El fichaje o acceso biométrico implica un tratamiento de categoría especial cuando utiliza la huella, el rostro u otro rasgo para identificar unívocamente a una persona. La obligación de registrar la jornada no autoriza automáticamente el uso de biometría. La empresa necesita una base del artículo 6, una excepción del artículo 9, superar los juicios de necesidad y proporcionalidad, realizar una EIPD y demostrar que las alternativas menos intrusivas no cumplen la finalidad perseguida.
Qué es un dato biométrico
El RGPD define los datos biométricos como los obtenidos mediante un tratamiento técnico de características físicas, fisiológicas o conductuales que permiten o confirman la identificación única de una persona.
Una fotografía no siempre es un dato biométrico; lo es cuando se procesa para identificar a alguien de forma unívoca. Una plantilla biométrica sigue siendo un dato de categoría especial aunque no sea una imagen reversible.
Fichaje: obligación y medio
El Estatuto de los Trabajadores obliga a registrar la jornada, pero no impone el uso de huella o reconocimiento facial. Deben evaluarse alternativas como la tarjeta, el PIN, la aplicación móvil, la firma o los sistemas organizativos.
La pregunta relevante no es si la biometría resulta cómoda, sino si es estrictamente necesaria y proporcionada frente a esas alternativas.
Doble base jurídica
Para tratar datos biométricos con fines de identificación se necesitan dos habilitaciones simultáneas:
- una base del artículo 6 del RGPD;
- una excepción del artículo 9.2 para el tratamiento de categorías especiales de datos.
El consentimiento en el ámbito laboral suele ser problemático por el desequilibrio entre empresa y trabajador, y porque la negativa debe ser real y no puede acarrear consecuencias. La AEPD aplica un criterio restrictivo en esta materia.
Una obligación general de fichar no constituye, por sí sola, una habilitación específica para tratar datos biométricos.
Idoneidad, necesidad y proporcionalidad
Idoneidad
¿El sistema permite registrar la presencia de forma efectiva?
Necesidad
¿Existe una alternativa igualmente eficaz y menos intrusiva?
Proporcionalidad
¿El beneficio obtenido compensa el impacto, considerando el riesgo de irreversibilidad y de vigilancia?
Si falla cualquiera de estos tres criterios, el sistema biométrico no debe implantarse.
Evaluación de impacto (EIPD)
La guía de la AEPD considera este tratamiento de alto riesgo y exige una evaluación de impacto previa. Debe incluir:
- la finalidad;
- la población afectada;
- la tecnología empleada;
- la base y la excepción aplicables;
- las alternativas valoradas;
- los riesgos identificados;
- las medidas adoptadas;
- el riesgo residual;
- la consulta al DPO;
- la decisión final.
La EIPD se realiza antes de comprar o desplegar el sistema, no para justificar a posteriori una decisión ya tomada.
Identificación frente a verificación
- Identificación 1:N: compara el dato biométrico contra toda la base de datos; implica un riesgo mayor.
- Verificación 1:1: confirma el dato contra la referencia asociada a una persona concreta; puede reducir la exposición.
Elegir el modelo 1:1 no elimina la condición de categoría especial ni las obligaciones legales, pero puede resultar menos intrusivo.
Arquitectura y almacenamiento
Si el tratamiento resultara legítimo, conviene priorizar:
- la plantilla bajo control de la persona o del dispositivo;
- el almacenamiento descentralizado;
- el cifrado;
- la imposibilidad de reconstrucción;
- la separación de identificadores;
- las claves controladas;
- la retención mínima;
- el borrado verificable.
Una base central de plantillas biométricas aumenta considerablemente el impacto en caso de incidente.
Riesgos
- suplantación de identidad;
- robo de una plantilla irreversible;
- uso para una función secundaria;
- vigilancia;
- discriminación;
- falsos rechazos;
- exclusión de determinadas personas;
- reutilización de los datos;
- acceso indebido del proveedor;
- brecha masiva.
Una contraseña se puede cambiar; un rasgo biométrico, no fácilmente.
Qué revisar del proveedor
Conviene revisar:
- el algoritmo y su tasa de error;
- los mecanismos de presentación y anti-spoofing;
- el almacenamiento;
- la plantilla generada;
- la gestión de claves;
- los subencargados del tratamiento;
- las actualizaciones;
- la posibilidad de exportación;
- el borrado;
- la gestión de incidentes;
- las transferencias internacionales.
No debe aceptarse un genérico «cumple RGPD» como evidencia suficiente.
