RGPD

Avui ens centrarem en els sistemes biomètrics per a fins de control d’accés o de registre de jornada laboral. Parlem, bàsicament, de lectors d’empremta o sistemes de reconeixement facial o d’iris, que diverses empreses utilitzen per controlar l’accés al centre de treball i/o per registrar la jornada laboral dels seus empleats.  

El passat mes de novembre de 2023 l’Agència Espanyola de Protecció de Dades (AEPD) va publicar la «Guia sobre tractaments de control de presència mitjançant sistemes biomètrics«. En aquesta guia, l’AEPD canvia de criteri i aclareix que, com a norma general, no es poden tractar dades biomètriques per a fins de control d’accés o de registre de jornada laboral, encara que s’utilitzin sistemes de biometria feble.  

Aleshores, ja no es poden utilitzar sistemes biomètrics per a fins de control d’accés o de registre de jornada laboral? Per poder respondre a aquesta pregunta, primer convé repassar alguns conceptes importants:

¿Què és una dada biomètrica?

Són dades personals obtingudes a partir d’un tractament tècnic específic, relatives a les característiques físiques, fisiològiques o conductuals d’una persona física que permetin o confirmen la identificació única d’aquesta persona, com ara imatges facials o dades dactiloscòpiques (art. 4.14 del Reglament General de Protecció de Dades Personals, el RGPD ).

Les dades biomètriques són dades sensibles (també anomenades categories especials de dades). Com a regla general, el tractament de dades sensibles està prohibit (art. 9 del RGPD).

¿Què és un sistema biomètric?

Aquests sistemes utilitzen dispositius o sensors que recullen i processen dades biomètriques d’una o diverses persones, creant plantilles biomètriques que permeten la identificació, el seguiment o el perfilatge d’aquestes persones.

¿Què són les plantilles biomètriques?

Les plantilles biomètriques, també conegudes com signatures o patrons, són una forma d’escriptura d’una característica biomètrica humana, com ara una empremta o un rostre, entre altres. Les plantilles biomètriques estan orientades a ser tractades en un procés automatitzat que permeti la seva interpretació eficient i eficaç per part d’una màquina. No estan orientades a ser interpretades per una persona, com una fotografia.

Canvi de criteri de l’AEPD

Al maig del 2021, l’Agència Espanyola de Protecció de Dades (AEPD) va publicar la guia «La Protecció de Dades en les Relacions Laborals«, segons aquesta guia l’autenticació biomètrica no havia de considerar-se com un tractament de dades sensibles.

No obstant això, al 2022 el Comitè Europeu de Protecció de Dades (CEPD) va aclarir que tant l’autenticació com la identificació biomètrica han de considerar-se tractaments de dades sensibles, fet que va obligar a l’AEPD a canviar de criteri i publicar al novembre del 2023 la nova guia sobre tractaments de control de presència mitjançant sistemes biomètrics.

La identificació biomètrica és el procés que permet reconèixer una persona en particular dins d’un grup de persones. Per a això, es comparen les dades de la persona que es vol identificar amb les dades de la resta de persones del grup.

D’altra banda, la verificació o autenticació es refereix al procés que permet confirmar que una determinada persona és qui diu ser. Per a això, es comparen les dades d’aquesta persona amb les dades associades a la identitat reclamada.

Tractament de dades personals per a fins de control d’accés o de registre de jornada laboral

L’Estatut dels Treballadors (art. 20.3 i 34.9), la Llei Orgànica de Protecció de Dades (LOPDGDD) i el RGPD, en conjunt, permeten que els ocupadors tractin dades personals dels seus empleats per a fins de control d’accés o de registre de jornada laboral, sempre i quan es compleixin els principis per al tractament de dades definits en aquestes normatives.

Tractament de dades biomètriques per a fins de control d’accés o registre de jornada laboral

Per poder tractar dades biomètriques s’han de respectar els principis i requisits per al tractament de dades definits en el RGPD i, a més, s’ha de complir alguna de les circumstàncies definides en l’article 9.2 del mateix Reglament que aixequen la prohibició de tractar dades sensibles.

Una d’aquestes circumstàncies, la de l’article 9.2.b, permet que es tractin dades sensibles si hi ha una llei de Dret laboral i de seguretat i de protecció social que així ho autoritzi. Sobre aquesta circumstància, l’AEPD ha aclarit que, actualment, a Espanya no s’aplica per al tractament de dades biomètriques per a fins de control d’accés o de registre de jornada en l’àmbit laboral, ja que l’Estatut dels Treballadors no autoritza expressament el tractament de dades biomètriques per a aquests fins.

