La imposición del uso de la huella dactilar o el reconocimiento facial como método de entrada o control horario por parte de las empresas, puede desaparecer por decisión de la Autoridad de Control.
NUEVA PERSPECTIVA
A través de la publicación de esta Guía, la AEPD ha expresado su cambio de criterio en relación al uso de biometría como mecanismo de control de acceso y, a partir de ahora, lo considerará “prohibido”, salvo que exista una circunstancia excepcional que justifique su utilización en lugar de métodos que no requieran de datos especialmente protegidos.
Uno de los principales fundamentos en el ámbito laboral, radica en que entiende que el consentimiento que otorga el titular de los datos a fin de entrar o fichar, no es libre siempre si no existe otra manera de hacerlo, por lo tanto, se configuraría así, un desequilibrio evidente entre empleado y empleador.
A su vez sostiene, que la invocación de este “aparente consentimiento del empleado”, junto al justificativo de que “es un sistema más barato” y de que “permite evitar irregularidades en la identificación de las personas”, no es suficiente para utilizar la biométrica en tanto categoría de datos “de alto riesgo”, atento a que existen otros sistemas de registro igualmente eficaces, por lo que la ventaja económica y la sencillez, dejan de ser criterios justificativos suficientes.
ASPECTOS CENTRALES
A continuación, se describen algunos de los aspectos centrales y conclusiones que trae aparejada esta nueva Guía, en el ámbito de la protección de datos:
RECTIFICA CRITERIOS
El criterio que venía sosteniendo la AEPD era de que cuando los datos biométricos se empleaban para verificar la identidad de una persona y para autenticar, no debían considerarse datos de categoría especial, no obstante, desde ahora, ese criterio es sustituido por el que ya tenían otras autoridades de control autonómicas (APDCAT y CTPDA) de considerar que, tanto en caso de identificación, como en caso de autenticación, los datos biométricos constituyen una categoría especial.
REAFIRMA LA IMPORTANCIA DE LA EVALUACIÓN DE IMPACTO (EIPD)
Sostiene que en los casos donde se pretendan tratar datos biométricos para control de accesos, se debe realizar imprescindiblemente una EIPD, puesto que se dan al menos dos criterios de los establecidos en el listado de tratamientos obligados a realizar una EIPD, publicado conforme al art. 35.4 por la propia AEPD, es decir: tratamiento de datos de categoría especial (datos biométricos) y uso de nuevas tecnologías.
Además, la AEPD aclara que dicha EIPD, deberá incluir y superar el triple juicio de idoneidad, necesidad y proporcionalidad establecido en el art. 35.7.b) RGPD.
Por lo tanto, el levantamiento de la prohibición de tratar los datos biométricos no puede basarse en el artículo 9.2.b) RGPD, puesto que la actual normativa española no contiene ninguna autorización para considerar necesario el tratamiento de datos biométricos con una finalidad de control de presencia.
AÑADE REQUISITOS DE VALORACIÓN
Para el levantamiento de la prohibición de tratar los datos biométricos en el ámbito laboral en base al consentimiento del interesado, será fundamental (a fin de valorar la validez real de ese consentimiento) que se ofrezcan otras alternativas que no precisen del tratamiento de datos biométricos. No obstante, entiende que si efectivamente existen esas otras alternativas que implican un menor riesgo para sus derechos y libertades, el procesamiento de datos biométricos dejará de ser necesario para la implementación del control.
Por lo tanto, si existen alternativas al tratamiento de datos biométricos, que las hay, dicho tratamiento no superará el juicio de necesidad y, por tanto, no podrá llevarse a cabo.
Asimismo, un análisis similar podría establecerse para el control de acceso con finalidades diferentes a las laborales.
En este sentido, el consentimiento también debe ser libre, específico, informado e inequívoco, por lo tanto, el responsable del tratamiento deberá poner siempre a disposición del interesado, un método alternativo de control de acceso, sin tener ninguna consecuencia para la persona el hecho de que no quiera utilizar un control basado en datos biométricos.
En este caso, también debe demostrarse la necesidad objetiva (requisito para tratamientos de alto riesgo) y las posibles alternativas, de tal manera que para poder tratar esos datos biométricos no exista otra opción que sirva para satisfacer la necesidad identificada y que implique un riesgo menor para los derechos y libertades del interesado.
CONCLUSIONES
Primera: el levantamiento de la prohibición del tratamiento de datos biométricos para fines de control de presencia o registro horario basada en el consentimiento explícito del interesado, deja de ser aplicable atento a que existen otras alternativas que no requieren el uso de los mismos. Su necesidad no está justificada.
Segunda: el levantamiento de la prohibición de tratar datos biométricos para estos sistemas de control de presencia no puede basarse en el artículo 9.2 b) RGPD puesto que en la actual normativa española no se contiene autorización para considerar necesario el tratamiento de datos biométricos con estos fines y, a falta de tal previsión legal, la referida autorización o habilitación en el ámbito laboral, solo podría preverse en los convenios colectivos para el personal laboral y en los acuerdos sobre condiciones de trabajo para el personal funcionario, en el marco de la negociación colectiva con los requisitos previstos para su eficacia.
FUENTES DE INFORMACIÓN
27/11/2023: https://privacydriver.com/es/analisis-guia-aepd-sobre-sistemas-control-presencia-traves-biometria-c594
20/09/2023: https://privacydriver.com/es/analisis-del-dictamen-ctpd-sobre-registro-horario-traves-datos-biometricos-c590
13/04/2023:https://privacydriver.com/es/apdcat-reconocimiento-facial-registro-jornada-laboral-c550