Por qué su foto de pasaporte no debería subirse nunca

Una foto de pasaporte no es una imagen cualquiera. Es un retrato frontal, iluminado de manera uniforme, de expresión neutra y sobre fondo liso, hecho conforme a una norma publicada para que una máquina pueda medirlo. Esa es una descripción precisa de su rostro como documento de identidad, y es también una descripción precisa de la imagen más útil que puede conseguir un ladrón de identidad. Subirla a un sitio web para que se la recorten es un intercambio que regala algo valioso a cambio de una aritmética que su propio teléfono podría haber hecho.

Ese es todo el argumento a favor de procesar la foto donde ya está. Lo que sigue es el detalle.

El activo es la foto, no el recorte

La mayoría de la gente se imagina el riesgo al revés. Se imagina una foto robada publicada en algún sitio embarazoso. El valor real de un retrato normalizado es que está listo para una máquina: alimenta sin problemas un sistema de reconocimiento facial, encaja en una plantilla de documento falsificado sin retoques, y cumple el paso fotográfico de una comprobación de identidad a distancia en un banco o en una plataforma de criptomonedas. Las cualidades que hacen que una foto de pasaporte cumpla, es decir frontal, nítida, despejada y bien expuesta, son las que la hacen útil para otra persona.

No es una preocupación hipotética inventada por el sector. La Australian Passport Office lo dice en su propia guía para solicitantes: no recomienda usar un servicio de fotos de pasaporte por internet ni una aplicación móvil, porque pueden exponerle a un fraude de identidad (Australian Passport Office). Es raro que un gobierno nombre una categoría de servicio comercial en una advertencia, y merece la pena detenerse. La advertencia no va de que recortar sea difícil. Va de la subida.

Hay un eco jurídico del mismo punto. En el Reglamento General de Protección de Datos de la UE, el artículo 9 prohíbe, salvo condiciones concretas, el tratamiento de datos biométricos dirigidos a identificar de manera unívoca a una persona física, y los sitúa junto a los datos de salud y las creencias religiosas en las categorías especiales. La foto de un rostro no es automáticamente un dato biométrico. Se convierte en dato biométrico en el momento en que se procesa para identificar o medir a una persona concreta, que es exactamente lo que hace una herramienta de fotos de pasaporte cuando encuentra un rostro y mide la distancia entre los ojos. Si está en Europa, subir una foto de pasaporte a un servicio que mide rostros no es un acto de la misma clase que subir una foto de vacaciones, y la ley lo dice.

Lo que omite un "borramos su foto"

Los sitios de fotos suelen responder a la pregunta de la privacidad con una promesa de conservación: las imágenes se borran pasada una ventana, normalmente de 24 horas a 180 días. Las promesas de conservación valen algo, pero responden a una pregunta distinta de la que usted hizo.

El borrado es una afirmación sobre el futuro de una copia que ya se ha hecho. No afecta a lo que ocurrió durante la ventana, y en la ventana es donde ocurre todo: la propia transferencia, el depósito de almacenamiento en el que aterrizó, la copia de seguridad automática que corrió a las 03:00, el subcontratista que hace el procesado de imagen, la línea de registro que anotó el nombre del archivo, el evento de analítica que se disparó al subirla. Una promesa de borrar a los 30 días no puede retirar una copia hecha el segundo día.

Tampoco dice nada sobre la jurisdicción. Una foto subida desde Lagos o desde Manila puede procesarse en servidores de un tercer país bajo leyes en las que ninguna de las dos partes pensó. Y no dice nada sobre el final de la empresa: una política de conservación es una política, y las políticas no sobreviven a una adquisición o a una insolvencia de ninguna forma en la que se pueda confiar.

Nada de esto exige que nadie sea deshonesto. Solo exige las cosas normales que le pasan a los datos una vez que existe una copia.

La alternativa no es una promesa, es una ausencia

La salida no es una mejor política de privacidad. Es no hacer la copia.

Todo lo que una herramienta de fotos de pasaporte necesita hacer puede hacerse hoy dentro de una pestaña del navegador. Separar a una persona de un fondo y localizar los ojos, la nariz y la boca son trabajos para modelos de visión pequeños, y los navegadores pueden ejecutar esos modelos en su propio procesador. Una vez que corren localmente, el recorte, la medida de la altura de la cabeza y la sustitución del fondo son aritmética de imagen ordinaria. No hay ningún paso de esa secuencia que exija que un servidor vea su rostro.

Así funciona nuestra herramienta, y por eso podemos enunciar la promesa sin rodeos en lugar de con cautela: su foto nunca sale de su dispositivo. No estamos afirmando que tratemos su imagen de forma responsable. Estamos afirmando que nunca la recibimos, que es una afirmación sin margen de interpretación.

No debería creerlo por fe, y no tiene que hacerlo. Dos comprobaciones llevan un minuto:

El panel de red. Abra las herramientas de desarrollo de su navegador, vaya a la pestaña de red y déjela abierta. Cargue la página y verá llegar el código de la propia página y, una vez, los archivos de los modelos de visión. Después elija su foto y deje que la herramienta trabaje. Una subida no es sutil: aparece como una petición saliente con una carga grande. Si no sale nada grande, es que no salió nada grande.

El modo avión. Cargue la página y espere a que termine de prepararse. Después ponga el dispositivo en modo avión y use la herramienta igualmente. Si la foto se sigue midiendo y recortando con la red apagada, el procesado nunca estuvo ocurriendo en otro sitio. Esta prueba es la más convincente de las dos porque no puede falsearla un sitio que se limite a aplazar su subida.

Sea preciso sobre lo que esto cubre y lo que no

Ser honesto con una promesa de privacidad significa nombrar sus bordes.

El procesado en el dispositivo cubre su foto. No hace que una página web deje de ser una página web. El HTML, los scripts y los archivos de los modelos se descargan por la red como cualquier otra cosa, y cualquier analítica o publicidad que lleve un sitio se comporta como en todas partes. Si quiere ver con qué contacta una página, el mismo panel de red se lo enseña.

Tampoco elimina la subida final. La mayoría de las solicitudes quieren hoy un archivo digital, y usted lo enviará a la oficina de pasaportes, al portal de visados o al servicio de inmigración. Esa transferencia es el objetivo del ejercicio: la autoridad que expide su documento necesita su fotografía y tiene una base jurídica para conservarla. Lo que elimina el procesado en el navegador es la copia adicional inútil, en manos de una empresa que no pinta nada en su solicitud, hecha solo para que un rectángulo se cortara a medida.

Merece la pena conocer dos bordes prácticos. En un ordenador compartido, la imagen queda en la página mientras la pestaña está abierta, así que cierre la pestaña cuando termine. Y una foto ya enviada por una aplicación de mensajería ha sido recomprimida por esa aplicación, que es un problema de calidad y no de privacidad, pero es el motivo más frecuente por el que una buena foto no pasa una comprobación de resolución.

La versión corta

Haga a una herramienta de fotos una sola pregunta: ¿mi imagen va a su servidor? Si la respuesta es sí, cualquier otra garantía es una promesa sobre cómo unos desconocidos van a cuidar de una copia de su rostro. Si la respuesta es no, no hay nada que prometer, porque no hay nada ahí.

Cuando esté listo, los pasos prácticos para hacerse la foto cubren la luz, la distancia y los ajustes de la cámara, y los requisitos de tamaño digital explican qué le va a pedir el portal cuando la tenga. Si su solicitud es en Australia, donde la advertencia de la oficina de pasaportes es insólitamente directa, los requisitos australianos detallan qué espera la oficina.