológica europea (1ª edición). Aranzadi, pp. 103-112. 68 Directiva (UE) 2016/680 del Parlamento Europeo y del Consejo de 27 de abril de 2016 relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por parte de las autoridades competentes para fines de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales, y a la libre circulación de dichos datos y por la que se deroga la Decisión Marco 2008/977/JAI del Consejo. 69 Ley Orgánica 7/2021, de 26 de mayo, de protección de datos personales tratados par fines de prevención, detección, investigación y enjuiciamiento de infracciones penales y de ejecución de sanciones penales. 70 Rodríguez Del Blanco, A. (2024). Detectando los riesgos de la inteligencia artificial…, Op. Cit., p.36. 25 por una autoridad competente 71 en el ejercicio de sus funciones; 2) deberá comprender una actividad de tratamiento 72 , entre las que se encuentran las actividades practicadas en una investigación policial, judicial o fiscal; y 3) deberá ser para alguna de las finalidades previstas 73 . Además, el tratamiento se deberá llevar a cabo de conformidad con los principios relativos al tratamiento de datos personales. En consecuencia, el respeto al contenido esencial del derecho a la protección de datos personales, en relación con un tratamiento de éstos en un contexto penal, dependerá de que estos presupuestos, requisitos y principios se cumplan. De acuerdo con los principios relativos al tratamiento de datos personales del artículo 4 Directiva (UE) 2016/680, los datos personales deben: tratarse de forma lícita y leal; obedecer a una finalidad determinada, explícita y legítima; ser adecuados, pertinentes y no excesivos; exactos, y si fuera necesario, actualizados; conservados de forma que permita identificar al interesado durante un período no superior al necesario; garantizando la seguridad de los datos; y el responsable del tratamiento será el responsable del cumplimiento de dichos principios. Si bien recoge de forma similar los principios ya analizados que establece el RGPD, cabe matizarlos a continuación. Al igual que el RGPD, el artículo 4.1.a) Directiva (UE) 2016/680 recoge el principio de licitud, lealtad y transparencia, así como el artículo 8 Directiva (UE) 2016/680 (artículo 11 LOPDPP) relativo a la licitud del tratamiento. En relación con lo establecido por el RGPD sobre el principio de transparencia (debe quedar totalmente claro para las personas físicas que se están tratando sus datos personales), cabe mencionar que esto no impide por sí mismo que las autoridades competentes puedan llevar a cabo actividades como las investigaciones encubiertas o videovigilancia con fines penales (considerando 26 Directiva (UE) 2016/680). De igual manera, el principio de limitación de la finalidad del artículo 4.1.b) Directiva (UE) 2016/680 indica que los datos personales deben recogerse con fines determinados, explícitos y legítimos, prohibiendo que los datos sean tratados de forma incompatible con los fines para los que se legitimó su tratamiento. De hecho, un uso posterior para una finalidad incompatible con la designada sólo es posible en condiciones estrictas 74 . Pues bien, para el ámbito policial y penal dichas condiciones para las finalidades distintas de la 71 El art. 4 LOPDPP señala cuales son las autoridades competentes (entre otros, fuerzas y cuerpos de seguridad, jueces y fiscales), y el art. 3.7) DAP define autoridad competente. 72 El art. 5 LOPDPP define tratamiento. 73 El art. 1 LOPDPP indica cuáles son las finalidades (entre otras, investigación de infracciones penales). 74 Madiega, T., & Mildebrath, H. (2021). Regulating facial recognition…, Op. Cit., p.14. 32 Derecho”. Es una práctica de IA prohibida, al considerar que son sistemas biométricos que presentan riesgos inaceptables para los derechos humanos y valores democráticos 91 . Si bien este tipo de sistemas es especialmente intrusivo, se prevén tres excepciones en las que un interés público sustancial prevalece sobre los riesgos para los derechos fundamentales, estando su uso justificado por importantes razones de seguridad pública 92 . Por consiguiente, dicha prohibición no es absoluta, pues están permitidos cuando su uso sea estrictamente necesario para alcanzar determinados objetivos (artículo 5.1.h) RIA): “i) la búsqueda selectiva de víctimas concretas de secuestro, trata de seres humanos o explotación sexual de seres humanos, así como la búsqueda de personas desaparecidas, ii) la prevención de una amenaza específica, importante e inminente para la vida o la seguridad física de las personas físicas o de una amenaza real y actual o real y previsible de un atentado terrorista, iii) la localización o identificación de una persona sospechosa de haber cometido un delito a fin de llevar a cabo una investigación o un enjuiciamiento penales o de ejecutar una sanción penal por alguno de los delitos mencionados en el anexo II que en el Estado miembro de que se trate se castigue con una pena o una medida de seguridad privativas de libertad cuya duración máxima sea de al menos cuatro años” 93 . No obstante, cabe mencionar que “los Estados miembros podrán decidir contemplar la posibilidad de autorizar, ya sea total o parcialmente, el uso” de estos sistemas, pudiendo adoptar leyes más restrictivas al respecto (artículo 5.5 RIA). Esto es, el uso de estos sistemas respecto de estas excepciones solo será posible “cuando el Estado miembro de que se trate haya decidido contemplar expresamente la posibilidad de autorizarlo en las normas detalladas de su Derecho nacional”, por lo que los Estados miembros tienen “la libertad de no ofrecer esta posibilidad en absoluto o de ofrecerla únicamente en relación con algunos de los objetivos que pueden justificar un uso autorizado conforme al presente Reglamento” (considerando 37 RIA). En todo caso, antes de su uso (de estar permitido), el artículo 5.2 RIA dispone que será necesario valorar “la naturaleza de la situación que dé lugar al posible uso, y en particular la gravedad, probabilidad y magnitud del perjuicio que se produciría de no utilizarse el sistema”, así como “las consecuencias que tendría el uso del sistema en los derechos y las libertades de las personas implicadas”. Asimismo, establece otros requisitos como el cumplimiento de “garantías y condiciones necesarias y proporcionadas (…) en lo 91 Garriga Domínguez, A. (2024). Los derechos ante los sistemas biométricos…, Op. Cit., pp. 145-146. 92 Madiega, T., & Mildebrath, H. (2021). Regulating facial recognition…, Op. Cit., pp.25-26. 93 El anexo II al que se refiere incluye delitos como la trata de seres humanos, explotación sexual de menores, tráfico ilícito de estupefacientes, armas u órganos, secuestro, violación o robo organizado, entre otros. 33 que respecta a las limitaciones temporales, geográficas y personales” y la “evaluación de impacto relativa a los derechos fundamentales” (artículo 5.2 RIA), o la “autorización previa por parte de una autoridad judicial o una autoridad administrativa independiente (…) del Estado miembro”, salvo que se esté “en una situación de urgencia debidamente justificada” (artículo 5.3 RIA). Por otro lado, en relación con los sistemas biométricos considerados de alto riesgo, se considera que tienen un impacto adverso en la seguridad de las personas o en sus derechos fundamentales 94 . El artículo 6 RIA, apartado 2, establece que “se considerarán de alto riesgo los sistemas de IA contemplados en el anexo III”. Dicho anexo (en su primer apartado de “biometría”) incluye, “en la medida en que su uso esté permitido por el Derecho de la Unión o nacional aplicable”: los “sistemas de identificación biométrica remota” (quedan excluidos los sistemas de “verificación biométrica cuya única finalidad sea confirmar que una persona física concreta es la persona que afirma ser”, esto es, los sistemas de autenticación), así como los sistemas de “categorización biométrica” y los de “reconocimiento de emociones”. Por tanto, en primer lugar, serán considerados de alto riesgo aquellos otros sistemas de identificación biométrica remota (ya sea en tiempo real o en diferido) que serán permitidos. Esto incluye una amplia gama de sistemas, como cuando no lo usan las autoridades policiales con fines penales, o bien (incluso para fines penales) cuando se hace en espacios no accesibles al público 95 . Estos sistemas están sujetos a varias obligaciones de cumplimiento, pues “las imprecisiones técnicas de los sistemas de IA destinados a la identificación biométrica remota de las personas físicas pueden dar lugar a resultados sesgados y tener efectos discriminatorios” (considerando 54 RIA). En segundo lugar, los sistemas de categorización biométrica también son considerados de alto riesgo, estando permitidos. Un sistema de este tipo es aquel “sistema de IA destinado a incluir a las personas físicas en categorías específicas en función de sus datos biométricos” (artículo 3.40) RIA) 96 . Y, en tercer lugar, también serán permitidos aquellos sistemas biométricos de alto riesgo destinados a ser utilizados para el reconocimiento de emociones, que es aquel “sistema de IA destinado a distinguir o inferir las emociones o las intenciones de las personas físicas a partir de sus datos biométricos” (artículo 3.39) RIA) 97 . Para los sistemas 94 Madiega, T., & Mildebrath, H. (2021). Regulating facial recognition…, Op. Cit., p.24. 95 Madiega, T., & Mildebrath, H. (2021). Regulating facial recognition…, Op. Cit., p.26. 