Datos biométricos en la empresa: fichar con huella o con la cara

Si estás pensando en poner un lector de huella o de reconocimiento facial para que tu plantilla fiche, la respuesta corta es: no lo hagas sin un análisis muy serio. Desde noviembre de 2023, la AEPD considera que usar datos biométricos para el registro de jornada o el control de acceso es un tratamiento de alto riesgo con datos de categoría especial, que el consentimiento del trabajador no sirve para legitimarlo y que la normativa laboral actual no lo autoriza. Hay alternativas igual de eficaces que no tienen este problema.

Qué son los datos biométricos

El artículo 4.14 del RGPD los define como datos personales obtenidos con un tratamiento técnico específico, relativos a características físicas, fisiológicas o conductuales, que permiten o confirman la identificación única de una persona. El propio artículo pone dos ejemplos: las imágenes faciales y los datos dactiloscópicos (huellas).

Ojo con un matiz: una foto no es por sí sola un dato biométrico. Lo es cuando se procesa con medios técnicos para identificar o autenticar a alguien, como hace un terminal de reconocimiento facial. La foto de la ficha del empleado no es biometría; la plantilla facial que genera el lector, sí.

El artículo 9.1 del RGPD prohíbe tratar datos biométricos dirigidos a identificar de manera unívoca a una persona, salvo que concurra alguna de las excepciones del artículo 9.2. Por eso hablamos de categorías especiales de datos.

El cambio de criterio de la AEPD en 2023

Hasta entonces se defendía que un lector de huella que solo «verifica» que eres quien dices ser no trataba datos de categoría especial. La AEPD publicó el 23 de noviembre de 2023 la guía «Tratamientos de control de presencia mediante sistemas biométricos» y cambió ese criterio de forma expresa, corrigiendo lo que decía en su guía de relaciones laborales de 2021. Lo que sostiene ahora:

• Identificación y autenticación cuentan igual. Tanto si el sistema busca tu huella entre todas las de la plantilla como si la compara con la de tu tarjeta, es un tratamiento de categoría especial y de alto riesgo.
• Falta una ley que lo ampare. La excepción del artículo 9.2.b) del RGPD (obligaciones en el ámbito laboral) exige, en España, una norma con rango de ley que lo autorice de forma específica. La AEPD concluye que los artículos 20.3 y 34.9 del Estatuto de los Trabajadores no contienen esa autorización.
• El consentimiento no vale. En el trabajo hay un desequilibrio claro entre empresa y trabajador, así que el consentimiento no levanta la prohibición. Y si se ofrece una alternativa real a todos, la biometría deja de ser necesaria, con lo que tampoco supera el análisis de necesidad.
• Hay que justificar la necesidad. La empresa tendría que demostrar por qué no le sirven tarjetas, claves, certificados o sistemas sin contacto, y por qué el sistema que usaba antes ya no es posible.
• EIPD previa y obligatoria. Antes de captar un solo dato hay que hacer y superar una evaluación de impacto con el triple juicio de idoneidad, necesidad y proporcionalidad.

La guía no prohíbe la biometría con esas palabras, pero en la práctica deja muy poco margen a una pyme para usarla en el registro de jornada.

Registro de jornada: obligatorio sí, biométrico no

Registrar la jornada es obligatorio (artículo 34.9 del Estatuto de los Trabajadores) y la base legal para tratar esos datos es el cumplimiento de una obligación legal. Lo que la ley exige es saber a qué hora empieza y termina cada persona, no cómo se registra. La huella añade un tratamiento de categoría especial que la obligación de fichar no cubre.

Alternativas que cumplen

Ejemplo: una clínica dental con ocho empleados que fichaba con huella puede pasar a tarjetas de proximidad o a una app sin cambiar nada de su control horario. Lo que sí debe hacer es borrar las plantillas de huella del terminal antiguo y dejar constancia del borrado.

¿Y para abrir puertas o zonas restringidas?

La guía cubre también el control de acceso, con fines laborales o no (un gimnasio que da acceso con la cara, por ejemplo). El razonamiento es el mismo: si una tarjeta o un código cumplen la función, la biometría no es necesaria. Fuera del ámbito laboral, la AEPD dice que el consentimiento tampoco levanta la prohibición por ser un tratamiento de alto riesgo que no supera el requisito de necesidad. Si tienes un gimnasio con acceso facial, revísalo.

Si aun así quieres usar biometría

Necesitas una excepción del artículo 9.2 que encaje de verdad y, según la AEPD, como mínimo:

1. Una evaluación de impacto previa y superada, documentada.
2. Justificar por escrito por qué no sirven las alternativas menos intrusivas.
3. Informar a las personas afectadas antes de empezar.
4. Cifrar las plantillas biométricas y no reutilizarlas para otros fines.
5. Usar formatos que impidan cruzar la base de datos con otras.
6. Borrar las plantillas cuando dejen de ser necesarias, por ejemplo cuando el trabajador se va.
7. Aplicar la protección de datos desde el diseño.

Además, nada de decisiones automáticas con efectos sobre el trabajador sin intervención humana. Si el lector falla, que haya una persona que lo resuelva.

Qué hacer esta semana si ya fichas con huella o cara

1. Comprueba qué sistema tienes y qué guarda: imagen, plantilla, en el terminal o en la nube del fabricante.
2. Elige una alternativa (tarjeta, PIN o app) y avisa a la plantilla del cambio.
3. Pide al proveedor el borrado de todas las plantillas biométricas y un justificante.
4. Actualiza el registro de actividades y la información a empleados.
5. Si el proveedor accede a los datos de fichaje, revisa que tienes contrato de encargado.

En el cuestionario de alta te preguntamos cómo ficha tu equipo. Si aparece la biometría, te lo señalamos y te ayudamos a cambiar a un sistema sin datos sensibles. Si tu tratamiento necesita una evaluación de impacto porque la ley la exige, va incluida en el plan Datos sensibles.

Preguntas frecuentes