¿Es legal el control horario biométrico?

El control horario biométrico no es legal; con la normativa de protección de datos actual, no está permitido el uso de la huella dactilar, el reconocimiento facial o la identificación de iris o cualquier otro dato biométrico para registrar la jornada laboral de los trabajadores, salvo contadas excepciones.

Los sistemas de fichaje o apps para fichar en el trabajo que usen biometría no se consideran un método proporcionado ya que existen otras alternativas menos intrusivas, por ejemplo el fichaje mediante QR dinámicos.

¿Qué es el control horario biométrico?

El control horario mediante sistemas biométricos es aquel que se lleva a cabo usando dispositivos que puedan captar, registrar, leer y comprobar datos biométricos, con el objetivo de registrar la jornada laboral de los trabajadores. A través de rasgos como, la huella dactilar, la voz, el iris u otras características físicas, estos dispositivos pueden identificar usuarios y detectar su presencia en el lugar de trabajo, sus horas de entrada y salida, períodos de descanso, etcétera.

Por lo tanto, se trata de añadir a la función de control biométrico del control de acceso, el registro de la hora de entrada y la hora de salida de los trabajadores, ya que el control biométrico permite la identificación inequívoca de las personas a través de sus rasgos físicos.

El control horario biométrico consiste en el uso de dispositivos que reconocen rasgos físicos únicos de la persona para detectar y controlar su entrada y salida del centro de trabajo.

La nueva reforma laboral prohíbe el control horario biométrico

Con la entrada en vigor de la nueva ley de control horario de trabajadores se van a adaptar las últimas disposiciones en materia de protección de datos, y una de ellas tiene que ver con el uso del control horario biométrico.

Hasta ahora, el uso de dispositivos biométricos para tratamiento de datos solo estaba permitido si se usaba como método de autenticación, pero no de identificación.

Podemos entender como métodos de autenticación o verificación los sistemas de acceso o control presencial en centros de trabajo, ya que se limitan a otorgar o denegar acceso a las personas autorizadas.

Es decir, existía una diferenciación entre datos biométricos para identificación, identificados como categorías especiales de datos y cuyo uso está prohibido, y datos biométricos para autenticación, que no tenían la condición de categoría especial de datos y, por tanto, si podrían ser objeto de tratamiento.

El uso de datos biométricos para autenticación queda prohibido, salvo excepciones. Dicho de otro modo, ya no se pueden usar dispositivos de reconocimiento facial, de huella dactilar o reconocimiento de iris para registrar la jornada laboral de los trabajadores.

Sin embargo, hace unos meses, el Comité Europeo de Protección de Datos (CEPD) daba un vuelco a todo este escenario y sentaba nueva jurisprudencia al respecto.

En concreto, el CEPD ha eliminado la distinción entre datos biométricos para identificación y datos biométricos para autenticación, otorgándoles en ambos casos la condición de categorías especiales de datos.

El CEPD toma esta decisión al considerar que el tratamiento de datos biométricos con la única finalidad del control de presencia de trabajadores resulta excesivo y desproporcionado en relación al fin perseguido.

Por tanto, el uso de datos biométricos para autenticación también queda prohibido, salvo excepciones. Dicho de otro modo, ya no se puede fichar con la huella dactilar o usar dispositivos de reconocimiento facial o de reconocimiento de iris para registrar la jornada laboral de los trabajadores.

Apps de control horario como Kronjop son una opción con muy buena relación calidad-precio par ayudar a los autónomos y pequeñas empresas a cumplir la normativa y a no caer en errores como el fichaje por biometría. Otras como Workday Time Tracking o Shiftbase se destinan a empresas de mayor tamaño.

¿El control horario biométrico está siempre prohibido o existen excepciones?

Existen algunas excepciones en las que el control horario de trabajadores mediante sistemas biométricos está permitido, pero para ello resulta imprescindible que exista una base legal en forma de norma con rango de ley que lo autorice, o esté establecido en el convenio colectivo de aplicación, si bien en este segundo caso, debe estar debidamente justificado y ser una medida que supere el triple juicio de idoneidad, necesidad y proporcionalidad.

La prohibición NO se puede levantar aunque exista consentimiento expreso por parte de los trabajadores.

Además de existir una norma con rango de ley que otorgue base legal al tratamiento, es necesario que converjan otra serie de circunstancias:

• El tratamiento resulta imprescindible para el fin perseguido.
• El tratamiento de datos se realiza aplicando las medidas técnicas y organizativas necesarias para garantizar la seguridad e integridad de la información.
• Solo se recogerán los datos estrictamente necesarios y estarán debidamente minimizados y anonimizados.
• La empresa informará de manera clara y transparente sobre el tratamiento de datos realizado.

