Los tratamientos de datos de categorías especiales, es decir, aquellos que a los que la normativa de protección de datos dedica más cuidado, son cada vez es más frecuentes.
No solo son datos de categorías especiales los de salud o creencias; tratamientos de datos como la huella dactilar o el reconocimiento facial se encuentran en este supuesto.
En el caso, por ejemplo, del reconocimiento facial usado para llevar un control horario, el tratamiento de datosdebería superar este juicio:
- Idoneidad: El método elegido para llevar a cabo el control debe ser el adecuado, no habiendo otra alternativa menos lesiva en la intimidad de las personas.
- Necesidad: Debe existir una necesidad real de llevarlo a cabo, por ejemplo, una norma legal que imponga ese deber.
- Proporcionalidad: Debe existir un equilibrio entre la intromisión realizada y el objetivo perseguido, tratando los datos indispensables para lograr la finalidad perseguida.
Por tanto, en el caso concreto del control horario, si existe otro método para llevarlo a cabo que no suponga el tratamiento del rostro, si no existe una obligación legal (se exige control de las horas, pero no se impone un método concreto para hacerlo) y si se puede hacer tratando menos datos, el resultado de la evaluación de impacto previa al tratamiento podría señalar que ese tratamiento de datos no es adecuado y no cumple con la normativa de protección de datos.
En todo caso se debe atender a los criterios de la Agencia Española de Protección de Datos sobre la diferente consideración de categorías especiales de datos cuando el proceso de control se hace mediante identificación (uno entre varios) o mediante autenticación (uno contra uno).
La evaluación de impacto en la protección de datos previa al tratamiento necesaria en estos casos determinará el cumplimiento de la normativa y su justificación.