96 Véase también el considerando 16 RIA. 97 Veáse también el considerando 18 RIA. 34 de IA de alto riesgo el RIA establece unos requisitos específicos: la implantación de un sistema de gestión de riesgos (artículo 9), garantizar la calidad de los datos (artículo 10), obligaciones específicas para la redacción de documentación técnica (artículo 11), los archivos de registro de garantía de la trazabilidad del funcionamiento del sistema (artículo 12), el reforzamiento de obligaciones de transparencia e información (artículo 13), que los sistemas puedan ser vigilados efectivamente por personas físicas (artículo 14), y que tengan un nivel adecuado de precisión, solidez y ciberseguridad (artículo 15). Una vez vistos los diferentes escenarios posibles de los sistemas biométricos basados en IA, cabe mencionar que, si bien deben cumplirse una serie de obligaciones, parece que seguiría estando permitida una amplia gama de sistemas de identificación biométrica a distancia (remota). Respecto de la prohibición de sistemas de identificación biométrica remota en tiempo real en espacios de acceso público para fines penales, a los críticos les preocupa que no se aplique a otros ámbitos diferentes al policial y judicial, y que solo se aplique a los usos que se hagan concretamente en tiempo real en espacios de acceso público, además de estar sujeta a excepciones, por lo que seguirían siendo posibles casos de uso igualmente perjudiciales 98 . De hecho, en un dictamen conjunto no vinculante 99 el Supervisor Europeo de Protección de Datos y el CEPD solicitaron la prohibición general de cualquier uso de la IA para el reconocimiento automatizado de rasgos humanos en espacios de acceso público, pues no existe una solución adecuada para informar debidamente a las personas sobre dicho tratamiento biométrico y para garantizar el ejercicio efectivo y oportuno de los derechos de las personas. 4.2.2. ADOPCIÓN DE DECISIONES AUTOMATIZADAS SEGÚN LA NORMATIVA DE PROTECCIÓN DE DATOS PERSONALES El artículo 22 RGPD y artículo 11 Directiva (UE) 2016/680 100 hacen referencia a la adopción de decisiones automatizadas, lo cual tiene estrecha relación con la viabilidad y límites del 98 Madiega, T., & Mildebrath, H. (2021). Regulating facial recognition…, Op. Cit., p.29. 99 Comité Europeo de Protección de Datos & Supervisor Europeo de Protección de Datos. (2021). Dictamen conjunto 5/2021 sobre la propuesta de Reglamento del Parlamento Europeo y del Consejo por el que se establecen normas armonizadas en materia de inteligencia artificial (Ley de Inteligencia Artificial). Recuperado el 4 de febrero de 2025, de https://www.edpb.europa.eu/system/files/2021-10/edpb-edps_joint_opinion_ai_regulation_es.pdf 100 El artículo 14 LOPDPP recoge una previsión similar, no equivalente. 35 empleo de sistemas de IA al interactuar con el derecho a la protección de datos 101 . Ambas disposiciones establecen la prohibición genérica de la decisión basada únicamente en un tratamiento automatizado que produzca efectos jurídicos negativos para el interesado o le afecte significativamente. No obstante, no se trata de un derecho absoluto, pues no será de aplicación si se da alguna de las excepciones previstas por ambas normativas, excepciones que no son iguales. Debido al contexto penal concreto en el que nos encontramos, se va a hacer referencia a la regulación de la Directiva (UE) 2016/680 al respecto 102 . Pues bien, se permitirán estas decisiones cuando estén autorizadas por el Derecho de la Unión o del Estado miembro a la que esté sujeto el responsable del tratamiento, y siempre que se establezcan medidas adecuadas para salvaguardar los derechos y libertades del interesado, al menos el derecho a obtener la intervención humana por parte del responsable del tratamiento (artículo 11.1 Directiva (UE) 2016/680). El CEPD ha señalado que, dependiendo del sistema biométrico, incluso la intervención humana (que evaluaría los resultados del sistema) podría no ofrecer garantía suficiente para el respeto del derecho a la protección de los datos personales, debido a los posibles sesgos y errores que pueden tener lugar en el tratamiento, siendo esencial capacitar a la persona interviniente para comprender el sistema y sus limitaciones 103 . En cualquier caso, estas decisiones no se basarán en los datos biométricos dirigidos a identificar unívocamente a una persona, salvo que se hayan tomado las medidas adecuadas para salvaguardar los derechos y libertades y los intereses legítimos del interesado (artículo 11.2 Directiva (UE) 2016/680). Por tanto, hay una doble prohibición general de no emplear decisiones automatizadas respecto de datos sensibles 104 , y debe entenderse con carácter adicional a las exigencias del artículo 10 Directiva (UE) 2016/680 105 . Por último, cabe mencionar que se ha venido cuestionando “el potencial real” de estos artículos para proteger eficazmente a las personas de la adopción de IA, por diversos 101 Rodríguez Del Blanco, A. (2024). Detectando los riesgos de la inteligencia artificial…, Op. Cit., pp. 37-38. 102 Para la regulación del RGPD, veáse el artículo 22 RGPD; y para más información, véase Grupo de trabajo sobre Protección de Datos del Artículo 29. (2017). Directrices sobre decisiones individuales automatizadas y elaboración de perfiles a los efectos del Reglamento 2016/679. Recuperado el 4 de febrero de 2025, de https://www.aepd.es/documento/wp251rev01-es.pdf 103 Comité Europeo de Protección de Datos. (2023). Directrices 5/2022 sobre el uso de la tecnología de reconocimiento facial…, Op. Cit., p. 24. 104 Rodríguez Del Blanco, A. (2024). Detectando los riesgos de la inteligencia artificial…, Op. Cit., pp. 37-38. 105 Comité Europeo de Protección de Datos. (2023). Directrices 5/2022 sobre el uso de la tecnología de reconocimiento facial…, Op. Cit., pp. 23-24. 36 motivos 106 . Un motivo especialmente relevante es la limitación del ámbito de aplicación de la disposición, que exige tres requisitos acumulativos: 1) una decisión, 2) basada únicamente en un tratamiento automatizado de datos, y 3) cuando produzca efectos jurídicos negativos o afecte significativamente al interesado 107 . Además, otro motivo es que no recoge de forma expresa el principio de transparencia algorítmica 108 . No obstante, jurisprudencia del TJUE 109 ha supuesto, como describe Cotino Hueso, “un corrimiento del velo de las decisiones únicamente automatizadas”, superando la interpretación restrictiva y pasando a la aplicación de las garantías también a supuestos de decisiones parcialmente automatizadas, como serían los resultados de la IA que se conectan con la decisión finalmente adoptada con una (mayor o menor) intervención humana 110 . 4.2.3. REAL DECRETO-LEY 6/2023, EN MATERIA DEL SERVICIO PÚBLICO DE JUSTICIA A nivel nacional español, es relevante el Real Decreto-ley 6/2023 (en adelante, RD-L 6/2023), pues “estamos ante una Justicia orientada al dato (…) que trata de sacar provecho de lo que puede definirse como el factor tecnológico y con ello de la cantidad de datos que ella misma genera”, dando “eficiencia y eficacia al proceso judicial” 111 . En este sentido, el artículo 35 RD-L 6/2023 recoge el principio general de orientación al dato, estableciendo que los sistemas que se utilicen en la Administración de Justicia deben asegurar la entrada y tratamiento de la información en forma de metadatos, con diversos fines, entre los que se encuentra la aplicación de técnicas de IA como apoyo a la función jurisdiccional (apartado 1.k). Como bien expresa la Exposición de Motivos II, el RD-L 6/2023 persigue “la adaptación de la realidad judicial española del siglo XXI al marco tecnológico contemporáneo”, debiendo adaptarse la tecnología a la potestad jurisdiccional y a las garantías procesales para permitir su plena satisfacción. En virtud del artículo 99 RD-L 6/2023, en el ámbito 106 Véase Garriga Domínguez, A. (2024). Los derechos ante los sistemas biométricos…, Op. Cit., p. 140. 107 González Fuster, G., & Nadolna Peeters, M. (2021). Person identification, human rights and ethical principles: Rethinking biometrics in the era of artificial intelligence. European Parliamentary Research Service, p. 26. Recuperado el 4 de febrero de 2025, de https://www.europarl.europa.eu/RegData/etudes/STUD/2021/697191/EPRS_STU(2021)697191_EN.pdf 108 Gómez Abeja, L. (2022). Inteligencia artificial y Derechos fundamentales. En Inteligencia artificial y Filosofía del derecho. Ediciones Laborum, p. 108. 109 STJUE, de 7 de diciembre de 2023, Asunto C-634/21. 110 Cotino Hueso, L. (2024). La primera sentencia del Tribunal de Justicia de la Unión Europea sobre decisiones automatizadas y sus implicaciones para la protección de datos y el Reglamento de inteligencia artificial. Diario La Ley, 80. 111 Martín Diz, F. (2024). Derechos y garantías procesales penales fundamentales: una lectura en clave tecnológica. IUS ET SCIENTIA, 1(10), 52-81, p.54. 37 español, los sistemas utilizados por la Administración de Justicia que traten datos personales que se vayan a incorporar a un proceso judicial deberán cumplir con lo establecido en los artículos 236 bis a 236 decies de la LOPJ, relativos a la protección de datos personales en el ámbito de la Administración de Justicia, así como la normativa prevista en el RGPD, la LOPDGDD y la LOPDPP. En relación con los sistemas biométricos de IA, cabe mencionar el artículo 57 RD-L 6/2023, el cual hace referencia a las actuaciones asistidas para las cuales el sistema de la Administración de Justicia, basándose en datos y pudiendo producirse por algoritmos, genera un borrador documental que puede ser fundamento o apoyo de una resolución durante el proceso. No obstante, dicha disposición establece que dicho borrador nunca constituirá una resolución judicial o procesal por sí misma sin la previa validación de la autoridad competente, y, además, el artículo 58 RD-L 6/2023 establece los requisitos para dichas actuaciones, como el mantenimiento, supervisión y control de calidad, o la auditoría del sistema. Asimismo, el artículo 1.3 RD-L 6/2023 dispone que estas tecnologías “tendrán carácter instrumental de soporte y apoyo a la actividad jurisdiccional, con pleno respeto a las garantías procesales y constitucionales”. Todo ello no debe interpretarse como un “mensaje negativo” respecto de la incorporación de tecnologías disruptivas como la IA en el ámbito judicial, sino que debe entenderse como la importancia del uso adecuado de éstas conforme a las garantías y protección de derechos fundamentales 112 . 