Requisitos de la empresa al tratar datos biométricos de trabajadores

Siempre que exista una norma con rango de ley que lo legitime, la empresa puede usar sistemas biométricos para el control horario de sus empleados. Sin embargo, también deberá cumplir con otra serie de obligaciones:

• Informar a los trabajadores acerca del tratamiento de datos biométricos y los riesgos asociados al mismo.
• Garantizar la confidencialidad de la información mediante los pertinentes métodos de cifrado y minimización de datos.
• Ofrecer la posibilidad de que el trabajador pueda revocar en cualquier momento el vínculo entre su persona y la plantilla biométrica.
• Implementar los mecanismos necesarios para garantizar que las plantillas biométricas se utilicen con cualquier otra finalidad distinta al control de presencia.
• Usar tecnologías lo suficientemente avanzadas como para evitar la conexión con bases de datos biométricos y la difusión de datos no autorizados.
• Eliminar con garantías aquellos datos biométricos que ya no sean necesarios para la finalidad para la que fueron recabados (control horario).
• Registrar mediante convenio colectivo todas las garantías relativas al tratamiento de datos de los trabajadores.

¿Qué sistemas o dispositivos se usan para captar datos biométricos?

Existen una enorme variedad de dispositivos de captación biométrica. Basta con que sean capaces de reconocer algún rasgo físico único e inherente de cada persona.

Lo más habitual en entornos laborales era emplear sistemas de escaneo de la huella dactilar para identificar y autenticar a los usuarios que entran en el lugar de trabajo, así como controlar su horario laboral.

Sin embargo, con el avance de las tecnologías se han ido haciendo cada vez más frecuentes otro tipo de sistemas más avanzados, como los que funcionan a través del reconocimiento facial, de la voz o del iris, entre muchos otros.

Alternativas a los sistemas biométricos de fichaje

Aparte de la prohibición de realizar un control horario biométrico, también está la eliminación del fichaje en papel. Y además, es necesario que el método empleado consista en un sistema automatizado e informatizado que permita el acceso telemático del personal de Inspección de Trabajo.

Esto cierra el abanico de posibilidades, dejando como métodos más recomendables los múltiples software y apps para control horario que ya existen en la actualidad, y que emplean diferentes métodos de fichaje, como lectores de tarjetas RFID o fichaje con código QR o fichar a través de una aplicación web.

Control de acceso biométrico y protección de datos: Nueva guía de la AEPD

Para adaptarse a los nuevos criterios del CEPD sobre control de acceso y registro de la jornada laboral mediante datos biométricos, la AEPD publicó en noviembre de 2023 una nueva guía sobre el uso de datos biométricos para el control de presencia, en la que aborda las obligaciones y limitaciones que establece la normativa de protección de datos para el tratamiento de datos biométricos con estos fines.

En resumen, la guía de la AEPD establece una prohibición de facto para usar los datos biométricos para llevar el control horario y registro de la jornada laboral de los trabajadores, por considerarlo muy intrusivo en la privacidad y suponer un riesgo alto para los derechos y libertades de los interesados, además de una medida desproporcionada, puesto que existen alternativas menos invasivas para conseguir la misma finalidad.

Registro laboral mediante dispositivos biométricos en España

Durante años, los sistemas de control biométrico para el registro del horario laboral se han venido utilizando de forma asidua en España, ya que la normativa lo permitía.

En el año 2007, el Tribunal Supremo sentó jurisprudencia al señalar que el uso de datos biométricos como la huella dactilar para el control horario de trabajadores no era una medida excesiva y que, por tanto, estaba permitido. Así se ratificó también en el Real Decreto Legislativo 2/2015, que permitía a los empresarios adoptar las medidas de vigilancia que consideren oportunas para garantizar que los trabajadores cumplen con sus deberes laborales.

La tónica siguió en el año 2016 con la aprobación del Reglamento General de Protección de Datos (RGPD) quien calificó a los datos biométricos como una categoría especial de datos, pero solo si eran usados para identificación. La condición de datos especialmente protegidos no aplica, según el RGPD, si los sistemas biométricos solo se usan para la autenticación o verificación de usuarios.

Sin embargo, y cómo ya hemos visto más arriba, tras el cambio de criterio del CEPD respecto a la identificación y autenticación biométricas, el registro de la jornada laboral mediante datos biométricos queda de facto prohibido en España, puesto que actualmente no existen normas con rango de ley que lo habiliten (lo que no quita que en un futuro pueda haberlas o, incluso se vuelva a modificar la ley).