Exactitud y discriminación
Es necesario probar las tasas de falsos aceptados y falsos rechazados sobre población real, en distintas condiciones de luz, humedad, edad, discapacidad o trabajo físico.
Debe existir una alternativa operativa inmediata para quien no pueda utilizar el sistema biométrico. Esa alternativa no debe estigmatizar a quien la use.
Información y derechos
Se debe informar de:
- la finalidad;
- la base y la excepción aplicadas;
- la tecnología empleada;
- los datos tratados;
- el plazo de conservación;
- el proveedor;
- los derechos disponibles;
- la alternativa existente;
- el contacto del DPO.
El derecho de oposición o supresión puede tener límites según la base aplicada, pero debe existir en todo caso un procedimiento para ejercerlo.
Conservación
Las plantillas biométricas se suprimen al finalizar la necesidad que las justificó o la relación laboral, salvo que exista una base concreta que ampare su conservación. Los registros horarios tienen su propio plazo de conservación; la plantilla biométrica no se conserva automáticamente durante el mismo periodo.
Las copias de seguridad deben incluir mecanismos de borrado o expiración.
Seguridad
- cifrado;
- separación de datos;
- autenticación multifactor para administradores;
- registros de actividad (logs);
- principio de mínimo privilegio;
- pruebas periódicas;
- parcheado;
- medidas anti-spoofing;
- plan de respuesta ante brechas;
- prohibición de reutilización de los datos.
Ante una brecha de seguridad hay que evaluar el impacto especial del dato biométrico afectado y la posibilidad de revocar las plantillas comprometidas.
Subcontratación y ETT
Debe definirse con claridad quién es responsable del tratamiento entre la empresa, la ETT y el proveedor tecnológico. No se comparte la base biométrica sin necesidad justificada y sin el acuerdo correspondiente. La empresa principal no obtiene acceso general a esos datos por simple comodidad.
Matriz de alternativas
| Alternativa | Intrusión | Riesgo de cesión | Coste |
|---|---|---|---|
| Tarjeta | Bajo | Puede prestarse | Bajo |
| PIN | Bajo | Puede compartirse | Bajo |
| App | Medio | Depende del dispositivo | Medio |
| Supervisor | Variable | Error humano | Medio |
| Biometría | Alto | Difícil de prestar | Alto riesgo |
El fraude ocasional no justifica automáticamente el uso de biometría: debe cuantificarse y deben probarse antes controles menos intrusivos.
Plan de decisión
- Definir el problema.
- Medir el fraude o el riesgo real.
- Evaluar las alternativas.
- Analizar las bases jurídicas.
- Realizar la EIPD.
- Consultar al DPO y a la representación de los trabajadores.
- Ejecutar un piloto técnico si procede.
- Tomar la decisión y revisarla periódicamente.
Errores frecuentes
- Confundir la obligación de fichar con un permiso para usar biometría.
- Basarse en el consentimiento laboral.
- Comprar el sistema antes de realizar la EIPD.
- No evaluar alternativas.
- Centralizar las plantillas sin necesidad.
- No probar los falsos rechazos.
- Conservar los datos tras la baja del trabajador.
- No ofrecer una alternativa.
- Reutilizar el sistema para control de acceso o de productividad.
- Confiar ciegamente en el proveedor.
Checklist
- Finalidad concreta definida.
- Bases de los artículos 6 y 9 analizadas.
- Alternativas evaluadas.
- Necesidad y proporcionalidad valoradas.
- EIPD realizada.
- DPO y representación de los trabajadores consultados.
- Arquitectura de mínima exposición aplicada.
- Exactitud y accesibilidad comprobadas.
- Información y derechos garantizados.
- Procedimiento de borrado y respuesta ante brechas definido.
Preguntas frecuentes
¿Es ilegal toda biometría laboral?
No puede afirmarse de forma absoluta, pero el criterio de la AEPD es muy restrictivo y exige una habilitación jurídica y una necesidad estrictas.
¿El consentimiento basta?
Normalmente resulta problemático en el ámbito laboral por el desequilibrio entre las partes, y no sustituye la exigencia de necesidad.
¿Una plantilla no reversible deja de ser biometría?
No. Sigue siendo un dato biométrico si se utiliza para la identificación única de una persona.
¿Hay que hacer siempre una EIPD?
La AEPD considera estos tratamientos de alto riesgo y exige una evaluación de impacto previa.
Summum Consultoría puede analizar la alternativa elegida, la base jurídica, la EIPD, el proveedor y las medidas de seguridad necesarias para tu empresa.