No cumplir con la LOPD tanto en España como en Valencia, es asumir un riesgo de incumplimiento que puede salir muy caro.
Recientemente han surgido una primicia de gran calado en el tratamiento de datos biométricos, particularmente respecto a la legitimación en el tratamiento de datos biométricos en los controles de presencia y en el uso como medida de control empresarial (artículo 20.4 del ET) y para cumplimiento de la obligación del registro de jornada laboral (artículo 34.9 ET).
Se redacta este articulo como complemento y como una síntesis de la información esencial facilitada por la reciente Guía de la AEPD “Guía sobre tratamientos de control de presencia mediante sistemas biométricos” de de noviembre de 2023
Con esta guía, la Agencia Española de Protección de Datos (AEPD) ha hecho público su cambio significativo (y drástico en mi opinión personal) de criterio en relación con el uso de datos biométricos en sistemas de control de presencia, bien como medida de control laboral, bien como medio para cumplimiento de la obligación legal de llevanza del registro de jornada.
Cabe señalar que había una gran expectación sobre el próximo pronunciamiento de la AEPD sobre la cuestión de la biometría en el ámbito laboral, sobre todo, después de los pronunciamientos de la Agencia Catalana de Protección de Datos y del Consejo de Transparencia y Protección de Datos de Andalucía. Finalmente, llegó el tan esperado pronunciamiento de la Agencia Española de Protección de Datos (AEPD), y con ella, llegó la incredulidad y el desaliento, siendo muchos los que hubieran preferido que nunca se hubieran pronunciado, me incluyo. La guía publicada representa, por decirlo de forma coloquial, una erupción volcánica de consecuencias impredecibles para los sistemas de identificación biométrica, especialmente en lo que respecta a los controles tanto de presencia como de acceso en el ámbito laboral. En este documento, la AEPD modifica de forma contundente algunos de los criterios previos y especifica con mayor claridad los requisitos fundamentales para el tratamiento adecuado de datos biométrico, o mejor dicho, el no tratamiento, pero no entremos en spoilers.
El Reglamento General de Protección de Datos (RGPD) establece que, en general, el procesamiento de datos de categoría especial está prohibido, salvo en circunstancias excepcionales especificadas en el mismo Reglamento, particularmente en su artículo 9. El RGPD clasifica los datos biométricos como datos de categoría especial cuando se utilizan para «identificar de manera unívoca a una persona física». Siguiendo este criterio de unicidad, la Agencia Española de Protección de Datos (AEPD) interpretó inicialmente que los datos biométricos empleados para identificación se considerarían de categoría especial. Sin embargo, esta perspectiva no se extendía a los utilizados en sistemas de autenticación, dejando así margen para diferentes opciones de tratamiento de estos datos hasta esa fecha. No obstante, esta interpretación ha sido revisada y aclarada por el Comité Europeo de Protección de Datos. El Comité indica que si, en un proceso de autenticación, se logra o se facilita la identificación de una persona, entonces se está empleando el dato biométrico para una identificación específica, lo cual lo categoriza como dato de categoría especial. Esta aclaración del Comité Europeo de Protección de Datos ha motivado a la AEPD a desarrollar y publicar su nueva guía-misil orientativa sobre el tema.
En conclusión, ya no es viable justificar el empleo de sistemas de control horario o de control de accesos basándose en que constituyen métodos de autenticación y no de identificación. Esto se debe a que, según las directrices actuales, ambos procesos se consideran equivalentes en términos de tratamiento de datos y se clasifican como datos de categorías especiales.
Necesitas asesoramiento de Protección de Datos (LOPD Valencia-Resto de España)
¡Protege tus datos ahora! Contrata nuestros servicios de protección de datos y mantén tu información segura. Actúa ahora y evita riesgos. Haz clic aquí en "Quiero saber más"
Conclusión
Implementar sistemas de identificación biométrica en las empresas para los propósitos mencionados se torna extremadamente difícil, si no imposible, bajo las regulaciones actuales.
¿Existe alguna solución práctica? Una opción, aunque poco probable y compleja, sería la promulgación de una ley específica, a nivel europeo o español, que regule de manera detallada el uso de datos biométricos para el control empresarial y la obligación de llevar un registro de jornada laboral. Otra alternativa, igualmente desafiante, sería negociar y establecer en un convenio colectivo las condiciones de uso de estos datos, incluyendo medidas de seguridad robustas para proteger los derechos de los trabajadores. Sin embargo, ambas opciones están fuera del alcance inmediato de las empresas individuales. Por ende, la opción más viable y rápida en la actualidad sería prescindir de los sistemas biométricos en los procesos de control y registro de jornada laboral.
Incluso en el caso de que se establezca una normativa o un convenio específico para el uso de datos biométricos, aún sería necesario cumplir con los demás requisitos detallados por la Agencia Española de Protección de Datos (AEPD) en su guía. Es crucial subrayar que estos requisitos son exigentes y complejos, y se aplican igualmente a otros tratamientos de datos biométricos más allá del contexto laboral.»
Y como conclusión final, me genera una profunda inquietud el impacto que puede tener un cambio de criterio en una guía meramente interpretativa, que carece de base legal firme y que no ha formulado sin una consulta previa a los afectados. Esto podría tener consecuencias devastadoras para un sector entero. Es un aspecto que merece una seria reflexión por parte de las autoridades de control.
