El EDPB en la versión definitiva de las Guidelines 05/2022 on the use of facial recognition technology in the area of law enforcement, mantiene su párrafo 12 en el que se expresa lo siguiente:
"While both functions – authentication and identification – are distinct, they both relate to the processing of biometric data related to an identified or identifiable natural person and therefore constitute a processing of personal data, and more specifically a processing of special categories of personal data".
Así pues, independientemente de si se trata de autenticar o identificar a los usuarios a través de sus datos biométricos, siempre se estará hablando de categorías de datos especiales, cuyo tratamiento se regula en el artículo 9 del RGPD.
Por su parte, la AEPD deberá aclarar su criterio que ha sido confuso en sus últimas resoluciones. La AEPD se pronunció en original considerando que el tratamiento de datos biométricos con la finalidad de autenticación y no de identificación, no se trataba de un tratamiento de datos de categoría especial. Sin embargo, en sus últimas publicaciones condicionaba este criterio a la aprobación definitiva de las Guidelines del EDPB sobre el reconocimiento facial, mencionadas anteriormente, que ya pasan a ser definitivas. Por lo que es previsible un cambio de criterio de la AEPD para alinearse con el EDPB.