Política pública de conservación y destrucción de datos biométricos

Cómo usar este documento

• Sirve como política escrita y pública sobre qué datos biométricos trata la organización, para qué, durante cuánto tiempo y cómo se destruyen, e incluye los formularios de aviso y autorización y el cartel para establecimientos.
• Propietario sugerido: legal, con seguridad de la información como responsable de la destrucción y de las salvaguardas; RR. HH. cuando afecta a empleados.
• Antes de adoptarlo, decida: qué tecnologías biométricas usa (control de horario, acceso físico, verificación de identidad, reconocimiento facial en tiendas, voz), de quién (empleados, clientes, visitantes), con qué proveedor, y qué hechos ponen fin a cada finalidad.
• Complete la tabla de la sección 3 y el calendario de la sección 6; son la base de la política pública.
• Publique la política en el sitio web y póngala a disposición de empleados y clientes antes de captar datos biométricos. Use los Anexos A y B para obtener la autorización escrita y el Anexo C si tiene establecimientos abiertos al público en la ciudad de Nueva York.
• Conserve en «Variantes por país» solo los estados donde capta o conserva datos biométricos; la política propone aplicar a todas las personas el plazo más protector.
• Si usa reconocimiento facial o vigilancia biométrica de clientes o del público, clasifique ese sistema como mínimo en nivel Alto con la escala única de la organización y sométalo a la aprobación del comité de IA.
• Pida a legal interno o a un asesor externo que revise el documento antes de publicarlo: en materia biométrica hay leyes con acción privada y litigios frecuentes.
• Apruebe la política en [COMITÉ DE IA] o en el órgano que corresponda, publíquela y verifique cada [FRECUENCIA DE REVISIÓN] que las destrucciones se ejecutan.

Política pública de conservación y destrucción de datos biométricos

1. Objeto y alcance

[RAZÓN SOCIAL] ([NOMBRE DE LA ORGANIZACIÓN]) publica esta política para informar sobre los identificadores y la información biométrica que recoge, usa, conserva y destruye, y sobre los derechos de las personas afectadas.

Se aplica a los datos biométricos de empleados, candidatos, contratistas, clientes, usuarios y visitantes que la organización, o un proveedor por su cuenta, capta o conserva en cualquier ubicación o canal, incluidos los sistemas de IA que procesan rostros, voces u otras características físicas.

2. Definiciones

• Identificador biométrico: escaneo de retina o iris, huella dactilar, huella de voz, o escaneo de la geometría de la mano o del rostro, y otros identificadores que la ley aplicable considere biométricos.
• Información biométrica: información, cualquiera que sea su forma de captura o almacenamiento, basada en un identificador biométrico y usada para identificar a una persona, incluidas las plantillas generadas por un sistema.
• Datos biométricos: identificadores e información biométrica, en conjunto.
• Finalidad inicial: la finalidad específica para la que se captaron los datos, indicada en el aviso.
• Última interacción: la última vez que la persona interactuó con la organización en relación con la finalidad (por ejemplo, el último fichaje o el último acceso).
• Destrucción: eliminación permanente de los datos biométricos, incluidas copias, plantillas y copias de seguridad, de forma que no puedan recuperarse.