5. EL USO DEL RECONOCIMIENTO FACIAL QUE INCORPORA INTELIGENCIA ARTIFICIAL EN LA INVESTIGACIÓN PENAL El reconocimiento facial es aquel sistema biométrico que se basa en el rostro, llevándose a cabo un tratamiento de datos biométricos de la persona física. La tecnología de reconocimiento facial es una tecnología probabilística, esto es, la comparación deduce una probabilidad mayor o menor de que la persona sea efectivamente quien se autentifica o identifica, y si dicha probabilidad supera un umbral (predeterminado por su usuario o desarrollador), el sistema entenderá que existe una coincidencia 113 . De esta manera, con una muestra biométrica (la imagen de una cara en fotografía o vídeo), se extrae una plantilla 112 Ibid., p.55. 113 Comité Europeo de Protección de Datos. (2023). Directrices 5/2022 sobre el uso de la tecnología de reconocimiento facial…, Op. Cit., p. 10. 38 biométrica de las características de esa cara, siendo única de cada persona, y así, el sistema compara la plantilla concreta con una (autenticación) o más (identificación) plantillas de una base de datos de referencia 114 . Las imágenes faciales constituyen datos biométricos, y son únicas, inmodificables y difícilmente ocultables, además, a diferencia de otros datos biométricos (como las huellas dactilares), una persona no puede evitar que se capte y controle su imagen facial en espacios públicos 115 . Asimismo, debe distinguirse entre las simples fotografías y las imágenes faciales, pues solo serán considerados datos biométricos cuando las fotografías se traten a través de medios técnicos específicos que permitan la identificación o autenticación únicas de una persona física (considerando 51 RGPD). En los últimos años se han realizado importantes avances tecnológicos en el campo del reconocimiento facial, lo que ha llevado a autoridades públicas a empezar a utilizar, probar o planificar el uso de tecnologías de reconocimiento facial en todo el mundo 116 , pues abre nuevas posibilidades para la administración pública, incluidas las Fuerzas y Cuerpos de Seguridad (en adelante, FFCCSS) 117 . El reconocimiento facial ha evolucionado enormemente a partir de 2014 118 , y, en particular, la IA ha mejorado los sistemas tradicionales de reconocimiento facial, lo que está fomentando la aparición de nuevas aplicaciones 119 . De hecho, actualmente se puede utilizar incluso para inferir emociones (por 114 Consultative Committee of the Convention for the protection of individuals with regard to automatic processing of personal data (Convention 108). (2021). Guidelines on facial recognition. Recuperado el 4 de febrero de 2025, de https://edoc.coe.int/en/artificialintelligence/9753-guidelines-on-facial-recognition.html#. Para mayor detalle del funcionamiento de las tecnologías de reconocimiento facial, véase Introna, L. & Nissenbaum, H. (2010). Facial Recognition Technology: A Survey of Policy and Implementation Issues. Lancaster University, Organisation, Work and Technology Working Paper Series, pp. 10-19. 115 European Union Agency for Fundamental Rights. (2019b). Facial recognition technology: fundamental rights…, Op. Cit., p. 5. 116 Ya en el año 2021 al menos 64 países de todo el mundo (como China, Israel, Estados Unidos o Rusia) utilizaban activamente sistemas de reconocimiento facial, véase Feldstein, S. (2019). The Global Expansion of AI Surveillance. Carnegie Endowment for International Peace. Recuperado el 4 de febrero de 2025, de https://carnegieendowment.org/research/2019/09/the-global-expansionof-ai-surveillance?lang=en. No obstante, algunas ciudades han prohibido esta tecnología en los espacios públicos, como San Francisco en EE. UU., véase Conger, K., Fausset, R. & Serge, F. K. (14 de mayo de 2019). San Francisco Bans Facial Recognition Technology. The New York Times. Recuperado el 4 de febrero de 2025, de https://www.nytimes.com/2019/05/14/us/facial-recognitionban-san-francisco.html. Un estudio reveló que el reconocimiento facial recibió la tercera mayor parte de la inversión mundial en IA en 2019 (cerca de 5 mil millones de dólares), véase Stanford University. (2019). The AI Index 2019 Annual Report. Recuperado el 4 de febrero de 2025, de https://hai.stanford.edu/ai-index-2019. 117 European Union Agency for Fundamental Rights. (2019b). Facial recognition technology: fundamental rights…, Op. Cit., p. 2. 118 Para ver su evolución, véase Raji, I. & Fried, G. (2021). About Face: A Survey of Facial Recognition Evaluation. Recuperado el 4 de febrero de 2025, de https://arxiv.org/abs/2102.00813 119 Madiega, T., & Mildebrath, H. (2021). Regulating facial recognition…, Op. Cit., p.2. 39 ejemplo, la ira o miedo) y detectar si las personas mienten o dicen la verdad 120 , o identificar a personas con mascarillas 121 . No obstante, las nuevas tecnologías aplicadas a la investigación penal aumentan de forma exponencial la posibilidad de que nuestros derechos fundamentales se vean implicados, de hecho, “nunca antes nuestros derechos cívicos han sido tan potencialmente vulnerables” 122 . En este sentido, la fase de investigación (o instrucción, sumario o fase preparatoria) en el conjunto del proceso penal es de especial importancia. Su objetivo principal, en virtud del artículo 299 de la Ley de Enjuiciamiento Criminal (en adelante, LECrim), es “averiguar y hacer constar la perpetración de los delitos con todas las circunstancias que puedan influir en su calificación y la culpabilidad de los delincuentes”, y de igual manera, el artículo 777 LECrim dispone que “el Juez ordenará a la Policía Judicial o practicará por sí las diligencias necesarias encaminadas a determinar la naturaleza y circunstancias del hecho” así como “las personas que en él hayan participado”. La obtención de evidencias durante la investigación penal es una tarea que se ejecuta esencialmente por la policía judicial bajo una supervisión judicial 123 . La finalidad de recopilar todo el material necesario es para decidir si procede la apertura del juicio oral, y en caso de que proceda, servir como prueba en él 124 , y precisamente por su potencial empleo como prueba, esas actuaciones que se practican durante la fase de instrucción deben practicarse con un estricto respeto a los derechos fundamentales, en relación con el artículo 11.1 de la Ley Orgánica 6/1985, de 1 de julio, del Poder Judicial (en adelante, LOPJ). Además, cabe mencionar que las reformas 120 European Union Agency for Fundamental Rights. (2019b). Facial recognition technology: fundamental rights…, Op. Cit., pp. 7-8. A modo de ejemplo, el Proyecto Integrated Portable Control System (iBorderCtrl) fue un sistema de reconocimiento de emociones que se estableció en la UE para la detección de mentiras en algunas fronteras, el cual integra el reconocimiento facial y otras tecnologías. 121 Barona Vilar, S. (2024). Tecnología biométrica y datos biométricos. Bondades y peligros. No todo vale. Actualidad Jurídica Iberoamericana, 21, p. 313. Véase García, J.G. (11 de mayo de 2020). El reconocimiento facial aprende a identificar mascarillas. El País. Recuperado el 4 de febrero de 2025, de https://elpais.com/retina/2020/05/11/innovacion/1589218376_657353.html 122 Esparza Leibar, I. (2022). Derecho fundamental a la protección de datos de carácter personal en el ámbito jurisdiccional e Inteligencia Artificial. En especial la LO 7/2021, de protección de datos personales tratados para fines de prevención, detección, investigación y enjuiciamiento de infracciones penales y de ejecución de sanciones penales. En S. Calaza López & M. Llorente Sánchez-Arjona (Eds.), Inteligencia artificial legal y administración de justicia (1a edición). Thomson Reuters Aranzadi, p. 198. 123 Ibid., p. 199. 124 Rodríguez Del Blanco, A. (2024). Detectando los riesgos de la inteligencia artificial…, Op. Cit., p.6. En relación con la prueba ante la innovación tecnológica, véase Picí I Junoy, J. (2022). Retos del derecho probatorio ante las nuevas tecnologías. En S. Calaza López & M. Llorente Sánchez-Arjona (Eds.), Inteligencia artificial legal y administracin de justicia (1ª edición). Thomson Reuters Aranzadi, pp. 439-456; así como Pérez Estrada, M. J. (2021). La inteligencia artificial como prueba científica en el proceso penal español. Revista Brasileira de Direito Processual Penal, 7(2), 1385-1410. 40 procesales de 2015, en las que se incorporan los medios de investigación tecnológica, han dado un papel preponderante a las FFCCSS 125 . En un contexto de aplicación de la ley y de justicia penal, la tecnología de reconocimiento facial puede ser una herramienta provechosa para las FFCCSS en sus funciones de Policía judicial, debido a diversos problemas como las investigaciones que implican una gran cantidad de pruebas o la escasez de personal para las tareas de observación y búsqueda, sin embargo, también se ha advertido que esta tecnología tiene sus inconvenientes, sobre todo cuando se aplica a gran escala 126 . A nivel de la UE, son cada vez más las FFCCSS que aplican o pretenden aplicar esta tecnología 127 , sobre todo para la autenticación o identificación de una persona, y siendo aplicable tanto a vídeos (por ejemplo, cámaras de CCTV) como a fotografías 128 . De hecho, el binomio IA-ámbito penal ha llegado para quedarse, aunque el hecho de que estos sistemas funcionen en países como China no implica necesariamente que se vaya a asumir cómodamente por las democracias occidentales avanzadas 129 . Mientras que en otras partes del mundo (como China, Corea del Sur o parte de Estados Unidos) la experiencia del uso de tecnologías de reconocimiento facial es amplia, en la UE se mantiene una posición resistente y cautelosa, especialmente en cuanto a sistemas de identificación remota para fines penales, por los riesgos e injerencias en los derechos fundamentales 130 . De hecho, es cierto que en el ámbito procesal-penal español el uso de la IA “despierta sentimientos contrapuestos” 131 . A pesar de ello, es habitual en el contexto de una investigación penal disponer de imágenes captadas que demuestran la comisión de un delito, pero también es común que la persona encausada alegue no ser quien aparece en dichas imágenes, manifestando que se trata de otra persona con apariencia similar; por lo que un reconocimiento facial que analice esas 125 Ibid., p.7. 