Es una situación muy común: llegar a la oficina y tener que introducir la huella dactilar en el lector de la puerta de entrada para fichar, y hacer lo mismo a la salida. De esta forma, infinidad de empresas llevan un registro de la jornada de sus trabajadores, y hasta ahora se trataba de una medida generalmente aceptada y legal.
Sin embargo, las cosas han cambiado. En respuesta a la necesidad de adaptarnos al RGPD (Reglamento General de Protección de Datos), la AEPD (Agencia Española de Protección de Datos) ha hecho pública una nueva guía en la que deja claro que estos sistemas de registro de datos biométricos para controlar la presencia y el acceso de los empleados a las instalaciones de las empresas tienen los días contados.
¿Qué ha cambiado?
Es lógico que este cambio de criterio de la AEPD pille desprevenidas a las empresas, ya que en 2007 incluso nuestro Tribunal Supremo se pronunciaba a favor de este método de reconocimiento en el ámbito laboral.
Sin embargo, y tal y como explica la AEPD en su guía, ahora y desde 2016 (año de publicación del RGPD) los datos biométricos deben enmarcarse dentro de las categorías especiales de alto riesgo, por lo que para ellos se han ideado a nivel europeo estrictos límites en su tratamiento.
Así, ni la huella dactilar ni el reconocimiento facial podrán utilizarse para identificar a las personas (de modo que pierden toda su utilidad) y, además, deben responder a los principios de necesidad, idoneidad y proporcionalidad.
Adiós al registro mediante huella dactilar o reconocimiento facial
Se trata de una regla general que ya venía establecida y en la que a los DPDs nos hacia ser muy cautos, pero que, a partir de ahora según el criterio de la AEPD, queda prohibido el uso de los datos biométricos para la identificación de los trabajadores, incluso aunque los trabajadores hayan dado su visto bueno comenzando a utilizar los mecanismos. Se considera que dicho consentimiento no es libre si no existen en la empresa otras formas de entrar o fichar. Por lo tanto, se reducen al máximo las excepciones según la guía de la AEPD.
Además, incluso para los supuestos en los que sí sea pertinente el uso de los datos biométricos, la AEPD establece las siguientes medidas obligatorias:
- Informar a los trabajadores acerca del tratamiento de sus datos y sus elevados riesgos asociados.
- Implementar en el mecanismo la opción de desvincular el registro biométrico de la persona física.
- Implementar los medios técnicos necesarios que aseguren que no se podrán utilizar los datos para otros fines.
- Cifrar los datos para proteger su confidencialidad, integridad y disponibilidad.
- Imposibilitar la conexión entre bases de datos biométricos y su divulgación.
- Suprimir los datos cuando dejen de estar vinculados a la finalidad con la que se tomaron.
- Implementar mecanismos de protección de datos desde la fase de diseño.
- Aplicar el principio de minimización de datos.
¿Hay alguna excepción?
Al implicar los datos biométricos un tratamiento de alto riesgo que afecta a categorías especiales, para poder ponerlo en práctica legalmente hace falta que alguna circunstancia levante su prohibición y que lo legitime. ¿Cuándo puede suceder esto? La AEPD no lo deja muy claro en su guía, y solo sabemos que existen las excepciones recogidas en el artículo 9 del RGPD, es decir, cuando concurran razones de interés público, sanitario o de seguridad pública.
Hasta ahora, se amparaba el levantamiento de la prohibición en el artículo 6.1,b), el cumplimiento es necesario para la ejecución de un contrato, y en el cumplimiento de una obligación legal, amparado en el artículo 34.9 del Estatuto de los Trabajadores. Sin embargo, la AEPD especifica que estos artículos no son suficientes para levantar la prohibición.
Ya no basta con argumentar que recoger la huella dactilar es el método más sencillo y económico para el registro laboral, sino que cada empresa deberá evaluar muy cuidadosamente si cuenta con razones sólidas y objetivas para seguir implementando estos sistemas. Y ya adelantamos que en la mayoría de los casos no va a ser así, ya que exige superar con éxito el análisis de la Evaluación de Impacto, una rigurosa explicación sobre su necesidad y tener en cuenta el triple juicio de idoneidad, necesidad y proporcionalidad.
Por tanto, de ahora en adelante a las empresas no les queda más remedio que buscar e implementar otro método de reconocimiento que no suponga el registro de datos biométricos. Se trata de optar por una alternativa al uso de datos biométricos que alcance la misma finalidad del control de jornada de una manera menos intrusiva y que no entrañe un alto riesgo. Y, si no lo hacen de inmediato, pueden enfrentarse a cuantiosas multas por parte de la AEPD, independientemente de que el sistema fuera legal en el momento de ponerlo en marcha.
