Cadenas de comida rápida enfrentan demanda colectiva bajo la BIPA

El 29 de agosto de 2022, los principales medios de comunicación de EE.UU. informaron de que varios conocidos restaurantes de comida rápida, como Applebees, Chipotle y Red Lobster, entre muchos otros, habían sido objeto de una demanda colectiva por no haber obtenido el consentimiento de los consumidores antes de recopilar y almacenar sus huellas vocales obtenidas a través de interacciones entre sistemas de pedidos por voz automatizados (AVO). Esta demanda colectiva se interpuso de conformidad con la Ley de Privacidad de la Información Biométrica de Illinois (BIPA), la primera de este tipo aprobada por un estado de EE.UU. Con este fin, las disposiciones de la BIPA obligan a las empresas y organizaciones a tomar medidas para proteger la información biométrica de los numerosos clientes a los que prestan servicios, so pena de enfrentarse a sanciones económicas y daños punitivos.

En relación con este último punto, la demanda presentada recientemente ante el Tribunal de Circuito del Condado de Cook, en Chicago (Illinois), alega que la multitud de establecimientos de comida rápida que han sido citados en el caso “nunca informaron adecuadamente a ninguno de los clientes de los restaurantes demandados que han interactuado con los sistemas AVO de que dichos sistemas recogen y/o almacenan sus huellas vocales e información biométrica”. En virtud de las disposiciones de la BIPA, una empresa del estado de Illinois es efectivamente responsable de proporcionar a los consumidores información sobre la forma en que se recogerá, conservará, transmitirá o divulgará su información biométrica antes de recoger dicha información de dichos clientes.

Pedidos de voz automatizados

Aunque los sistemas AVO se han convertido en algo habitual para muchos restaurantes de comida rápida y empresas minoristas de todo el mundo, la promulgación de la BIPA en 2008 sentó un nuevo precedente legal para las formas en que las empresas y organizaciones que utilizaban esta tecnología dentro del estado de Illinois podían hacerlo legalmente. Sin embargo, las grandes cadenas de comida rápida como Chipotle y Applebee’s invariablemente operarán miles de locales individuales en todo el país, además de los locales que están presentes dentro de establecimientos a mayor escala, como restaurantes que están presentes dentro de centros comerciales o centros urbanos. En este sentido, la conservación de los datos biométricos de un ciudadano estadounidense en la inmensa mayoría de los estados del país no constituiría una violación de ninguna ley concreta sobre privacidad de datos.

Posteriormente, los consumidores de todo el país utilizan sistemas de AVO para pedir a diario una amplia gama de productos y servicios. En lugar de una ley de protección de datos biométricos como la BIPA, las empresas que emplean estos sistemas no tienen ninguna obligación de proporcionar a estos consumidores información sobre cómo se maneja su información biométrica. Si a esto se añade el enfoque general que adoptan muchas grandes empresas en lo que respecta a la normalización de sus respectivas operaciones, tiene sentido que Chipotle y Applebees no hayan facilitado a los consumidores de Illinois información sobre la recogida de sus datos biométricos, ya que estas medidas serían innecesarias en prácticamente cualquier otro contexto empresarial.

Aplicación de la BIPA

Además de las estipulaciones que deben cumplir las empresas que prestan servicios a clientes de Illinois en lo que respecta a la recogida de datos biométricos, la BIPA también es única en el sentido de que la ley permite a los ciudadanos del estado ejercer el derecho privado de acción contra cualquier parte que consideren que ha violado los derechos de privacidad que les otorga la ley. Este derecho privado de acción constituye la base de la demanda colectiva que se presentó el pasado lunes, ya que la ley establece que cualquier parte perjudicada tiene derecho a una indemnización de hasta 1.000 dólares por infracciones negligentes de la ley, así como a una indemnización de hasta 5.000 dólares por infracciones imprudentes de la ley. Es más, la ley también establece que los ciudadanos de Illinois tienen derecho a recuperar los daños reales, en caso de que el importe en dólares de dichos daños supere los 1.000 o 5.000 dólares respectivamente, además de las costas judiciales razonables, los honorarios de abogados y otros gastos de litigio pertinentes.

Aunque otros estados de EE.UU. han promulgado sus propias leyes de protección de datos biométricos desde que se introdujo la BIPA en 2008, este hito legislativo ha alterado indudablemente la forma en que se permite a las empresas y organizaciones recopilar información biométrica de los consumidores estadounidenses. Por este motivo, aunque actualmente el número de leyes de protección de datos biométricos en Estados Unidos es relativamente pequeño, este número podría crecer exponencialmente en los próximos años, ya que los avances tecnológicos han llevado a muchas empresas a automatizar trabajos y tareas que antes requerían la introducción manual de datos. Del mismo modo, los consumidores estadounidenses también tendrán que ajustar la forma en que ven su propia privacidad personal, ya que los datos biométricos de una persona revelarán más al público en general sobre ella de lo que podría hacerlo cualquier otra forma de información personal.