126 Comité Europeo de Protección de Datos. (2023). Directrices 5/2022 sobre el uso de la tecnología de reconocimiento facial…, Op. Cit., p. 8. 127 En España (por ejemplo, Marbella, Ceuta o Las Rozas) existen cámaras que incorporan esta tecnología para la lucha contra determinada delincuencia, véase Barona Vilar, S. (2024). Tecnología biométrica y datos biométricos…, Op. Cit., pp. 313-315. 128 Comité Europeo de Protección de Datos. (2023). Directrices 5/2022 sobre el uso de la tecnología de reconocimiento facial…, Op. Cit., p. 5. 129 Alonso Salgado, C. (2021). Acerca de la inteligencia artificial en el ámbito penal: especial referencia a la actividad de las fuerzas y cuerpos de seguridad. IUS ET SCIENTIA, 7(1), p. 32. 130 Barona Vilar, S. (2024). Tecnología biométrica y datos biométricos…, Op. Cit., pp. 313-315. 131 De Miguel Beriain, I., & Pérez Estrada, M. J. (2019). La inteligencia artificial en el proceso penal español…, Op. Cit., p. 553. 41 imágenes y las coteje con los datos biométricos del rostro de la persona investigada puede ser de gran utilidad para determinar su coincidencia (o no) 132 . Las aplicaciones de la tecnología de reconocimiento facial en el ámbito de una investigación penal son diversas. Sin ánimo exhaustivo, puede utilizarse para: identificar a la persona (como un presunto delincuente, víctima o testigo) que aparece en una fotografía o vídeo mediante la búsqueda en una base de datos; identificar remotamente en espacios públicos o pasos fronterizos a personas en situación de búsqueda y captura o personas desaparecidas, cotejando en tiempo real los rostros capturados en directo por las cámaras de vigilancia con una base de datos policial; el seguimiento de los movimientos de una persona en el espacio público o la reconstrucción del viaje de una persona y sus posteriores interacciones con otras personas para identificar esas personas con las que ha tenido contacto 133 ; e incluso para evaluar el grado de credibilidad de la declaración del investigado 134 . Hasta la fecha, si bien varias autoridades policiales de la UE están probando su potencial mediante pruebas o test, los casos de uso reales de la tecnología de reconocimiento facial en el ámbito penal son escasos 135 . Actualmente son más bien objeto de observación, ensayo y planificación en la UE 136 . No obstante, cabe mencionar algunos ejemplos de su aplicación por autoridades públicas de algunos Estados miembros. La República Checa aprobó un plan para ampliar el uso de cámaras de reconocimiento facial en el aeropuerto internacional de Praga; las autoridades de Austria compraron una tecnología de reconocimiento facial para identificar a autores desconocidos de delitos para los que se dispone de imágenes de cámaras de CCTV u otras fuentes; en Suecia, la autoridad de protección de datos autorizó su uso policial para identificar a sospechosos comparando imágenes faciales de grabaciones de CCTV con una lista de vigilancia; la policía de Alemania (en una estación de tren de Berlín) y Francia (en un carnaval en Niza) han realizado pruebas mediante listas de vigilancia de personas voluntarias, y en el caso de Berlín, con motivo de la imposibilidad de revisar los materiales de vídeo de todas las 132 Freire Montero, A. F. (2022). El reconocimiento facial como instrumento de investigación y prevención del delito. Anuario da Facultade de Dereito da Universidade da Coruña, 26, p. 71. 133 Comité Europeo de Protección de Datos. (2023). Directrices 5/2022 sobre el uso de la tecnología de reconocimiento facial…, Op. Cit., pp. 12-44. 134 Etxeberria Guridi, J. F. (2022). Sistemas biométricos (el reconocimiento facial en particular) y sus aplicaciones. En S. Calaza López & M. Llorente Sánchez-Arjona (Eds.), Inteligencia artificial legal…, Op. Cit., pp. 158-169. 135 European Union Agency for Fundamental Rights. (2019b). Facial recognition technology: fundamental rights…, Op. Cit., p. 1. 136 Comité Europeo de Protección de Datos. (2023). Directrices 5/2022 sobre el uso de la tecnología de reconocimiento facial…, Op. Cit., p. 12. 48 razonable y desproporcionada. Asimismo, el artículo 20 CDFUE establece que todas las personas son iguales ante la ley. 168 Aunque el CEDH y la legislación de la UE permiten justificar un trato diferente cuando persigue un objetivo legítimo a través de medios que son necesarios y proporcionados 169 , se produce discriminación cuando una persona o grupo es tratada de forma menos favorable que otra por razón de una característica personal 170 . De hecho, el artículo 21 CDFUE prohíbe toda discriminación, y, en particular, la ejercida por razón de sexo, raza, religión, opiniones políticas, discapacidad u orientación sexual, entre otras. La prohibición de la Carta refleja el derecho correspondiente del CEDH (su artículo 14), pero es aún más amplia, con una formulación que establece una lista abierta y no exhaustiva, extendiendo la protección a una amplia gama de nuevos motivos 171 . En consecuencia, el artículo 21 CDFUE parece conceptualmente adecuado para abordar casos de discriminación algorítmica, debido a su formulación abierta y a su amplio alcance 172 . Sin embargo, muchos investigadores consideran que el actual marco de la UE no ofrece suficiente protección frente a la discriminación por IA, y la mayoría de los investigadores coinciden en que las víctimas enfrentan grandes dificultades para detectar y probar la discriminación 173 . Si bien realmente no hay una respuesta unívoca de dónde están los límites del contenido esencial de este derecho fundamental frente a la IA, la respuesta requeriría de “una evaluación ad casum sometida a un constante desarrollo y auditorías periódicas” 174 . En cualquier caso, la discriminación puede representar un factor de riesgo asociado a la tecnología de reconocimiento facial. Rodríguez Del Blanco distingue dos momentos en los que surgen riesgos significativos. Por una parte, en el diseño y entrenamiento del sistema el programador podría trasladar sesgos (incluso de forma inconsciente) en los que se 168 Rodríguez Del Blanco, A. (2024). Detectando los riesgos de la inteligencia artificial…, Op. Cit., p. 18. Véase la STC 91/2019, de 3 de julio de 2019, F.J. 4. 169 European Union Agency for Fundamental Rights. (2019b). Facial recognition technology: fundamental rights…, Op. Cit., p. 27. Véase la STEDH, de 29 de abril de 2008, Asunto 13378/05, Burden contra United Kingdom, apartado 60. 170 Madiega, T., & Mildebrath, H. (2021). Regulating facial recognition…, Op. Cit., pp. 17-20. 171 European Union Agency for Fundamental Rights. (2019b). Facial recognition technology: fundamental rights…, Op. Cit., p. 27. 172 Madiega, T., & Mildebrath, H. (2021). Regulating facial recognition…, Op. Cit., pp. 17-20. 173 Ibidem. 174 Rodríguez Del Blanco, A. (2024). Detectando los riesgos de la inteligencia artificial…, Op. Cit., p.19. 49 basarían posteriormente los resultados dados por la IA, atentando así contra la igualdad 175 . Por otra parte, en la utilización del sistema. Y es que, incluso en el caso de ser diseñado con una buena cantidad y calidad de datos, sin ser apreciable sesgo alguno, sigue existiendo riesgo. El responsable del tratamiento al utilizar la herramienta en busca de un resultado puede introducir datos tendenciosos o parciales sobre el sujeto que se desea identificar, por ejemplo, ocultando al sistema datos sobre la persona que serían positivos y que variarían el resultado. En consecuencia, a pesar de ser un sistema equilibrado en el diseño y entrenamiento del algoritmo, se puede nutrir al sistema de datos sesgados, dando un resultado que probablemente será contrario a los intereses y derechos de la persona afectada, y, en definitiva, vulnerando la igualdad. 176 De todas formas, la discriminación puede darse no solo durante el diseño, las pruebas o la aplicación de la tecnología de reconocimiento facial, sino también cuando los agentes deciden qué medidas adoptar tras una coincidencia; y, asimismo, otra causa importante de discriminación es la calidad de los datos utilizados, siendo ahora de especial relevancia lo explicado anteriormente sobre la precisión y calidad de los datos en estos sistemas 177 . En principio, un mayor número de imágenes faciales conduce a predicciones más precisas, sin embargo, la precisión no sólo depende de la cantidad de imágenes faciales procesadas, sino también de la calidad de las mismas, lo cual requiere un conjunto representativo de rostros. Se ha demostrado que las imágenes faciales utilizadas para desarrollar algoritmos en el mundo occidental suelen representar en exceso a hombres blancos, con un menor número de mujeres e individuos de otros orígenes étnicos 178 . Además, los estudios empíricos demuestran que el riesgo de trato discriminatorio (particularmente hacia personas de color) es mayor en el contexto policial 179 . 