El consentiment de l’interessat és una altra de les circumstàncies (art. 9.2.a del RGPD) que autoritza el tractament de dades sensibles. No obstant això, l’AEPD remarca en la seva nova Guia que el consentiment ha de ser lliure i que, com a regla general, el consentiment d’un empleat perquè es tractin les seves dades biomètriques per a fins de control d’accés o de registre de jornada laboral no es considera com a consentiment lliure. L’AEPD no ho considera com a un consentiment lliure per la posició de desequilibri que existeix entre l’empleat i l’ocupador, llevat que es justifiqui que s’ha ofert a l’empleat una alternativa real la tria de la qual no li causaria cap represàlia o efecte advers.

Per tant, suposem que el consentiment ha estat lliure, encara s’ha de justificar la necessitat i proporcionalitat del tractament de dades biomètriques per a fins de control d’accés o de registre de jornada laboral. Sobre aquest últim punt, l’AEPD en la seva nova Guia ha deixat clar que per regla general el tractament de dades biomètriques per a fins de control d’accés o de registre de jornada laboral no és necessari, ja que existeixen altres mecanismes menys intrusius que permeten assolir les mateixes finalitats. I que, per tant, es tracta d’un tractament addicional de dades que s’ha de justificar amb finalitats addicionals del tractament (seguretat física, evolució del rendiment, accés a determinats espais o recursos de l’ocupador).

Tenint en compte el que s’ha esmentat, per poder utilitzar sistemes biomètrics pir a fins de control d’accés o de registre de jornada laboral, amb el consentiment de l’interessat, s’han de donar les següents circumstàncies:

• El sistema biomètric ha de respectar els principis per al tractament de dades personals (art. 5 del RGPD):
  • Principi de licitud, lleialtat i transparència;
  • Principi de minimització de dades;
  • Principi d’exactitud;
  • Principi de limitació del termini de conservació; i
  • Principi d’integritat i confidencialitat.

• S’ha de superar favorablement una Avaluació de l’Impacte per a la Protecció de Dades (AIPD) que inclogui i també superi el triple judici d’idoneïtat, necessitat i proporcionalitat estricta establert en l’art. 35.7.b del RGPD.

• El consentiment ha de ser lliure, i per a això s’ha d’oferir a l’interessat (en aquest cas, a l’empleat) una alternativa real que li permeti complir amb la mateixa finalitat. Si l’alternativa real és menys intrusiva i permet assolir les mateixes finalitats, l’ús de dades biomètriques no es considerarà necessari ni proporcional.

• S’han d’aplicar mesures tècniques, jurídiques i organitzatives que mitiguen el risc que implica el tractament de dades sensibles.

Per implementar un sistema biomètric per a fins de control d’accés fora de l’àmbit laboral, per exemple, en un gimnàs, també s’han de complir els requisits esmentats anteriorment. En tots dos casos, un dels grans reptes és poder justificar en l’Avaluació de l’Impacte que els beneficis buscats per l’empleat, o per l’interessat, s’integren en les finalitats del tractament i el fan necessari.

Es poden utilitzar sistemes biomètrics per a fins de control d’accés o de registre de jornada laboral? 

Depèn. Cada cas requereix d’un anàlisi individual que determini si es compleixen o no els requisits detallats en l’apartat anterior d’aquesta entrada. Aquest anàlisi ha de ser exhaustiu i ha de ser realitzat per un expert en protecció de dades, d’aquesta manera es minimitzarà el risc de sanció per part de l’AEPD.

Si ja has implementat o t’estàs plantejant implementar un sistema biomètric per a fins de control d’accés o de registre de jornada laboral has de tenir clar si compleixes o compliràs amb els requisits i les limitacions definides en el RGPD i en la LOPDGDD. En cas contrari, hi haurà el risc de sanció per incompliment, el qual es castiga amb importants multes. A Qualgest podem ajudar-te, els nostres més de 15 anys d’experiència assessorant empreses a complir amb la normativa sobre protecció de dades personals ens avalen. Contacta amb nosaltres si vols que analitzem el teu cas i t’assessorem.

---

KEYWORDS: Sistemes biomètrics per a fins de control d’accés o de registre de jornada laboral, lectors, empremta digital, veu, iris, reconeixement facial, sistema, drets interessats, Estatut dels Treballadors, AEPD, RGPD, LOPDGDD, compliment, sanció, principis de tractament de dades personals.