LA ELECCIÓN DE LA EMPRESA DE IMPLEMENTAR UN REGISTRO DE JORNADA CON HUELLA DACTILAR
Qué son datos biométricos
Los datos biométricos son aquellos que posibilitan la identificación de una persona física a través de procesos técnicos que recopilan información relativa al aspecto físico, corporal o conductual, como su imagen facial, huella digital, reconocimiento de iris o similares. El Reglamento General de Protección de Datos (RGPD) establece que se trata de datos sensibles, concretamente son una categoría especial de datos.
Finalidad del registro de jornada con sistema biométrico
La empresa persigue con este tipo de registro de jornada controlar el acceso al puesto de trabajo de sus empleados, impidiendo accesos no autorizados a las instalaciones y controlando los horarios y la presencia. Pero utilizar estos registros de jornada biométricos supone un incremento en las medidas de seguridad a adoptar por la empresa.
Medidas que tiene que cumplir la empresa
Para implementar un Registro de jornada con datos biométricos, por ejemplo, con huella dactilar, la normativa establece que es necesario:
– Realizar una Evaluación de Impacto (EIPD), antes de la instalación del sistema biométrico de control laboral y registro de jornada, dada la especialidad y naturaleza del propio tratamiento que lo convierte en altamente intrusivo y sensible. Por ello necesariamente debemos determinar las medidas de seguridad encaminadas a impedir fugas de datos o accesos no deseados que pueda exponer información de los interesados.
No disponer de esta EIPD es sancionable, al respecto, la Agencia Española de Protección de Datos (AEPD) ha sancionado con una multa 20.000€ a una empresa por la implementación de un sistema biométrico para el control de la jornada laboral sin haber realizado una Evaluación de Impacto en Protección de Datos porque dicho tratamiento se considera de alto riesgo.
La empresa alegó que el programa utilizado no estaba basado en un sistema de identificación biométrica, sino en un sistema de verificación/autenticación. Es decir, que el sistema se basa en la comparación de un patrón de puntos de la huella dactilar del trabajador con la que se registró inicialmente (1:1), pero que en ningún caso se almacena una imagen completa de la huella. Por ello, en el análisis de riesgos de actividades de tratamiento realizado se configuró el tratamiento como de “escaso riesgo” no considerando necesario realizar una EIPD.
Sin embargo, la AEPD sostiene que aunque no se guarde la imagen completa de la huella, se puede identificar unívocamente a cada empleado al estimarse que la comparación se realiza con todas las huellas almacenadas en la base de datos, es decir, se realiza una comparación de uno a varios (1:N). Por lo tanto, dada esa circunstancia, sí que se trata de un sistema de identificación biométrico considerándose un tratamiento de datos de carácter personal de categoría especial y siendo necesario realizar una EIPD, en concreto, porque se dan dos de las circunstancias recogidas en el listado publicado por la AEPD sobre tipos de tratamientos que requieren Evaluación de Impacto conforme al artículo 35.4, en concreto: El tratamiento de datos de categorías especiales del artículo 9.1. y el tratamiento de datos biométricos con el propósito de identificar de manera única a una persona física.
– Deberá realizarse una prueba de proporcionalidad con el fin de determinar si el tratamiento es necesario para lograr un fin legítimo y valorar si existen otros sistemas menos intrusivos con el que se obtenga idéntica finalidad, pues no es válido únicamente alegar que el sistema biométrico es más cómodo o eficiente para la empresa.
– Se deberá informar a los trabajadores de la utilización de sus datos biométricos con los fines de control laboral y/o registro de jornada, cumpliendo con los requisitos del artículo 13 del RGPD.
Si analizados todos los puntos anteriores, especialmente la prueba de proporcionalidad y la evaluación de impacto (EIPD), la empresa decide que la utilización de datos biométricos para la finalidad de control laboral del empleado resulta proporcionada, deberá tener en cuenta, entre otras, las siguientes medidas técnicas con el fin de evitar riesgos potenciales para la privacidad de los trabajadores (Dictamen 3/2012 del Grupo de Trabajo del Artículo 29):
- Conviene evitar el almacenamiento de datos biométricos en bruto (por ejemplo, la imagen completa de la huella dactilar), y conservar solamente las plantillas obtenidas a partir de estos datos.
- La plantilla deberá extraerse de manera que se pueda prever que no podrá ser utilizada por otros responsables del tratamiento para fines similares.
- Se deberá dar preferencia a los sistemas de almacenamiento descentralizados, evitando la creación de bases de datos centralizadas con este tipo de datos. De acuerdo con el modelo descentralizado propuesto, las plantillas biométricas se conservarían exclusivamente en poder de la persona interesada mediante una tarjeta o dispositivo, de manera que la pérdida de estas tendría un efecto limitado. No se recomienda el almacenamiento de huellas y otros datos biométricos en servidores o en el mismo dispositivo/lector.
- Los datos deberán conservarse cifrados.
- Utilización de sistemas de autenticación/verificación biométrica (uno a uno) y no de identificación biométrica (uno a varios).
- Adquirir los lectores o dispositivos y el software necesario con proveedores de referencia que cumplan con la normativa sobre protección de datos y seguridad de la información.
Así las cosas, la AEPD considera que el sistema biométrico no parece que “sea o deba ser el único sistema que puede ser usado”. Deberá valorarse si se puede recurrir a otros sistemas basados en el uso de tarjetas personales, la utilización de códigos personales, la visualización directa del punto de marcaje, entre otros que pueden constituir, por sí mismos o en combinación con otros, medidas igualmente eficaces para llevar a cabo el control pretendido por el empresario.
Si necesitas que te asesoremos sobre ello, ponte en contacto con nosotros, estaremos encantados de ayudarte.