Durant anys, utilitzar l'empremta dactilar o el reconeixement facial per fitxar en entrar i sortir de la feina es va presentar com una solució ràpida, còmoda i difícil de manipular.

Clíniques, centres educatius i empreses de molts sectors van incorporar aquests sistemes pensant que simplement estaven modernitzant el tradicional registre de jornada.

Però quan per identificar una persona utilitzem determinades característiques físiques úniques, deixem de parlar únicament de control horari. Entrem també en el terreny de les dades biomètriques i, amb això, en un dels àmbits més sensibles de la normativa de protecció de dades.

Els criteris de l'Agència Espanyola de Protecció de Dades (AEPD) han endurit considerablement els requisits per utilitzar biometria en sistemes de control de presència. Això obliga moltes organitzacions a revisar si el sistema que utilitzen actualment es pot justificar d'acord amb el RGPD o si és necessari substituir-lo per una alternativa menys intrusiva.

A SIBPRODASA assessorem empreses i organitzacions en matèria de protecció de dades i compliment normatiu. Quan una organització utilitza empremtes dactilars, reconeixement facial o altres tecnologies biomètriques, aquest tractament s'ha d'analitzar de manera específica tenint en compte la seva finalitat, base jurídica, necessitat, proporcionalitat i riscos.

La teva empresa continua utilitzant l'empremta dactilar per fitxar?

L'obligació de registrar la jornada laboral continua existint.

El que s'ha de revisar és quina tecnologia utilitza l'empresa per complir aquesta obligació.

L'article 34.9 de l'Estatut dels Treballadors obliga a garantir el registre diari de jornada, incloent-hi l'horari concret d'inici i finalització de cada persona treballadora.

Però aquesta obligació no estableix que el registre s'hagi de fer mitjançant empremta dactilar, reconeixement facial o qualsevol altre sistema biomètric.

Per això, una empresa pot estar obligada a registrar la jornada i, al mateix temps, haver de reconsiderar el sistema utilitzat per fer-ho.

Està prohibit utilitzar l'empremta dactilar a la feina?

No existeix una prohibició general d'utilitzar empremtes dactilars o sistemes biomètrics en qualsevol circumstància.

El problema és que les dades biomètriques utilitzades per identificar o autenticar de manera unívoca una persona tenen una protecció especialment reforçada en el RGPD.

Això significa que no n'hi ha prou amb disposar d'una base jurídica general per tractar dades personals. També s'ha de poder justificar alguna de les excepcions que permeten tractar categories especials de dades previstes per l'article 9 del RGPD.

En el cas concret del registre ordinari de jornada laboral, l'AEPD considera que la legislació laboral vigent no conté, amb caràcter general, una habilitació prou específica per justificar el tractament biomètric únicament perquè l'empresa tingui l'obligació de controlar l'horari.

Per tant, afirmar simplement que “l'empresa està obligada a fitxar” no justifica per si sol la utilització d'una empremta dactilar.

Per què la biometria exigeix tantes garanties?

Una contrasenya es pot modificar. Una targeta es pot substituir. Una empremta dactilar forma part de les característiques físiques d'una persona.

Aquesta diferència explica per què el tractament d'informació biomètrica requereix un nivell d'anàlisi especialment elevat.

Abans d'implantar o mantenir un sistema d'aquestes característiques, s'han d'analitzar, entre altres qüestions:

• Quina finalitat concreta persegueix el sistema.
• Quina base jurídica permet tractar les dades.
• Si existeix una excepció vàlida per tractar dades biomètriques.
• Si el sistema és realment necessari per assolir la finalitat perseguida.
• Si existeixen alternatives menys intrusives que permetin obtenir un resultat equivalent.
• Si el tractament resulta proporcionat respecte del risc que genera.
• Quines mesures tècniques i organitzatives protegeixen la informació.
• Durant quant de temps es conserven les dades.
• Qui hi pot accedir.

A més, els tractaments biomètrics poden implicar un risc elevat per als drets i les llibertats de les persones, per la qual cosa també s'ha d'analitzar la necessitat de realitzar prèviament una Avaluació d'Impacte relativa a la Protecció de Dades (AIPD).

Necessitat i proporcionalitat: la pregunta clau

Un dels punts centrals del criteri de l'AEPD és senzill d'entendre: si una empresa pot registrar la jornada mitjançant un sistema menys intrusiu, ha de poder justificar per què necessita recórrer a la biometria.

