Dedicamos este nuevo artículo a la “Guía sobre tratamientos de control de presencia mediante sistemas biométricos”, publicada por la Agencia Española de Protección de Datos (AEPD) en el pasado mes de noviembre. Determina los criterios a tener en cuenta para el tratamiento del control de presencia y acceso mediante el uso de la biometría (huella dactilar, facial, iris…), de acuerdo con el Reglamento General de protección de datos (RGPD). Los aspectos más relevantes a considerar son los siguientes:
Cambio de criterio: autenticación vs identificación
- La AEPD modifica su criterio en esta Guía respecto de la identificación y autenticación establecido en su anterior “Guía de relaciones laborales y protección de datos”, donde señalaba que la autenticación (identificación electrónica de una persona con datos del individuo únicamente, comúnmente denominado identificación 1:1) no conllevaba un tratamiento de categorías especiales de datos.
- Ahora, no obstante, en línea con el criterio del Comité Europeo de Protección de Datos en sus Directrices 05/2022, entiende que ambos tratamientos, es decir, tanto la identificación (1:N) como la autenticación (1:1) conllevan el tratamiento de datos especialmente protegidos. Esto es de gran importancia puesto que el RGPD establece la prohibición general de tratar datos especialmente protegidos (artículo 9.1 del RGPD) (datos genéticos, datos biométricos, datos relativos a la salud, etc.), salvo que se cuente con una base de legitimación “especial” establecida en el artículo 9.2 del RGPD.
- Entre las bases “especiales” que vienen recogidas en el citado artículo, la AEPD entiende que sólo podrían ser de aplicación las siguientes bases legales:
- La existencia de una norma de rango legal que obligue a la empresa a tratar esos datos (9.2.b del RGPD).
- El consentimiento explícito del interesado (empleado o tercero que acceda a las instalaciones), en virtud del artículo 9.2.a del RGPD y siempre y cuando se disponga de una alternativa de libre elección para cumplir con dicha obligación (por ejemplo, una tarjeta).
- Ahora bien, la AEPD entiende que si se ofrece un medio equivalente para el control de acceso (por ejemplo una tarjeta), el tratamiento de datos biométricos deja de ser necesario para la implementación del tratamiento y, por tanto, no se estaría cumpliendo con el principio de minimización de datos recogido en el artículo 5.1.c del RGPD.
- No obstante, la AEPD sí considera adecuado el tratamiento de los datos biométricos para el control de acceso basado en el consentimiento de los interesados, siempre que se justificase que el medio alternativo ofrecido a los empleados o terceros no es equivalente al del control biométrico, es decir, que la finalidad que se pretende (control de acceso) no se alcanza del mismo modo o con la misma seguridad.
- En cualquier caso, se deberá realizar un análisis objetivo de la medida, tal y como viene explicado más adelante. La AEPD recuerda que para aplicar el artículo 9.2.b del RGPD es preciso respetar el principio de proporcionalidad, lo que exige que el tratamiento en cuestión, además de necesario debe resultar idóneo para la finalidad prevista, así como proporcionado en sentido estricto (que ocasione más beneficios para el interés general que perjuicios sobre otros bienes o valores en conflicto).
Control objetivo del sistema y alternativas:
- Para poder basar el tratamiento de los datos biométricos en estas bases de legitimación “especiales”, la empresa debe poder acreditar objetivamente que dichos sistemas de tratamiento son necesarios e idóneos, para lo que se deberá realizar:
- Análisis de riesgo
- Evaluación o estudio de impacto
- Test de idoneidad, necesidad y proporcionalidad
- Si bien lo anterior es cierto, resulta de interés añadir que, de acuerdo con el criterio de la AEPD arriba indicado, sí sería una opción viable establecer el control de acceso mediante biometría vía Convenio Colectivo o, en su defecto, justificar en el interés público esencial el uso de estos sistemas en condiciones específicas de seguridad por motivos justificados.
- En cualquier caso, este estudio de evaluación de impacto ya debería haberse realizado previamente a la publicación de esta nueva Guía, aunque ahora se recomienda la revisión de acuerdo con el nuevo criterio de la AEPD.
Conclusiones:
Si bien la AEPD no prohíbe de facto el uso de controles biométricos para el control de acceso / presencia, sí que complica su utilización.
En tanto en cuanto no se desarrolle una ley o reglamento o se resuelvan sentencias a expedientes sancionadores relacionados, le recomendamos que sustituya el acceso / control de presencia por biometría y acuda a una alternativa no biométrica (tarjeta, pegatina en el móvil, móvil), salvo que pudiera justificar en un futuro la necesidad de dicho sistema (mayor seguridad, salud laboral, etc.).
En este último caso es imperativo disponer previamente del análisis de riesgos y evaluación de impacto arriba relacionado.
Todos los terminales de las marcas que distribuimos, disponen de un lector de proximidad o RFID, sin contacto, que le permitirá disponer de la opción alternativa cautelar que le proponemos. Para cualquier otra consulta no dude en ponerse en contacto con nosotros y estaremos, como siempre, a su disposicón para asesorarle.
Comments are closed.