En un contexto marcado por la creciente digitalización y la adopción masiva de tecnologías biométricas, conviene analizar críticamente el tratamiento de datos personales por parte de las Administraciones Públicas (AAPP), con especial atención al régimen sancionador aplicable en caso de vulneración del Reglamento General de Protección de Datos (RGPD).

Se parte de una preocupación central: ¿hasta qué punto los Estados están siendo verdaderamente responsables cuando incumplen sus propias normas de protección de datos y a qué consecuencias (reales) se enfrentan?

El uso de tecnologías como los sistemas de identidad digital y verificación biométrica, como la identificación facial, la voz y otros datos sensibles,  tiene implicaciones sobre los derechos fundamentales, especialmente la intimidad, la no discriminación y la equidad.

Aunque estas herramientas prometen eficiencia y seguridad, también amplifican los riesgos de vigilancia masiva, exclusión digital y discriminación algorítmica.

Las AAPP, lejos de quedar exentas de responsabilidad, deben ser sometidas a un escrutinio estricto, especialmente cuando gestionan datos inmutables y sensibles, como lo son los biométricos.

Derecho comparado

Un análisis comparado de los marcos sancionadores en seis países europeos (Alemania, Italia, España, Irlanda, Noruega y Portugal) revela una notable disparidad normativa y permite identificar y destacar enfoques como el noruego o el portugués, de proporcionalidad y efectividad sancionadora, frente a modelos más laxos como el alemán, el italiano o el español.

Alemania e Italia y España optan por eximir a sus AAPP de sanciones económicas, priorizando medidas correctivas y la responsabilidad individual de los funcionarios.

En cambio, Irlanda permite la posibilidad de sanciones económicas, aunque en la práctica rara vez se aplican.

Noruega y Portugal, por su parte, establecen regímenes sancionadores equitativos entre sector público y privado, permitiendo multas efectivas a las AAPP.

La falta de sanciones económicas disuasorias en muchos Estados miembros debilita el cumplimiento del RGPD y refuerza la impunidad institucional.

En muchos casos se argumenta que multar a una administración con fondos públicos perjudica a los ciudadanos. Sin embargo, esta lógica se enfrenta al riesgo de que las medidas correctivas no sean suficientemente disuasorias, especialmente en contextos en los que los ciudadanos ya desconocían sus derechos y también ahora el funcionamiento de estas nuevas tecnologías, la transparencia es baja y la vigilancia estatal crece.

Por último, es esencial que se prevean sanciones y se vigile a las Administraciones Públicas, puesto que la mera existencia de un mecanismo sancionador aparentemente efectivo, supone un elemento de disuasión y una herramienta de protección para la ciudadanía que no es de poca importancia. Subvirtiendo la  esencial coercibilidad de las normas a nuestras propias instituciones.

Identidad Digital

Otro punto crítico es la integración del nuevo Reglamento eIDAS2 en el marco europeo. Este reglamento busca establecer identidades digitales interoperables y seguras en la UE, complementando al RGPD.

No obstante, si bien ambos marcos normativos comparten principios como el control del usuario y la seguridad, su aplicación práctica puede entrar en conflicto, especialmente cuando los Estados interpretan el RGPD de forma restrictiva para sus propias AAPP.

También hay que señalar los riesgos estructurales que surgen cuando tecnologías de identidad digital se imponen sin salvaguardas adecuadas. Casos como el sistema Aadhaar en India o el NIIMS en Kenia muestran cómo una implementación masiva y sin controles puede agravar la desigualdad y erosionar derechos.

Aunque la UE ha avanzado con normativas como eIDAS2 y la Carta de Derechos Digitales, estas medidas aún son insuficientes si no se acompañan de mecanismos sancionadores firmes y homogéneos para las AAPP.

Conclusiones

• Se debe adquirir una conciencia crítica sobre el papel del Estado ya no solo como regulador, sino como actor tecnológico.

• Se requiere una reforma profunda del régimen sancionador a nivel europeo que garantice la rendición de cuentas de las AAPP en materia de protección de datos. El cumplimiento efectivo del RGPD no puede depender únicamente de la voluntad política o la presión social, sino de sanciones claras, proporcionadas y aplicadas con firmeza.

• Hay que repensar el equilibrio entre innovación, seguridad y derechos fundamentales en un escenario digital que avanza sin pausas.

Andrea Martínez Zamorano

Graduado en Derecho y Ciencias Políticas.