175 Es, por ello, que se da importancia a la explicabilidad en el diseño del algoritmo, en relación con los datos que se utilizan y la calidad de estos. Véase Comité Europeo de Protección de Datos. (2020b). Directrices 4/2019 relativas al artículo 25 Protección de datos…, Op. Cit. 176 Rodríguez Del Blanco, A. (2024). Detectando los riesgos de la inteligencia artificial…, Op. Cit., pp.20-21. 177 European Union Agency for Fundamental Rights. (2019b). Facial recognition technology: fundamental rights…, Op. Cit., p. 27. 178 Ibidem. Para más información, véase Cavazos, J.G., Phillips, P.J., Castillo, C.D., & O'Toole, A.J. (2021). Accuracy comparison across face recognition algorithms: Where are we on measuring race bias? IEEE Transactions on Biometrics, Behavior and Identity Science, 3(1), pp. 101–111. 179 Madiega, T., & Mildebrath, H. (2021). Regulating facial recognition…, Op. Cit., p.7. Véase Ban dangerous facial recognition technology that amplifies racist policing. (26 de enero de 2021). Amnesty international. Recuperado el 4 de febrero de 2025, de https://www.amnesty.org/en/latest/press-release/2021/01/ban-dangerous-facial-recognition-technology-that-amplifies-racist-policing/ 50 5.2.3. DERECHO A LA TUTELA JUDICIAL EFECTIVA El proceso penal es el escenario jurisdiccional en el que los derechos fundamentales y garantías procesales “se encuentran en un nivel de exigencia máximo por la transcendencia para los derechos y libertades individuales del ciudadano”, y, de hecho, el repertorio de derechos fundamentales procesales (presunción de inocencia, asistencia letrada, no declarar contra uno mismo…) 180 se ven complementados con un conjunto de garantías procesales que conforman un modelo procesal adecuado 181 . Partiendo de una concepción clásica por la que el proceso es el medio para realizar la Justicia, las constituciones del siglo XX incluyeron entre los derechos de la persona unos derechos y garantías procesales para definir las bases del proceso como vía para la tutela del derecho material, y así, “el proceso se convirtió en una garantía constitucional” 182 . De hecho, la mayoría han sido recogidos como garantías en forma de derecho fundamental tras la promulgación de la Constitución Española (especialmente, el artículo 24). De igual manera, el poder del ejercicio del ius puniendi por el Estado se contrapesa por una serie de principios y garantías 183 . El poder del ejercicio del ius puniendi por el Estado es el poder de investigar, perseguir y castigar las conductas socialmente reprochables, calificadas como delitos, que se ha demostrado que han ocurrido 184 . En este sentido, en la Sentencia del TC 89/1985, de 19 de julio de 1985, ya se afirmó que el derecho a la tutela judicial efectiva (artículos 24 de la Constitución Española, 47 y 48 CDFUE y 6 CEDH) es un derecho fundamental de carácter autónomo y con contenido propio; sin embargo, y debido a los diferentes elementos y la relación entre ellos que componen el artículo 24 de la Constitución Española, su estructura no es clara y la jurisprudencia del TC tampoco ha delimitado con claridad su contenido 185 . Pero, sí se puede apreciar una estructura bipartita: el acceso a la justicia, en general, y el proceso penal, en 180 El abordaje más reciente a nivel español de los derechos fundamentales procesales y garantías del proceso se llevó a cabo con el Anteproyecto de Ley de Enjuiciamiento Criminal de 2020 en España. Véase Martín Diz, F. (2024). Derechos y garantías procesales penales fundamentales…, Op. Cit., pp. 61-62. 181 Ibid., pp.62-63. 182 Rodríguez Del Blanco, A. (2024). Detectando los riesgos de la inteligencia artificial…, Op. Cit., p.5. 183 Ibid., p.9. 184 Banacloche Palao, J., & Zarzalejos Nieto, J. (2023). Aspectos fundamentales de Derecho procesal penal (6.a edición). La Ley, pp. 33-34; véase Gómez Colomer, J. L., & Barona Vilar, S. (Coords.). (2024). Proceso Penal. Derecho Procesal III (4a edición). Tirant lo Blanch. 185 Rodríguez Del Blanco, A. (2024). Detectando los riesgos de la inteligencia artificial…, Op. Cit., pp.40-41. 51 concreto 186 . Dicha estructura ha conformado cuatro grupos de derechos: la tutela judicial efectiva como derecho de acceso a los tribunales para que se dicte una resolución judicial que esté motivada en Derecho, el juez ordinario predeterminado por la ley, las garantías genéricas de todo proceso, y las garantías específicas del proceso penal 187 . Por ello, para el análisis de las principales implicaciones de la tutela judicial efectiva en relación con el reconocimiento facial se va a distinguir la tutela judicial efectiva como derecho de acceso a los tribunales y el derecho a un proceso con todas las garantías (tanto de todo proceso judicial como del proceso penal). 5.2.3.1. LA TUTELA JUDICIAL EFECTIVA COMO DERECHO DE ACCESO A LOS TRIBUNALES Desde la Sentencia del TC 19/1981, de 8 de junio de 1981, el TC ha venido identificando el contenido esencial de la tutela judicial efectiva como derecho de acceso a la justicia, el cual comprende el derecho a provocar la actividad jurisdiccional que desemboque en una decisión judicial 188 , no obstante, ha sido ampliado por la jurisprudencia de forma paulatina, abarcando los siguientes derechos. En primer lugar, el derecho a no sufrir indefensión, la cual existe cuando se suprime plenamente la posibilidad de contradicción, como ha indicado el TC 189 , que ha sido ratificado por el TEDH añadiendo la igualdad de armas y la contradicción como esencia del derecho a no sufrir indefensión. De igual manera, comprende un derecho a obtener una resolución motivada sobre el fondo de la pretensión, debiendo tratarse de una resolución congruente sobre el fondo 190 ; y debe ser una resolución razonable (artículo 120.3 de la Constitución Española), que no significa necesariamente que deba ser estimatoria o condenatoria ni que se vaya a tramitar todo el proceso. También el derecho al recurso frente a sentencias penales condenatorias 191 , que, si bien no existe un derecho absoluto al recurso, su configuración legal no puede supeditar su ejercicio a restricciones arbitrarias, irrazonables o excesivas las cuales supongan una privación de facto del derecho. Y, por último, comprende el derecho (con carácter general) a la 186 Ibidem. 187 Díez-Picazo, L. M. (2021b). La tutela judicial efectiva. En Sistema de Derechos Fundamentales (5a edición). Tirant lo Blanch, pp. 411-422. 188 STC 182/2002, de 14 de octubre de 2002. 189 STC 143/2001, de 18 de junio de 2001. 190 STC 215/1999, de 29 de noviembre de 1999. 191 STC 116/2006, de 24 de abril de 2006. 52 intangibilidad de las resoluciones procesales (como las diligencias, decretos, providencias, autos o sentencias) así como la ejecución de las resoluciones firmes. 192 Pues bien, ¿en qué casos afectaría el contenido esencial del derecho a la tutela judicial efectiva como derecho de acceso a la justicia el uso de estos sistemas en una investigación penal? Existe el importante riesgo de la no prosecución del procedimiento (por ejemplo, mediante el archivo de una denuncia, la desestimación de una querella o el sobreseimiento de un proceso penal) cuando la decisión se haya basado exclusivamente en el uso del sistema y no se indiquen las razones objetivas de la decisión con transparencia, al impedir tanto el acceso a la tutela judicial como la posibilidad de contradicción e igualdad de armas. Si una tecnología de reconocimiento facial basada en IA se utiliza en una investigación penal (por ejemplo, para identificar a un sospechoso), y ello deriva en el archivo de una denuncia o en la negativa a iniciar o continuar un procedimiento, basándose únicamente en la fiabilidad del sistema sin permitir cuestionar los datos en los que se basó, podría generar un escenario de indefensión material. Sería el caso de que los resultados técnicos del sistema se consideren decisivos sin una revisión humana adecuada ni complementándolo con otras pruebas, pudiendo identificarse a una persona como sospechosa erróneamente o no logrando identificar a la persona. También las autoridades podrían desestimar otras pruebas que contradigan los resultados al asumir que éstos son infalibles, o de igual manera, si la forma de operar del sistema no es explicable ni transparente, las partes afectadas no podrían cuestionar ni contradecir los resultados o identificar posibles sesgos en los datos utilizados. Este mismo riesgo puede también impedir la posibilidad de recurrir con efectividad determinadas resoluciones (como los autos de prosecución del procedimiento). Si la resolución que desea recurrirse se fundamenta exclusivamente en un resultado de la tecnología, y dicha resolución no recoge la explicabilidad interna (funcionamiento del sistema y cómo se llegó al resultado) se vulnerarían la contradicción e igualdad de armas en la vía de recurso. 193 Además, para poder ejercer el derecho la persona debe ser consciente de que su imagen facial se está tratando, de hecho, el TJUE 194 ha dictaminado que la notificación de que se está llevando a cabo el tratamiento de sus datos personales es necesaria para que las 192 Rodríguez Del Blanco, A. (2024). Detectando los riesgos de la inteligencia artificial…, Op. Cit., pp.41-43. 193 Ibid., pp.43-44. 194 STJUE, de 21 de diciembre de 2016, Asuntos acumulados C-203/15 y C-698/15, apartado 12. 53 personas afectadas puedan ejercer su derecho a la tutela judicial efectiva. Las personas pueden querer impugnar por qué se ha incluido su imagen facial en una lista de vigilancia policial sin su consentimiento, o bien impugnar el falso positivo que le ha generado consecuencias negativas. 