La comoditat, la rapidesa o la dificultat per compartir una targeta poden ser avantatges operatius, però no converteixen automàticament el tractament biomètric en necessari.

Abans d'utilitzar una tecnologia que processa categories especials de dades, s'han d'estudiar les alternatives disponibles i valorar si permeten assolir el mateix objectiu amb un impacte menor sobre les persones treballadores.

Quines alternatives es poden utilitzar per registrar la jornada

Substituir un sistema biomètric no significa renunciar al control horari.

Existeixen mecanismes que permeten acreditar l'inici i la finalització de la jornada sense necessitat d'utilitzar característiques biomètriques.

Targetes, credencials o codis personals

Els sistemes basats en targetes identificatives, credencials o codis individuals permeten registrar una entrada o sortida sense utilitzar dades biomètriques de categoria especial.

Aquests sistemes continuen implicant el tractament de dades personals, per la qual cosa s'han de configurar i utilitzar respectant igualment els principis del RGPD.

Aplicacions o sistemes digitals sense biometria

El registre es pot fer mitjançant aplicacions corporatives, intranets o altres eines digitals que permetin realitzar un fitxatge associat a la persona treballadora.

El fet de no utilitzar biometria no elimina les obligacions de protecció de dades. El sistema ha de limitar la informació recollida a la necessària per a la finalitat perseguida.

I utilitzar geolocalització?

La geolocalització no s'hauria de plantejar com una alternativa automàtica a l'empremta dactilar.

Localitzar una persona també suposa un tractament de dades personals que pot afectar significativament la seva privacitat.

Hi pot haver situacions, com determinades activitats itinerants, en què sigui necessari analitzar-ne la utilització. Però s'haurà de justificar la seva necessitat, limitar-la a la finalitat prevista i evitar convertir el registre horari en un sistema de seguiment permanent de la persona treballadora.

Substituir la biometria per una tecnologia diferent no és suficient si la nova solució resulta igualment desproporcionada.

El consentiment del treballador no resol automàticament el problema

Una altra qüestió habitual és pensar que n'hi ha prou amb demanar a la plantilla que signi una autorització per utilitzar la seva empremta.

En l'àmbit laboral, el consentiment s'ha d'analitzar amb especial cautela a causa del desequilibri existent entre l'empresa i la persona treballadora.

Perquè un consentiment sigui vàlid ha de ser realment lliure. Si negar-s'hi implica conseqüències laborals, dificultats per fitxar o un tracte diferent, pot resultar difícil sostenir que existeix una elecció real.

Per això, disposar d'un document signat pel treballador no converteix automàticament un sistema biomètric en conforme amb el RGPD.

Què passa amb els sistemes biomètrics utilitzats per controlar accessos

No totes les aplicacions de la biometria són iguals.

Controlar la jornada laboral i protegir l'accés a una instal·lació sotmesa a requisits especials de seguretat són finalitats diferents i poden tenir marcs jurídics diferents.

Per això, no s'ha de concloure que qualsevol utilització d'una empremta dactilar o del reconeixement facial està prohibida.

Quan existeixi una finalitat diferent del registre horari, s'haurà d'estudiar de manera individual la base jurídica aplicable, l'existència d'una excepció vàlida per al tractament biomètric, la seva necessitat, proporcionalitat i les garanties implantades.

Informació a la plantilla i participació dels seus representants

Canviar el sistema de registre de jornada no és únicament una qüestió tecnològica.

L'Estatut dels Treballadors estableix que l'organització i documentació del registre s'ha de determinar mitjançant negociació col·lectiva o acord d'empresa o, si no n'hi ha, mitjançant decisió empresarial prèvia consulta amb els representants legals dels treballadors.

A més, des de la perspectiva de protecció de dades, les persones treballadores han de rebre la informació corresponent sobre el tractament de les seves dades personals.

L'existència d'una obligació legal de registrar la jornada no elimina aquest deure de transparència.

Què hauria de revisar una empresa que actualment utilitza biometria

Si la teva organització continua utilitzant empremta dactilar, reconeixement facial o un altre sistema biomètric per registrar la jornada, convé revisar el tractament abans de limitar-se a mantenir el sistema per inèrcia.

