El uso de datos biométricos que realizan las empresas para control de accesos y para registro de la jornada laboral queda prohibido a partir de ahora para el 99.97% de las empresas.
La AEPD tiene una Guía sobre relaciones laborales, publicada el 18 de mayo de 2021, en la que explica que se pueden utilizar datos biométricos de los trabajadores, siempre y cuando la empresa cumpla diez obligaciones (información a trabajadores, protección de datos desde el diseño, criterios de almacenamiento de datos biométricos, etc).
Ahora bien, el 23 de noviembre de 2023 la AEPD ha publicado nueva una guía concreta y específica titulada “Guía sobre tratamientos de control de presencia mediante sistemas biométricos” en la que reconsidera su interpretación.
Puedes leerte las 31 páginas que tiene la guía, o puedes leerte este resumen que he preparado, en que te lo explico con mis propias palabras, sacrificando precisión jurídica a cambio de claridad para nos que no sean abogados.
La antigua guía diferenciaba entre identificación y autenticación.
La autenticación se da si el trabajador pone su código de trabajador (ejemplo el 33, es el código de Pepe) y a continuación el sistema examinaba el rostro (o la huella) de la persona que tenía delante, y decidía si era Pepe o no era Pepe.
La identificación se da si el trabajador se pone delante del dispositivo, y el sistema examina su rostro (o su huella) y la compara con todos los rostros (o huellas) de los usuarios registrados en el sistema y dice, “OK, te acabo de encontrar en mi base de datos, eres Pepe”.
La identificación se consideraba un tratamiento de NIVEL ALTO.
La autenticación, NO. Y por aquí, nos podíamos escapar de las obligaciones impuestas a los tratamientos de nivel alto.
La nueva guía expone los criterios por los que, a partir de ahora ambos tratamientos se consideran de nivel alto: el desarrollo tecnológico permite extraer más detalles de los rasgos biométricos de una persona. Ahora un buen sistema biométrico, además de identificar el rostro de Pepe, puede llegar a decirte la probabilidad de que Pepe esté enfermo o de que tenga un problema psicológico. Y un sistema de huella dactilar, además de identificar que se trata de Pepe, puede registrar datos de salud, como la temperatura corporal de Pepe, y su presión sanguínea.
Y dada la muy alta sensibilidad de estos datos, la AEPD no quiere que una empresa se plantee el utilizarlos, aunque Pepe haya dado su consentimiento. Más adelante te explico porqué.
El RGPD (Reglamento General de Protección de Datos) prohíbe el uso de datos de nivel alto, salvo que concurra alguna de estas circunstancias:
Existencia de una norma de rango de ley:
Hay una ley que obliga a las empresas a registrar la jornada laboral, pero en esa ley no obliga a que la empresa tenga que utilizar dispositivos de control biométrico para ello.
Por tanto, la ley no te sirve como excusa para poner un dispositivo de control biométrico.
Juicio de proporcionalidad:
El uso de datos biométricos supone una medida restrictiva de los derechos y libertades de los individuos.
El Tribunal Constitucional, en su sentencia 14/2003 nos dice que cualquier medida restrictiva de derechos fundamentales ha de superar el juicio de proporcionalidad cumpliendo estas tres condiciones: Que sea idónea, necesaria y que su adopción genere más beneficios que inconvenientes.
En la propia guía la AEPD nos dice que el sistema de control de presencia y control de accesos en las empresas se ha utilizado varios siglos sin necesidad de utilizar datos biométricos. En 1980, el principal fabricante de automóviles en España tenía 30.000 empleados y controlaba sus entradas y salidas sin sistemas biométricos. Así que, si tu empresa tiene menos de 30.000 empleados, bien puedes hacer como ellos y no usar biométricos.
Y puesto que no puedes demostrar que es necesario, no supera el juicio de proporcionalidad.
Consentimiento del interesado
En una relación empresa / trabajador, se presupone que la empresa es más poderosa que el trabajador y por tanto, ha de demostrar que el consentimiento es lícito.
Para que el consentimiento sea lícito, la empresa ha de proporcionar al interesado una alternativa.
Si existe una alternativa, ya la propia empresa está demostrando que no es necesario el uso de biométricos.
Conclusión de la AEPD: En un tratamiento de registro de jornada implementado con técnicas biométricas el consentimiento del interesado no levanta la prohibición del tratamiento.
¿Y si ya tengo instalado un sistema de control de accesos / registro de la jornada laboral que usa huella dactilar o reconocimiento facial?
Intenta ver si el fabricante te permite utilizarlo anulando el sistema biométrico y sustituyéndolo por uno de estos mecanismos:
- PIN o contraseña para cada trabajador.
- Tarjeta RFID para cada trabajador.
- Sistema NFC utilizando el teléfono móvil de cada trabajador.
¿Cómo puedo hacer que en mi empresa sí sea legal utilizar sistemas biométricos?
No lo tienes fácil. De entrada, biométrico = nivel alto, y por tanto, necesitas una EIPD (Evaluación de Impacto sobre la protección de datos), que es un análisis laborioso (y caro).
Y aunque estés dispuesto a gastar dinero, a ver si se te ocurre cómo superarás el juicio de proporcionalidad y demostrarás la absoluta necesidad de utilizar esos biométricos para control de acceso.
Si tu empresa maneja secretos militares y tiene contratos con la OTAN, podemos ayudarte. En caso contrario, lo veo difícil.
PD: Si tienes gusto de leerte la guía de la AEPD, la tienes aquí: Guía sobre tratamientos de control de presencia mediante sistemas biométricos.