195 5.2.3.2. EL DERECHO A UN PROCESO CON TODAS LAS GARANTÍAS Si bien no se cuestiona el carácter autónomo del derecho a un proceso con todas las garantías 196 respecto del resto de derechos, la dificultad está en determinar su contenido, lo cual ha generado confusión y en ocasiones ha sido delimitado incorrectamente 197 . En algo que la doctrina coincide es que se trata de un derecho procesal predicable para todos los órdenes jurisdiccionales y contemplado como principio procesal desligado del derecho fundamental a la tutela judicial efectiva del artículo 24.1 de la Constitución Española 198 . Además, se le otorga un trato de “cláusula de cierre” del sistema de garantías procesales, amparando derechos procesales que no están expresamente recogidos en el artículo 24 de la Constitución Española 199 . Con el fin de analizar las implicaciones del empleo de la tecnología de reconocimiento facial, se hará referencia tanto a garantías genéricas de todo proceso como respecto de las específicas del proceso penal. Las garantías genéricas son aquellas que, independientemente del orden jurisdiccional del que se trate, “deben ser respetadas y pueden ser invocadas en el ejercicio del derecho a la tutela judicial efectiva en cualquier ámbito” 200 ; mientras que las garantías específicas del proceso penal son “aquellas salvaguardas que constituyen el fundamento del principio acusatorio sobre el que se construye el proceso penal en nuestro Estado de Derecho”, lo que implica la exigencia de separación entre el investigador y acusador y el juzgador 201 , la carga de la prueba recae sobre la acusación 202 , y la existencia de igualdad de armas entre la acusación y la 195 European Union Agency for Fundamental Rights. (2019b). Facial recognition technology: fundamental rights…, Op. Cit., p. 32. 196 Suele denominarse “proceso con todas las garantías” (Constitución Española), “proceso debido” (doctrina angloamericana) o “proceso equitativo” (CDFUE y CEDH). 197 Calderón Cuadrado, M. P. (2011). El derecho a un proceso con todas las garantías (aspectos controvertidos y jurisprudencia del Tribunal Constitucional). Cuadernos de Derecho Pblico, 10, pp. 154-155. 198 De Miguel Beriain, I., & Pérez Estrada, M. J. (2019). La inteligencia artificial en el proceso penal español: un análisis de su admisibilidad sobre la base de los derechos fundamentales implicados. Revista de Derecho de la UNED, 25, pp. 546-549. La STC 46/1982, de 12 de julio de 1982 establece la diferencia entre los apartados 1 y 2 del artículo 24 CE. 199 Ibidem. 200 Rodríguez Del Blanco, A. (2024). Detectando los riesgos de la inteligencia artificial…, Op. Cit., p.46. 201 STC 145/1988, de 12 de julio de 1988. 202 STEDH, de 3 de abril de 2012, Asunto 17966/10, Manzanas Martín contra España. 54 defensa 203 . En el escenario que aquí se analiza, se considera que en el seno del proceso penal pueden verse afectados: los derechos a la asistencia letrada y a utilizar los medios de prueba pertinentes para la defensa (sin perjuicio de otras garantías genéricas que no tendrían transcendencia al respecto), así como los derechos a ser informado de la acusación, a no confesarse culpable, a no declarar contra sí mismo y a la presunción de inocencia (nuevamente sin perjuicio de otras garantías específicas del proceso penal irrelevantes). Es importante recordar que estamos ante sistemas algorítmicos que no son infalibles, por lo que en todo caso debe tratarse de una herramienta de apoyo para la labor judicial y policial, y no como fundamento absoluto a la hora de tomar decisiones, siendo necesario un control humano y otras fuentes de prueba 204 . 5.2.3.2.1. DERECHOS A UTILIZAR LOS MEDIOS DE PRUEBA PERTINENTES PARA LA DEFENSA Y A LA ASISTENCIA LETRADA El contenido esencial del derecho a utilizar los medios de prueba pertinentes para la defensa 205 viene delimitado por el derecho a proponer prueba (a expensas de que sea admitida o no), y en el caso de ser admitida, que ésta sea practicada en el juicio (como medio de prueba) y valorada judicialmente; además, se considerará prueba propuesta útil y pertinente la prueba cuya inadmisión provocaría una indefensión material al proponente. En este sentido, en el proceso penal podría surgir un riesgo por la falta de igualdad de armas que puede suponer que una de las partes utilice una tecnología de reconocimiento facial y la otra parte no. En el caso de que se proponga y admita el empleo de una prueba de cargo de este tipo dando la oportunidad al acusado de defenderse en los mismos términos (dentro del plazo legal), no habría problema, pero sí existiría un riesgo en el caso de que la prueba de cargo se proponga en el acto del juicio (por medio del artículo 786.2 LECrim), afectando a la igualdad de armas si se admitiera su práctica. En definitiva, el riesgo es relativo a “la sorpresividad de una prueba” basada en IA que se aporta ex novo en el 203 Rodríguez Del Blanco, A. (2024). Detectando los riesgos de la inteligencia artificial…, Op. Cit., p.48. Véase STEDH, de 5 de septiembre de 2017, Asunto 61496/08, Barbulescu contra Romania. 204 Llorente Sánchez-Arjona, M. (2022). Inteligencia Artificial, valoración del riesgo y derecho al debido proceso. En S. Calaza López & M. Llorente Sánchez-Arjona (Eds.), Inteligencia artificial legal y administración de justicia (1a edición). Thomson Reuters Aranzadi, pp. 371-396. 205 STC 23/2006, de 30 de enero de 2006. 55 juicio oral, y a ello se le añade la mayor dificultad de contradicción por el conocimiento técnico que se requiere para comprenderla. 206 Podría incluso hablarse de un proceso caracterizado por una “asimetría o desequilibrio cognoscitivo”, en el sentido de que las instituciones públicas y las grandes empresas podrían tener acceso a la tecnología más avanzada, pues disponen generalmente de mayores medios económicos que los particulares 207 . Además, ya se ha mencionado anteriormente que, en ocasiones, la IA basa sus resultados en datos que el propio sistema infiere de forma probabilística del conjunto de datos utilizado para entrenar al algoritmo, por lo que no emplea datos objetivables y comprobables por un tercero que sirven para fundamentar el resultado que da, tratándose de apreciaciones personales. En este caso, el sistema deberá indicar que se ha basado en apreciaciones probabilísticas y no en datos objetivos, de lo contrario, no podrá garantizarse la tutela judicial efectiva del afectado, y además, debido a que los resultados que son generados por medio de datos inferidos pasan posteriormente a ser parte del dataset originario, podría imposibilitarse la obligación de distinción de resultados que se basan en hechos o en apreciaciones personales que impone el artículo 10 LOPDPP 208 . Y, aunque los resultados muestren las tasas de éxito (coincidencia) y los códigos que introdujeron los programadores, no muestran las variables utilizadas para llegar a dichos resultados, suponiendo un obstáculo para el derecho de defensa 209 . De hecho, al obtener un resultado el usuario “no sabe cuál es el camino por el que se ha llegado a los mismos” 210 . En relación con el derecho a la asistencia letrada, cabe mencionar que ha sido configurado como un derecho y deber irrenunciable, en tanto que, de no nombrar el imputado a un abogado de confianza, se designará ipso facto a uno de oficio 211 . Aunque, en realidad, este derecho es una vertiente de la igualdad de armas y del derecho de defensa, que tiene el fin 206 Rodríguez Del Blanco, A. (2024). Detectando los riesgos de la inteligencia artificial…, Op. Cit., pp.48-59. 207 Llorente Sánchez-Arjona, M. (2022). Inteligencia Artificial, valoración del riesgo y derecho al debido proceso. En S. Calaza López & M. Llorente Sánchez-Arjona (Eds.), Inteligencia artificial legal…, Op. Cit., p. 393. 208 Rodríguez Del Blanco, A. (2024). Detectando los riesgos de la inteligencia artificial…, Op. Cit., p.39. 209 Castillejo Manzanares, R. (2022). Digitalización y/o Inteligencia Artificial. En S. Calaza López & M. Llorente Sánchez-Arjona (Eds.), Inteligencia artificial legal y administración de justicia (1a edición). Thomson Reuters Aranzadi, pp. 55-90. 210 Llorente Sánchez-Arjona, M. (2022). Inteligencia Artificial, valoración del riesgo y derecho al debido proceso. En S. Calaza López & M. Llorente Sánchez-Arjona (Eds.), Inteligencia artificial legal…, Op. Cit., p. 391. 211 Calaza López, S. (2017). Una nueva dimensión del derecho de información del investigado/encausado en el proceso penal. Anuario Jurídico Villanueva, 11, p. 36. 56 de evitar que un deficiente asesoramiento técnico provoque un resultado lesivo para el justiciable, y exigiendo la gratuidad de la justicia en su caso (artículo 119 de la Constitución Española); en caso contrario, se provocaría indefensión 212 . En este sentido, deriva un riesgo relativo a la igualdad de armas y que una deficiente asistencia letrada afecte negativamente a los derechos del asistido. En el supuesto de que una decisión judicial (o una prueba de la contraparte) se fundamenten en IA, y de cuya decisión se derive una consecuencia perjudicial para la parte (por ejemplo, es detenido o interrogado), debe cuestionarse si la asistencia de letrado se garantiza, tomando en consideración la dificultad técnica de la cuestión; esto es, los conocimientos jurídicos que dispone el letrado probablemente no alcancen para comprender una decisión o prueba algorítmica que se basa en conocimientos informáticos, por lo que surge esa dificultad para el letrado de defender efectivamente al afectado en base a una igualdad de armas y contradicción debidas 213 . Además, también puede verse afectado este derecho cuando se utiliza una tecnología de reconocimiento facial sin haber informado debidamente de esta situación a la parte, y sin serle posible, además, conocer su funcionamiento. En este caso, se podría incurrir tanto en una indefensión procesal, por no trasladar a la parte esta situación, como tecnológica, por el desconocimiento del diseño y funcionamiento del sistema y los algoritmos, dando lugar a la indefensión de las partes por no explicarles la forma en que se obtiene el resultado, así como la posibilidad de ver si existe ausencia de transparencia, carencia de control humano, o la existencia de sesgos y discriminación 214 . Cabe matizar que no es tanto el hecho de que no pueda ejercer el derecho de defensa (formalmente la contradicción podría estar garantizada), sino comprender cómo se ha llegado al resultado para así poder rebatirlo 215 . 