Entre altres qüestions, s'hauria d'analitzar:

• La finalitat exacta per a la qual es va implantar la biometria.
• La base jurídica utilitzada fins ara.
• L'existència d'una excepció aplicable de l'article 9 del RGPD.
• La necessitat i proporcionalitat del tractament.
• Les alternatives menys intrusives disponibles.
• La informació facilitada a la plantilla.
• La participació dels representants de les persones treballadores quan correspongui.
• Els períodes de conservació.
• Les mesures de seguretat aplicades.
• La necessitat de realitzar o actualitzar una Avaluació d'Impacte.

L'anàlisi s'ha de fer sobre el funcionament real del sistema i no únicament sobre la documentació que es va preparar quan es va instal·lar.

El registre horari continua sent obligatori

Revisar un sistema biomètric no significa que l'empresa pugui deixar de registrar la jornada.

L'Estatut dels Treballadors exigeix conservar els registres durant quatre anys i mantenir-los a disposició de les persones treballadores, els seus representants legals i la Inspecció de Treball i Seguretat Social.

Per tant, si es decideix retirar un sistema biomètric, s'ha d'implantar un altre mecanisme que permeti continuar complint correctament aquesta obligació laboral.

Com et pot ajudar SIBPRODASA

A SIBPRODASA prestem serveis d'assessorament en protecció de dades, implantació i manteniment del RGPD i la LOPDGDD, auditoria i Delegat de Protecció de Dades.

Quan una organització utilitza tecnologies biomètriques, aquest tractament s'ha d'incorporar a l'anàlisi general de compliment i revisar tenint en compte les seves característiques concretes.

La qüestió no és únicament determinar si existeix un lector d'empremtes. Cal entendre per a què s'utilitza, quina informació tracta, quina necessitat pretén cobrir i si existeixen alternatives que permetin assolir la mateixa finalitat amb un impacte menor sobre les persones.

Preguntes freqüents sobre empremta dactilar i control horari

Està totalment prohibit fitxar mitjançant empremta dactilar?

No existeix una prohibició absoluta aplicable a qualsevol utilització de dades biomètriques.

Tanmateix, per al registre ordinari de jornada laboral, els criteris de l'AEPD estableixen requisits molt restrictius i consideren que l'obligació laboral de fitxar no constitueix, per si mateixa, una habilitació suficient per tractar dades biomètriques.

Puc continuar utilitzant el sistema si tots els treballadors hi estan d'acord?

El consentiment de la plantilla no converteix automàticament el tractament en lícit.

En una relació laboral s'ha d'analitzar especialment si aquest consentiment es pot considerar realment lliure a causa de la situació de desequilibri entre les parts.

Puc substituir l'empremta pel reconeixement facial?

Canviar una tecnologia biomètrica per una altra no resol el problema.

Tant l'empremta dactilar com el reconeixement facial poden implicar el tractament de dades biomètriques quan s'utilitzen per identificar o autenticar de manera unívoca una persona.

Una targeta o un codi PIN compleixen automàticament el RGPD?

No automàticament.

Són mecanismes que normalment eviten utilitzar dades biomètriques de categoria especial, però continuen tractant dades personals. S'han de dissenyar respectant els principis de minimització, seguretat, transparència i limitació de la finalitat.

Es pot utilitzar geolocalització per fitxar?

Hi pot haver situacions en què sigui possible utilitzar-la, però se n'ha d'analitzar la necessitat i proporcionalitat.

El fet que una aplicació permeti conèixer la ubicació no significa que l'empresa pugui fer un seguiment permanent del treballador. La informació recollida s'ha de limitar a la finalitat legítimament perseguida.

L'obligació de fitxar continua, però la tecnologia ha de ser proporcional

El registre de jornada és una obligació laboral. Utilitzar biometria per fer-lo és una decisió tecnològica amb implicacions addicionals en matèria de protecció de dades.

Aquesta diferència és la que moltes organitzacions han de revisar.

La solució no consisteix únicament a substituir un dispositiu per un altre. Consisteix a determinar quina informació necessita realment l'empresa per acreditar la jornada i escollir un sistema proporcionat a aquesta finalitat.

Si la teva organització utilitza actualment empremta dactilar, reconeixement facial o una altra tecnologia biomètrica, a SIBPRODASA podem analitzar el tractament dins del marc de compliment en matèria de protecció de dades i determinar quins aspectes requereixen revisió.