Hoy nos centraremos en los sistemas biométricos para fines de control de acceso o de registro de jornada laboral. Hablamos, básicamente, de lectores de huella o sistemas de reconocimiento facial o de iris, que varias empresas utilizan para controlar el acceso al centro de trabajo y/o para registrar la jornada laboral de sus empleados.
El pasado mes de noviembre de 2023 la Agencia Española de Protección de Datos (AEPD) publicó la “Guía sobre tratamientos de control de presencia mediante sistemas biométricos”. En esta guía la AEPD cambia de criterio y aclara que, como norma general, no se pueden tratar datos biométricos para fines de control de acceso o de registro de jornada laboral, aunque se utilicen sistemas de biometría débil.
Entonces, ¿ya no se pueden utilizar sistemas biométricos para fines de control de acceso o de registro de jornada laboral? Para poder responder a esta pregunta, primero conviene repasar algunos conceptos importantes:
¿Qué es un dato biométrico?
Son datos personales obtenidos a partir de un tratamiento técnico específico, relativos a las características físicas, fisiológicas o conductuales de una persona física que permitan o confirmen la identificación única de dicha persona, como imágenes faciales o datos dactiloscópicos (art. 4.14 del Reglamento General de Protección de Datos Personales, el RGPD).
Los datos biométricos son datos sensibles (también llamados categorías especiales de datos). Como regla general, el tratamiento de datos sensibles está prohibido (art. 9 del RGPD).
¿Qué son las plantillas biométricas?
Las plantillas biométricas, también denominadas firmas o patrones, son una forma de escritura de una característica biométrica humana, por ejemplo, de una huella o de un rostro, entre otros. Las plantillas biométricas están orientadas a ser tratadas en un proceso automatizado que permita su interpretación eficiente y eficaz por una máquina. No están orientadas a ser interpretadas por una persona, como una fotografía.
Cambio de criterio de la AEPD
En mayo 2021, la Agencia Española de Protección de Datos (AEPD) publicó la guía “La Protección de Datos en las Relaciones Laborales”, según esta guía la autenticación biométrica no debía considerase como un tratamiento de datos sensibles.
Sin embargo, en 2022 el Comité Europeo de Protección de Datos (CEPD) aclaró que tanto la autenticación como la identificación biométrica deben considerarse tratamientos de datos sensibles, hecho que obligó a la AEPD a cambiar de criterio y a publicar en noviembre de 2023 la nueva guía sobre tratamientos de control de presencia mediante sistemas biométricos.
La Identificación biométrica es el proceso que permite reconocer a una persona en particular dentro de un grupo de personas. Para ello, se comparan los datos de la persona que se quiere identificar con los datos del resto de personas del grupo.
Por otro lado, la verificación o autenticación se refiere al proceso que permite confirmar que una determinada persona es quien dice ser. Para ello, se comparan los datos de esa persona con los datos asociados a la identidad reclamada
Tratamiento de datos personales para fines de control de acceso o de registro de jornada laboral
El Estatuto de los Trabajadores (art. 20.3 y 34.9), la Ley Orgánica de Protección de Datos (LOPDGDD) y el RGPD, en su conjunto, permiten que los empleadores traten datos personales de sus empleados para fines de control de control de acceso o para fines de registro de jornada laboral, siempre y cuando se cumplan los principios para el tratamiento de datos definidos en estas normas.
Tratamiento de datos biométricos para fines de control de acceso o de registro de jornada laboral
Para poder tratar datos biométricos se deben respetar los principios y requisitos para el tratamiento de datos definidos en el RGPD y, además, se debe cumplir alguna de las circunstancias definidas en el artículo 9.2 del mismo Reglamento que levantan la prohibición de tratar datos sensibles.
Una de esas circunstancias, la del artículo 9.2.b, permite que se traten datos sensibles si existe una ley de Derecho laboral y de la seguridad y de protección social que así lo autorice. Sobre esta circunstancia, la AEPD ha aclarado que, actualmente, en España no aplica para el tratamiento de datos biométricos para fines de control de acceso o de registro de jornada en el ámbito laboral, ya que el Estatuto de los Trabajadores no autoriza expresamente el tratamiento de datos biométricos para esos fines.
