Los sistemas biométricos permiten identificar a una persona a partir de características propias como la huella dactilar, el rostro o la palma de la mano. En el ámbito empresarial se utilizan tanto para gestionar accesos como para registrar la presencia de los trabajadores.
Su principal ventaja es que la identificación está vinculada al propio usuario, evitando problemas asociados a otros métodos, como olvidar, perder o prestar una tarjeta.
Ahora bien, utilizar biometría implica tratar datos especialmente protegidos y su implantación debe realizarse teniendo en cuenta los requisitos establecidos por la normativa de protección de datos.
¿Qué se considera un dato biométrico?
El Reglamento General de Protección de Datos (RGPD) define los datos biométricos como aquellos obtenidos mediante un tratamiento técnico específico relacionado con características físicas, fisiológicas o conductuales que permiten o confirman la identificación única de una persona.
Cuando una empresa utiliza una huella, el rostro o determinadas características de la palma para identificar de forma unívoca a un trabajador, puede estar realizando un tratamiento de datos biométricos considerado categoría especial de datos.
Por este motivo, estos sistemas requieren mayores garantías que otros métodos de identificación como una tarjeta o un código PIN.
¿Es legal fichar con huella, reconocimiento facial o palma?
La utilización de sistemas biométricos no está prohibida de forma absoluta, pero no puede darse por válida automáticamente por el simple hecho de que exista una obligación de registrar la jornada.
La Agencia Española de Protección de Datos (AEPD) considera el uso de biometría para el control de presencia un tratamiento de alto riesgo y establece criterios específicos que deben analizarse antes de su implantación.
En el ámbito laboral, además, el criterio publicado por la AEPD en 2023 es especialmente restrictivo respecto a las circunstancias que permitirían tratar estos datos.
Por tanto, cada empresa debe analizar la finalidad concreta para la que quiere utilizar la biometría, su base jurídica, la necesidad y proporcionalidad del tratamiento y las garantías que deben aplicarse.
Esto también significa que no existe una diferencia legal automática entre utilizar huella, rostro o palma: si el sistema emplea esos datos para identificar de forma unívoca a una persona, debemos analizar igualmente su consideración como tratamiento biométrico.
¿Los trabajadores tienen que firmar una autorización?
Esta es una de las dudas más habituales cuando una empresa se plantea instalar un sistema biométrico.
La obligación de registrar la jornada no depende del consentimiento del trabajador. Sin embargo, cuando utilizamos biometría, entran en juego las exigencias adicionales aplicables a las categorías especiales de datos.
Por eso, hacer firmar una autorización a los empleados no convierte por sí solo el tratamiento biométrico en lícito.
En el contexto laboral, la AEPD considera que el consentimiento presenta dificultades como fundamento debido al desequilibrio existente entre empresa y trabajador. La empresa debe analizar previamente qué habilita el tratamiento y cumplir los requisitos que correspondan.
Sí deberá informar adecuadamente a los trabajadores sobre el tratamiento de sus datos, su finalidad y el funcionamiento del sistema.
¿Puede un trabajador negarse a fichar con huella o reconocimiento facial?
Aquí conviene separar dos cuestiones.
El trabajador tiene que registrar su jornada, pero la obligación de fichar no determina por sí sola que tenga que hacerlo mediante un sistema biométrico concreto.
Si una empresa decide utilizar huella, reconocimiento facial o palma, deberá haber analizado previamente la legitimidad de ese tratamiento y las garantías necesarias para su implantación.
Por tanto, no se trata simplemente de que el trabajador acepte o rechace el terminal. La cuestión principal es que la empresa pueda justificar jurídicamente el método elegido y haya cumplido previamente las obligaciones correspondientes.
¿Qué debe valorar una empresa antes de implantar biometría?
La elección de un sistema biométrico debe tener en cuenta tanto sus ventajas técnicas como el contexto en el que va a utilizarse.
Uno de los análisis más importantes es determinar si el sistema resulta idóneo, necesario y proporcionado para la finalidad perseguida. También deben valorarse las alternativas existentes y las medidas destinadas a minimizar los riesgos para los usuarios.
Además, al considerarse el control de presencia biométrico un tratamiento de alto riesgo, la AEPD establece la necesidad de realizar previamente una Evaluación de Impacto relativa a la Protección de Datos (EIPD).
La EIPD permite identificar los riesgos del tratamiento y establecer medidas para reducirlos. Sin embargo, es importante entender que no sustituye el análisis de licitud: disponer de una evaluación favorable no basta por sí mismo para legitimar cualquier utilización de datos biométricos.
¿Cómo funcionan los sistemas biométricos de SystemPin?
Aquí es importante diferenciar entre la imagen que puede captar inicialmente un dispositivo y la información utilizada posteriormente para reconocer al usuario.
En nuestros sistemas, a partir de la información capturada durante el alta, se genera una plantilla matemática que permite realizar las comparaciones necesarias en posteriores identificaciones.
Dependiendo del sistema y de su configuración, la identificación puede realizarse en modo 1:1, comprobando la identidad declarada de un usuario, o 1:N, comparando la muestra con las referencias registradas para determinar a quién corresponde.
En SystemPin también aplicamos diferentes medidas de seguridad para proteger la información almacenada y las comunicaciones entre los dispositivos y el software.
Estas medidas técnicas son fundamentales para proteger los datos durante todo su ciclo de vida y constituyen una parte importante de cualquier proyecto de implantación biométrica.
¿La biometría solo puede utilizarse para el registro horario?
No. Esta distinción me parece especialmente importante.
Los terminales biométricos pueden utilizarse para diferentes finalidades y el análisis jurídico dependerá también del uso concreto que se haga de ellos.
Además del control de presencia, en SystemPin contamos con soluciones para control de accesos, por ejemplo para gestionar la entrada a determinadas instalaciones o zonas restringidas. Nuestros terminales permiten definir permisos y combinar diferentes métodos de identificación en función de las necesidades de seguridad de cada espacio.
Por eso, al hablar de legalidad de la biometría no debemos valorar únicamente qué tecnología utilizamos, sino para qué queremos utilizarla y en qué contexto.
Elegir e implantar correctamente un sistema biométrico
La biometría ofrece posibilidades muy interesantes para identificar usuarios de forma rápida y precisa, especialmente cuando necesitamos reforzar la trazabilidad, evitar el intercambio de credenciales o disponer de sistemas de identificación sin contacto.
Pero tan importante como elegir entre huella, reconocimiento facial o palma es definir correctamente cómo se va a utilizar esa tecnología.
En SystemPin desarrollamos soluciones de control de presencia y accesos desde 2005 y contamos con diferentes terminales biométricos y métodos alternativos de identificación que permiten adaptar cada proyecto a las necesidades de la empresa.
Si estás valorando implantar un sistema biométrico, podemos ayudarte a estudiar el entorno, seleccionar el terminal y configurar la solución más adecuada para tu organización.
