La Agencia Española de Protección de Datos (AEPD) ha publicado el 23 de noviembre de 2023 una guía sobre el uso de sistemas biométricos para el control de presencia y acceso con fines laborales y fuera del ámbito laboral y establece que los sistemas biométricos se consideran un tratamiento de datos de alto riesgo, tanto para identificación como para autenticación, ya que pueden implicar la recogida de categorías especiales de datos.
La AEPD ha explicado que, antes de que se inicie el tratamiento, será obligatoria la realización de una evaluación de impacto para la protección de datos, donde se acredite la superación del triple análisis de idoneidad, necesidad y proporcionalidad del tratamiento.
Con la actual interpretación de la AEPD, cualquier empresa que utilice un sistema de reconocimiento biométrico para su registro de jornada puede ser sancionada. Lo «idóneo», por tanto, sería recurrir a métodos menos invasivos.
La AEPD ha revisado su criterio a raíz de la Directriz emitida por el Comité Europeo de Protección de Datos (26/04/2023) que entiende que datos de las personas como la huella dactilar (o los necesarios para el reconocimiento facial) son datos especialmente sensibles y prohíbe el uso de la huella dactilar como método de registro de jornada laboral en empresas.
¿Existe habilitación legal para el tratamiento del dato biométrico?
El art. 9.2.b) del Reglamento General de Protección de Datos (RGPD), con relación al tratamiento en el ámbito del Derecho laboral y de la seguridad y protección social, no solo exige que exista una habilitación legal -o convenio colectivo-, sino que impone en primer término el requisito de que el tratamiento sea «necesario».
Actualmente la normativa no contiene autorización suficientemente específica para considerar necesario el tratamiento de datos biométricos con la finalidad de un control horario de la jornada de trabajo.
¿Legitimaría el tratamiento de la huella dactilar el consentimiento del trabajador?
La Agencia especifica que, en el marco de estos tratamientos, el consentimiento no puede levantar la prohibición o ser una base para determinar la licitud de este, al existir un desequilibrio entre la persona a la que se somete al tratamiento y quien lo está llevando a cabo.
Según la «Guía tratamientos de control de presencia mediante sistemas biométricos», en el caso del registro de jornada, como el interesado tiene la obligación de registrar su jornada, «(…) únicamente podría considerarse la existencia de un consentimiento libre a un tratamiento adicional de datos, en este caso biométricos, si el interesado dispone de una alternativa de libre elección para cumplir con dicha obligación».
Sin embargo, y respecto de este requisito de la posible «equivalencia de los tratamientos» hay que tener en cuenta que, si existen alternativas disponibles al tratamiento de datos biométricos que impliquen menor riesgo para los derechos y libertades de las personas cuyos datos personales se van a tratar, que permitan que en un momento dado todos los trabajadores opten por otras alternativas, el procesamiento de datos biométricos deja de ser necesario para la implementación del tratamiento.
No concurren, por consiguiente, los presupuestos establecidos en el art. 9.2.g) del RGPD para levantar la prohibición de tratamiento de datos biométricos con fines laborales, debiendo realizarse el registro horario por otros medios.
A la vista de lo que antecede, nuestra recomendación es dejar de realizar el tratamiento de datos biométricos o tenerlo en stand by a la espera de nuevas indicaciones de la AEPD y revisar la Evaluación de impacto para la protección de datos de forma previa a su reinicio.