El consentimiento del interesado es otra de las circunstancias (art. 9.2.a del RGPD) que autoriza el tratamiento de datos sensibles. Sin embargo, la AEPD remarca en su nueva Guía que el consentimiento tiene que ser libre y que, como regla general, el consentimiento de un empleado para que se traten sus datos biométricos para fines de control de acceso o de registro de jornada laboral no se considera como consentimiento libre. La AEPD no lo considera como un consentimiento libre por la posición de desequilibro que existe entre el empleado y el empleador, a no ser que se justifique que se ha ofrecido al empleado una alternativa real cuya elección no le causaría ninguna represalia o efecto adverso.
Por lo tanto, supongamos que el consentimiento ha sido libre, todavía se debe justificar la necesidad y proporcionalidad del tratamiento de datos biométricos para fines de control de acceso o registro de jornada laboral. Sobre este último punto, la AEPD en su nueva Guía ha dejado claro que por lo general el tratamiento de datos biométricos para fines de control de acceso o de registro de jornada laboral no es necesario, ya que existen otros mecanismos menos intrusivos que permiten alcanzar las mismas finalidades. Y que, por lo tanto, se trata de un tratamiento adicional de datos que debe justificarse con finalidades del tratamiento adicionales (seguridad física, evolución del rendimiento, acceso a determinados espacios o recursos del empleador).
Teniendo en cuenta lo anterior, para poder utilizar sistemas biométricos para fines de control de acceso o de registro de jornada laboral, con en el consentimiento del interesado, se deben dar las siguientes circunstancias:
- El sistema biométrico debe respetar los principios para el tratamiento de datos personales (art. 5 del RGPD):
- Principio de licitud, lealtad y transparencia;
- Principio de minimización de datos;
- Principio de exactitud;
- Principio de limitación del plazo de conservación; y
- Principio de integridad y confidencialidad.
- Se debe superar favorablemente una Evaluación de Impacto para la Protección de Datos (EIPD) que incluya y también supere el triple juicio de idoneidad, necesidad y proporcionalidad estricta establecido en el art. 35.7.b del RGPD.
- El consentimiento debe ser libre, y para ello se debe ofrecer al interesado (en este caso, al empleado) una alternativa real que le permita cumplir con la misma finalidad. Si la alternativa real es menos intrusiva y permite alcanzar las mismas finalidades, el uso de datos biométricos no se considerará necesario ni proporcional.
- Se deben aplicar medidas técnicas, jurídicas y organizativas que mitiguen el riesgo que implica el tratamiento de datos sensibles.
Para implementar un sistema biométrico para fines de control de acceso fuera del ámbito laboral, por ejemplo, en un gimnasio, también se deben cumplir los requisitos anteriores. En ambos casos, uno de los grandes retos es poder justificar en la Evaluación del Impacto que los beneficios buscados por el empleado, o por el interesado, se integran en las finalidades del tratamiento y lo hacen necesario.
¿Se pueden utilizar sistemas biométricos para fines de control de acceso o de registro de jornada laboral?
Depende. Cada caso requiere de un análisis individual que determine si se cumplen o no los requisitos detallados en el apartado anterior de esta entrada. Este análisis debe ser exhaustivo y debe realizarlo un experto en protección de datos, de esa forma se minimizará el riesgo de sanción por parte de la AEPD.
Si ya has implementado o te estás planteando implementar un sistema biométrico para fines de control de acceso o de registro de jornada laboral debes tener claro si cumples o vas a cumplir con los requisitos y las limitaciones definidas en el RGPD y en la LOPDGDD. De lo contrario, existirá el riesgo de sanción por incumplimiento, el cual se castiga con importantes multas. En Qualgest podemos ayudarte, nuestros más de 15 años de años de experiencia asesorando a empresas a cumplir con la normativa sobre protección de datos personales nos avalan. Contacta con nosotros si quieres que analicemos tu caso y te asesoremos.
KEYWORDS: Sistemas biométricos para fines de control de acceso o de registro de jornada laboral, lectores, huella dactilar, voz, iris, reconocimiento facial, sistema, derechos interesados, Estatuto de los Trabajadores, AEPD, RGPD, LOPDGDD, cumplimiento, sanción, principios tratamiento de datos personales.