5.2.3.2.2. DERECHOS A SER INFORMADO DE LA ACUSACIÓN Y A LA PRESUNCIÓN DE INOCENCIA El derecho a ser informado de la acusación, también llamado derecho de información, y cuyo fundamento reside en los principios de igualdad y de contradicción, es un presupuesto 212 Rodríguez Del Blanco, A. (2024). Detectando los riesgos de la inteligencia artificial…, Op. Cit., p. 47. Véase la STC 47/1987, de 22 de abril de 1987. 213 Ibid., pp.51-52. 214 Martín Diz, F. (2024). Derechos y garantías procesales penales fundamentales…, Op. Cit., pp.67-68. 215 De Miguel Beriain, I., & Pérez Estrada, M. J. (2019). La inteligencia artificial en el proceso penal español…, Op. Cit., p. 552. 57 esencial del derecho de defensa y del derecho a la tutela 216 . Este derecho exige comunicar los hechos delictivos que se imputan al inculpado, su calificación jurídica, las normas que se consideran violadas y sus consecuencias jurídicas, con el fin de que el acusado pueda ejercer su defensa 217 . Por su parte, el derecho a la presunción de inocencia significa que toda persona sometida a un proceso penal será inocente mientras no se demuestre lo contrario, incumbiendo la carga de la prueba a la acusación, y, por consiguiente, su propia naturaleza se constituye como una presunción iuris tantum, esto es, que puede ser desvirtuada mediante una “mínima actividad probatoria” 218 . Es un derecho de especial importancia “como esfera protectora del encausado en frente a un ejercicio indiscriminado e injustificado de la investigación o la acusación penal” 219 . Ahora bien, ¿cuáles podrían ser los riesgos del empleo de una tecnología de reconocimiento facial? Un riesgo potencial para ambos derechos es el supuesto en que los resultados del sistema empleado se incorporen a la motivación de las resoluciones dictadas en el marco del proceso penal. El riesgo puede derivar (nuevamente) de la falta de explicabilidad de los factores tomados en consideración por la IA a la hora de adoptar el resultado final, privando al investigado del conocimiento de los motivos objetivos de la decisión, o bien si la resolución fuera arbitraria o no motivada 220 . Otro riesgo respecto de la presunción de inocencia sería que el resultado positivo por una coincidencia, que puede llevar a que una persona sea objeto de actuaciones policiales, además de que puede servir de prueba decisiva, por lo que las deficiencias de la tecnología (por ejemplo, el posible sesgo, discriminación o identificación incorrecta) puede tener consecuencias significativas en el contexto penal 221 . Por tanto, la presunción de inocencia se vería condicionada cuando la herramienta usa cánones discriminatorios y sesgados 222 . También en relación con el derecho a la presunción de inocencia, “está totalmente asentada la consideración lineal e ininterrumpida de dicho derecho en favor del investigado o encausado (…), desde el inicio 216 Calaza López, S. (2017). Una nueva dimensión del derecho de información del investigado…, Op. Cit., p. 26. 217 Agudo Zamora, M., & Milione, C. (2009). El derecho a ser informado de la acusación en la jurisprudencia del Tribunal Europeo de Derechos Humanos y del Tribunal Constitucional español. Revista de Teoría y Realidad Constitucional de la UNED, 23, pp. 189-221. 218 Carballo Armas, P. (2004). La presunción de inocencia en la jurisprudencia del Tribunal Constitucional Español. Derecho & Sociedad, 22, pp. 298-303. 219 Martín Diz, F. (2024). Derechos y garantías procesales penales fundamentales…, Op. Cit., p. 63. 220 Rodríguez Del Blanco, A. (2024). Detectando los riesgos de la inteligencia artificial…, Op. Cit., pp. 53-59. 221 Comité Europeo de Protección de Datos. (2023). Directrices 5/2022 sobre el uso de la tecnología de reconocimiento facial…, Op. Cit., p. 16. 222 Llorente Sánchez-Arjona, M. (2022). Inteligencia Artificial, valoración del riesgo y derecho al debido proceso. En S. Calaza López & M. Llorente Sánchez-Arjona (Eds.), Inteligencia artificial legal…, Op. Cit., p. 393. 64 Comité Europeo de Protección de Datos. (2020b). Directrices 4/2019 relativas al artículo 25 Protección de datos desde el diseño y por defecto (Versión 2.0). Recuperado el 4 de febrero de 2025, de https://www.edpb.europa.eu/system/files/202104/edpb_guidelines_201904_dataprotection_by_design_and_by_default_v2.0_es.pdf Comité Europeo de Protección de Datos. (2023). Directrices 5/2022 sobre el uso de la tecnología de reconocimiento facial en el ámbito de la aplicación de la ley (Versión 2.0). Recuperado el 4 de febrero de 2025, de https://www.edpb.europa.eu/system/files/202405/edpb_guidelines_202304_frtlawenforcement_v2_es.pdf Comité Europeo de Protección de Datos & Supervisor Europeo de Protección de Datos. (2021). Dictamen conjunto 5/2021 sobre la propuesta de Reglamento del Parlamento Europeo y del Consejo por el que se establecen normas armonizadas en materia de inteligencia artificial (Ley de Inteligencia Artificial). Recuperado el 4 de febrero de 2025, de https://www.edpb.europa.eu/system/files/2021-10/edpbedps_joint_opinion_ai_regulation_es.pdf Consultative Committee of the Convention for the protection of individuals with regard to automatic processing of personal data (Convention 108). (2021). Guidelines on facial recognition. Recuperado el 4 de febrero de 2025, de https://edoc.coe.int/en/artificialintelligence/9753-guidelines-on-facial-recognition.html# Cortés, J. (2019). Cuatro trucos para engañar a un sistema de reconocimiento facial. Recuperado el 4 de febrero de 2025, de https://elpais.com/retina/2019/10/22/innovacion/1571730281_157570.html Cotino Hueso, L. (2023). Una regulación legal y de calidad para los análisis automatizados de datos o con inteligencia artificial. Los altos estándares que exigen el Tribunal Constitucional alemán y otros tribunales, que no se cumplen ni de lejos en España. Revista General de Derecho Administrativo, 63. Cotino Hueso, L. (2024). La primera sentencia del Tribunal de Justicia de la Unión Europea sobre decisiones automatizadas y sus implicaciones para la protección de datos y el Reglamento de inteligencia artificial. Diario La Ley, 80. 65 De Miguel Beriain, I., & Pérez Estrada, M. J. (2019). La inteligencia artificial en el proceso penal español: un análisis de su admisibilidad sobre la base de los derechos fundamentales implicados. Revista de Derecho de la UNED, 25, pp. 531-554. Díez-Picazo, L. M. (2021a). Desarrollo y regulación de los derechos fundamentales. En Sistema de Derechos Fundamentales (5a edición). Tirant lo Blanch, pp. 110-111. Díez-Picazo, L. M. (2021b). La tutela judicial efectiva. En Sistema de Derechos Fundamentales (5a edición). Tirant lo Blanch, pp. 411-422. Esparza Leibar, I. (2022). Derecho fundamental a la protección de datos de carácter personal en el ámbito jurisdiccional e Inteligencia Artificial. En especial la LO 7/2021, de protección de datos personales tratados para fines de prevención, detección, investigación y enjuiciamiento de infracciones penales y de ejecución de sanciones penales. En S. Calaza López & M. Llorente Sánchez-Arjona (Eds.), Inteligencia artificial legal y administración de justicia (1a edición). Thomson Reuters Aranzadi, pp. 181-209. Etxeberria Guridi, J. F. (2022). Sistemas biométricos (el reconocimiento facial en particular) y sus aplicaciones. En S. Calaza López & M. Llorente Sánchez-Arjona (Eds.), Inteligencia artificial legal y administración de justicia (1a edición). Thomson Reuters Aranzadi, pp. 151-180. European Union Agency for Fundamental Rights. (2019a). Data quality and artificial intelligence - mitigating bias and error to protect fundamental rights. Recuperado el 4 de febrero de 2025, de https://fra.europa.eu/sites/default/files/fra_uploads/fra-2019data-quality-and-ai_en.pdf European Union Agency for Fundamental Rights. (2019b). Facial recognition technology: fundamental rights considerations in the context of law enforcement. Recuperado el 4 de febrero de 2025, de https://fra.europa.eu/sites/default/files/fra_uploads/fra-2019facial-recognition-technology-focus-paper-1_en.pdf Freire Montero, A. F. (2022). El reconocimiento facial como instrumento de investigación y prevención del delito. Anuario da Facultade de Dereito da Universidade da Coruña, 26, pp. 64-88. 