— Editado y añadido el 6/2/2024 Manifestaciones de un fabricante de dispositivos de control biométrico ——-
Uno de nuestros clientes, tras contactar con el fabricante de los equipos de dispositivos de control biométrico, recibe la siguiente respuesta:
Hemos detectado algunas noticias en que los periodistas, sin analizar a fondo la guía de la AEPD concluyen de forma tajante que usar sistemas biométricos es ilegal y los que lo hagan serán sancionados.
Nuestra empresa ha analizado todo el documento y lo que contiene la Guía son recomendaciones en caso de implementación del sistema. Si te dice cómo has de hacerlo, no puede ser ilegal ni estar prohibido.
Os destaco algunos de los puntos para que los podáis valorar:
La legislación vigente sigue siendo la misma desde 2018: El mismo Reglamento General de Protección de Datos (RGPD) y la misma Ley Orgánica de Protección de Datos (LOPD).
La nueva exigencia de la AEPD es que será necesario realizar una declaración de impacto y justificar su uso.
Sí entendemos que, para el control de acceso “con fines no laborales” debemos utilizar necesariamente como base de legitimación el consentimiento del interesado siempre que se ofrezca una alternativa libre (tarjeta, QR, PIN…). Este es el caso de la asistencia a locales de pública concurrencia con acceso controlado: estadios de fútbol, conciertos o entrada a instalaciones deportivas.
Pero ciñéndonos al ámbito laboral, consideramos que la AEDP, al publicar esta guía se está atribuyendo una función legislativa que no posee: Está prohibiendo el consentimiento explícito y libre como base de legitimación del registro de jornada. Esta es una interpretación muy discutible por lo que consideramos que se han extralimitado en sus funciones.
Pero, incluso admitiendo la prohibición del consentimiento de los trabajadores como base de legitimación, dado que el registro de jornada es una obligación impuesta por ley a las empresas con la finalidad de garantizar el cumplimiento de los horarios de los trabajadores dentro de la jornada laboral, definiendo un entorno de seguridad jurídica tanto para empresas como para los trabajadores, toda vez que posibilita el control por parte de la Inspección de Trabajo y Seguridad Social, entendemos que todavía es posible legitimar el tratamiento para el registro de jornada basándonos en la excepción prevista en el punto 9.2.g del RGPD:
g) el tratamiento es necesario por razones de un interés público esencial, sobre la base del Derecho de la Unión o de los Estados miembros, que debe ser proporcional al objetivo perseguido, respetar en lo esencial el derecho a la protección de datos y establecer medidas adecuadas y específicas para proteger los intereses y derechos fundamentales del interesado;
Un requisito fundamental para el registro de la jornada laboral es que sea fiable y objetivo, y que permita poner los datos a disposición de los trabajadores, de sus Representación Legal de los Trabajadores y de la Inspección de Trabajo y Seguridad Social. La limitación de uso de las medidas técnicas más efectivas (biometría) iría en contra del interés público establecido en el apartado 9.2.g).
Por ello consideramos totalmente válido utilizar el apartado 9.2.g) como base de legitimación del tratamiento de «Registro de la Jornada Laboral» y dado que en la guía se consideran equivalentes el control de acceso con fines laborales y el registro de jornada laboral, a nuestro buen saber y entender, también sería de aplicación el apartado 9.2.g para legitimar el uso de biométricos para el «Control de acceso de trabajadores».
— Respuesta a nuestro cliente——-
Hola [Cliente],
Estoy muy de acuerdo con los argumentos de tu proveedor, pero yo sí me he leído la guía publicada por la AEPD y su tesis es esta:
1) Para utilizar datos biométricos es imprescindible realizar una evaluación de impacto sobre la protección de datos (EIPD) y justificar la necesidad del uso de biométricos.
2) La relación empresa-trabajador no se considera equilibrada, sino que la empresa tiene poder sobre el trabajador, por lo que cualquier tratamiento basado en el consentimiento se mirará con lupa y se dudará de ese consentimiento.
3) Para que el consentimiento sea válido, la empresa tendrá que demostrar que tiene otras alternativas igualmente válidas si el trabajador declina dar su consentimiento. Estas alternativas pueden ser, por ejemplo, las tarjetas NFC.
4) Si es posible sustituir el tratamiento biométrico por otro menos intrusivo, como la tarjeta NFC, ya no hay manera de justificar la necesidad planteada en el punto 1 y por tanto la empresa debe utilizar el tratamiento menos intrusivo y renunciar a uso de biométricos.
¿Es factible utilizar como base de legitimación el apartado 9.2 g)? Es discutible si el tratamiento de biométricos es «proporcional al objetivo perseguido», cuando queda claro que técnicamente existen alternativas menos intrusivas para la privacidad de los trabajadores.
¿Cuándo tendremos claridad jurídica sobre este tema? Cuando la AEPD sancione a alguna empresa por utilizar biométricos, la empresa lo recurra y llegue hasta el Tribunal Supremo, y éste dicte una sentencia que siente jurisprudencia. (Calculo que eso no ocurrirá antes de 2028)
¿Quieres arriesgarte a que tu empresa reciba la sanción y tenga que pelear con la AEPD hasta que el Tribunal Supremo dicte sentencia? Yo no te lo aconsejo. Es caro, largo y durante el camino tendrás que pagar o avalar el importe económico de la sanción.
Pero si quisieras arriesgarte, mi consejo es que le pidas a esta empresa que te hagan ellos la Evaluación de Impacto sobre la protección de datos que cita el punto 1), que suscribas un contrato con ellos en el que asuman los costes derivados de cualquier sanción que te imponga la AEPD por el uso de biométricos, y que te demuestren que tienen un buen seguro para cubrir esa obligación.
Un cordial saludo,
El equipo de Adelopd.
