Puede que, en tu oficina, en tu banca online, e incluso, en tu gimnasio, utilices un sistema de reconocimiento fácil o huella dactilar para acceder a sus servicios y/o instalaciones. El pasado 23 de noviembre, la AEPD ha tomado una decisión tajante al respecto, acogiéndose al Reglamento General de Protección de Datos (RGPD), queda prohibido el uso de estos sistemas, ya que “[…] supone un tratamiento de categorías especiales de datos de alto riesgo.”.

Registro horario

A partir de ahora, el uso de identificación biométrica por parte de las personas trabajadoras, aunque hayan expresado el consentimiento expreso del tratamiento de sus datos, estaría prohibido por el propio RGPD por tratarse de datos de categoría especial. Existe una excepción, recogida en el artículo 35.7.b, a excepción de casos especiales como el “interés público”, cuestiones sanitarias o seguridad pública.

Fuera del ámbito laboral

El uso de datos biométricos para el acceso de instalaciones o servicios, ajenos al ámbito laboral del usuario, quedarán prohibidos por el elevado riesgo que supone el tratamiento de esos datos para la privacidad de la persona.

Por tanto, podemos concluir que, a priori, queda prohibido el tratamiento de datos biométricos, incluso con consentimiento, puesto que se vulnera el principio de minimización de datos, ya que para el control horario y/o la entrada en la empresa, no son necesarios los datos biométricos y se pueden utilizar otro tipo de métodos para hacerlo. Es necesario que exista una circunstancia muy especial y con una justificación muy exhaustiva recogida en el registro de actividades del tratamiento, para sortear la prohibición del tratamiento de datos de categorías especiales, así como, una condición inequívoca que legitime el tratamiento. Por esto:

• - En el caso de registro de jornada o control de acceso en el ámbito laboral, el consentimiento no puede levantar la prohibición del tratamiento, ni ser una base para determinar la licitud, al existir de forma general una situación de desequilibrio entre el interesado y el responsable del tratamiento.
• - Para el caso del control de acceso fuera del ámbito laboral, la ejecución de un contrato no es una circunstancia que levanta la prohibición según el art.9.2 del RGPD. El consentimiento tampoco lo podrá ser, al resultar un tratamiento de alto riesgo, y que tendría que superar el requisito de necesidad establecido para dichos tratamientos.
• - En el tratamiento de control de presencia, no se pueden tomar decisiones automatizadas sin intervención humana que tengan efectos jurídicos sobre el interesado.

Si quieres informarte sobre cumplimento normativo en materia de protección de datos: llámanos al 678 700 800, escríbenos a correo@laboralgroup.com o visita tu Oficina Laboral más cercana.

Fuente: AEPD