66 Fussey, P., & Murray, D. (2019). Independent Report on the London Metropolitan Police Service’s Trial of Live Facial Recognition Technology. Recuperado el 4 de febrero de 2025, de https://repository.essex.ac.uk/24946/1/London-Met-Police-Trial-of-FacialRecognition-Tech-Report-2.pdf Garriga Domínguez, A. (2024). Los derechos ante los sistemas biométricos que incorporan Inteligencia Artificial. DERECHOS Y LIBERTADES: Revista de Filosofía del Derecho y derechos humanos, 51, pp. 117-149. Gómez Abeja, L. (2022). Inteligencia artificial y Derechos fundamentales. En Inteligencia artificial y Filosofía del derecho. Ediciones Laborum, pp. 91-114. Gómez Colomer, J. L., & Barona Vilar, S. (Coords.). (2024). Proceso Penal. Derecho Procesal III (4a edición). Tirant lo Blanch. González Fuster, G., & Nadolna Peeters, M. (2021). Person identification, human rights and ethical principles: Rethinking biometrics in the era of artificial intelligence. European Parliamentary Research Service. Recuperado el 4 de febrero de 2025, de https://www.europarl.europa.eu/RegData/etudes/STUD/2021/697191/EPRS_STU(20 21)697191_EN.pdf Grupo de Trabajo del Artículo 29. (2012). Dictamen 3/2012 sobre la evolución de las tecnologías biométricas. Recuperado el 4 de febrero de 2025, de https://www.aepd.es/documento/wp193_es.pdf Leslie, D. (2020). Understanding bias in facial recognition technologies. The Alan Turing Institute. Llorente Sánchez-Arjona, M. (2022). Inteligencia Artificial, valoración del riesgo y derecho al debido proceso. En S. Calaza López & M. Llorente Sánchez-Arjona (Eds.), Inteligencia artificial legal y administración de justicia (1a edición). Thomson Reuters Aranzadi, pp. 371-396. Lynch, J. (2020). Face Off: Law enforcement use of face recognition technology. Recuperado el 4 de febrero de 2025, de https://www.eff.org/files/2020/04/20/face-offreport-2020_1.pdf 67 Madiega, T., & Mildebrath, H. (2021). Regulating facial recognition in the EU. Recuperado el 4 de febrero de 2025, de https://www.europarl.europa.eu/RegData/etudes/IDAN/2021/698021/EPRS_IDA(2021 )698021_EN.pdf Malgieri, G. (2020). The concept of Fairness in the GDPR: A linguistic and contextual interpretation. FAT* 2020 - Proceedings of the 2020 Conference on Fairness, Accountability, and Transparency, pp. 154-166. https://doi.org/10.1145/3351095.3372868 Martín Diz, F. (2024). Derechos y garantías procesales penales fundamentales: una lectura en clave tecnológica. IUS ET SCIENTIA, 1(10), pp. 52-81. Pérez Estrada, M. J. (2019). La protección de los datos personales en el registro de dispositivos de almacenamiento masivo de información. Revista Brasileira de Direito Processual Penal, 5(3), pp. 1297-1330. Puyol Montero, F. J. (2016). Los principios del derecho a la protección de datos. En J. L. Piñar Mañas (Ed.), Reglamento general de protección de datos: hacia un nuevo modelo europeo de privacidad. Reus, pp. 135-150. Rodríguez Del Blanco, A. (2024). Detectando los riesgos de la inteligencia artificial en la instrucción penal. Revista General de Derecho Procesal, 64. Saiz Garitaonandia, A. (2023). Inteligencia Artificial: Desmontando mitos y confirmando realidades. Recuperado el 4 de febrero de 2025, de https://www.abogacia.es/actualidad/opinion-y-analisis/inteligencia-artificialdesmontando-mitos-y-confirmando-realidades/ Schindel, E. (2018). Biométrica, normalización de los cuerpos y control de fronteras en la Unión Europea. Athenea Digital. Revista de Pensamiento e Investigacin Social, 18(1), pp. 11-31. Ugartemendia Eceizabarrena, J. I. (2013). La tutela judicial de los derechos fundamentales en el ámbito de aplicación nacional del derecho de la Unión Europea. Recientes acotaciones del Tribunal de Justicia y del Tribunal Constitucional Español. Revista de Teoría y Realidad Constitucional de la UNED, 32, pp. 391-428. 68 UNESCO. (2022). Recomendación sobre la ética de la inteligencia artificial. Recuperado el 4 de febrero de 2025, de https://unesdoc.unesco.org/ark:/48223/pf0000381137_spa Legislación: • Carta de los derechos fundamentales de la Unión Europea, Niza, 7 de diciembre de 2000. (DOCE, núm. 364, 18-12-2000). • Constitución Española. (BOE, núm. 311, 29 de diciembre de 1978) • Convenio Europeo para la Protección de los Derechos Humanos y de las Libertades Fundamentales, Roma, 4 de noviembre de 1950. (BOE, núm. 243, 10-10-1979). • Directiva (UE) 2016/680 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por parte de las autoridades competentes para fines de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales, y a la libre circulación de dichos datos, y por la que se deroga la Decisión Marco 2008/977/JAI del Consejo. (DOUE L 119/89, 4 de mayo de 2016). • Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales. (BOE núm. 294, de 6 de diciembre de 2018) • Ley Orgánica 6/1985, de 1 de julio, del Poder Judicial. (BOE núm. 157, de 2 de julio de 1985) • Ley Orgánica 7/2021, de 26 de mayo, de protección de datos personales tratados para fines de prevención, detección, investigación y enjuiciamiento de infracciones penales y de ejecución de sanciones penales. (BOE núm. 126, de 27 de mayo de 2021) • Real Decreto de 14 de septiembre de 1882 por el que se aprueba la Ley de Enjuiciamiento Criminal. (Gaceta de Madrid, núm. 260, de 17 de septiembre de 1882) • Real Decreto-ley 6/2023, de 19 de diciembre, por el que se aprueban medidas urgentes para la ejecución del Plan de Recuperación, Transformación y Resiliencia en materia de servicio público de justicia, función pública, régimen local y mecenazgo. (BOE núm. 303, de 20 de diciembre de 2023) • Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos). (DOUE L, núm. 119, 4 de mayo de 2016). 69 • Reglamento (UE) 2024/1689 del Parlamento Europeo y del Consejo, de 13 de junio de 2024, por el que se establecen normas armonizadas en materia de inteligencia artificial y por el que se modifican los Reglamentos (CE) nº 300/2008, (UE) nº 167/2013, (UE) nº 168/2013, (UE) 2018/858, (UE) 2018/1139 y (UE) 2019/2144 y las Directivas 2014/90/UE, (UE) 2016/797 y (UE) 2020/1828 (Reglamento de Inteligencia Artificial). (DOUE L, núm. 1689, 12 de julio de 2024). Jurisprudencia: • Sentencia del Tribunal Constitucional 17/2013, de 31 de enero de 2013. • Sentencia del Tribunal Constitucional 19/1981, de 8 de junio de 1981. • Sentencia del Tribunal Constitucional 23/2006, de 30 de enero de 2006. • Sentencia del Tribunal Constitucional 37/1989, de 15 de febrero de 1989. • Sentencia del Tribunal Constitucional 46/1982, de 12 de julio de 1982. • Sentencia del Tribunal Constitucional 47/1987, de 22 de abril de 1987. • Sentencia del Tribunal Constitucional 57/1994, de 28 de febrero de 1994. • Sentencia del Tribunal Constitucional 66/1995, de 8 de mayo de 1995. • Sentencia del Tribunal Constitucional 76/2019, de 22 de mayo de 2019. • Sentencia del Tribunal Constitucional 89/1985, de 19 de julio de 1985. • Sentencia del Tribunal Constitucional 91/2019, de 3 de julio de 2019. • Sentencia del Tribunal Constitucional 116/2006, de 24 de abril de 2006. • Sentencia del Tribunal Constitucional 143/2001, de 18 de junio de 2001. • Sentencia del Tribunal Constitucional 145/1988, de 12 de julio de 1988. • Sentencia del Tribunal Constitucional 182/2002, de 14 de octubre de 2002. • Sentencia del Tribunal Constitucional 186/2000, de 10 de julio de 2000. • Sentencia del Tribunal Constitucional 215/1999, de 29 de noviembre de 1999. • Sentencia del Tribunal Constitucional 292/2000, de 30 de noviembre de 2000. • Sentencia del Tribunal de Justicia de la Unión Europea (Gran Sala), de 8 de abril de 2014, Asuntos acumulados C-293/12 y C-594/12, procedimiento entre Digital Rights Ireland Ltd y Kärntner Landesregierung y otros. • Sentencia del Tribunal de Justicia de la Unión Europea (Gran Sala), de 13 de mayo de 2014, Asunto C-131/12, procedimiento entre Google Spain, S.L. y Google Inc. y Agencia Española de Protección de Datos y Mario Costeja González. 70 • Sentencia del Tribunal de Justicia de la Unión Europea (Gran Sala), de 6 de octubre de 2020, Asunto C-623/17, procedimiento entre Privacy International y Security Service y otros. • Sentencia del Tribunal de Justicia de la Unión Europea (Gran Sala), de 9 de noviembre de 2010, Asuntos acumulados C-92/09 y C-93/09, procedimiento entre Volker und Markus Schecke GbR y Hartmut Eifert y Land Hessen. • Sentencia del Tribunal de Justicia de la Unión Europea (Gran Sala), de 21 de diciembre de 2016, Asuntos acumulados C-203/15 y C-698/15, procedimiento entre Tele2 Sverige AB y Postoch telestyrelsen y entre Secretary of State for the Home Department y Tom Watson y otros. • Sentencia del Tribunal de Justicia de la Unión Europea (Sala Primera), de 7 de diciembre de 2023, Asunto C-634/21, procedimiento entre OQ y Land Hessen. • Sentencia del Tribunal de Justicia de la Unión Europea (Sala Segunda), de 22 de diciembre de 2010, Asunto C-279/09, procedimiento entre DEB Deutsche Energiehandelsund Beratungsgesellschaft y Bundesrepublik Deutschland. • Sentencia del Tribunal de Justicia de la Unión Europea (Sala Tercera), de 5 de octubre de 2010, Asunto C-400/10 PPU, procedimiento entre J. McB. y L. E. • Sentencia del Tribunal de Justicia de la Unión Europea (Sala Tercera), de 20 de octubre de 2022, Asunto C-585/20, procedimiento entre BFF Finance Iberia S.A.U. y Gerencia Regional de Salud de la Junta de Castilla y León. • Sentencia del Tribunal de Justicia de la Unión Europea (Sala Cuarta), de 17 de octubre de 2013, Asunto C-291/12, procedimiento entre Michael Schwarz y Stadt Bochum. • Sentencia del Tribunal Europeo de Derechos Humanos (Gran Sala), de 4 de mayo de 2000, Asunto 28341/95, Rotaru contra Romania. • Sentencia del Tribunal Europeo de Derechos Humanos (Gran Sala), de 5 de septiembre de 2017, Asunto 61496/08, Barbulescu contra Romania. • Sentencia del Tribunal Europeo de Derechos Humanos (Gran Sala), de 8 de julio de 2003, Asunto 36022/97, Hatton y otros contra United Kingdom. • Sentencia del Tribunal Europeo de Derechos Humanos (Gran Sala), de 29 de abril de 2008, Asunto 13378/05, Burden contra United Kingdom. • Sentencia del Tribunal Europeo de Derechos Humanos (Sección Cuarta), de 4 de diciembre de 2008, Asuntos 30562/04 y 30566/04, S. y Marper contra United Kingdom. • Sentencia del Tribunal Europeo de Derechos Humanos (Sección Primera), de 21 de junio de 2011, Asunto 30194/09, Shimovolos contra Russia. 71 • Sentencia del Tribunal Europeo de Derechos Humanos (Sección Tercera), de 2 de mayo de 2000, Asunto 35718/97, Condron contra United Kingdom. • Sentencia del Tribunal Europeo de Derechos Humanos (Sección Tercera), de 3 de abril de 2012, Asunto 17966/10, Manzanas Martín contra España. • Sentencia del Tribunal Europeo de Derechos Humanos (Sección Tercera), de 18 de octubre de 2016, Asunto 61838/10, Vukota-Boji contra Switzerland. • Sentencia del Tribunal Supremo 342/2013 (Sala Segunda, de lo Penal), de 17 de abril de 2013