Legalidad en uso de biometría

Advertencia: La reciente publicación en noviembre de 2023 de la guía de la AEPD “GUÍA SOBRE TRATAMIENTOS DE CONTROL DE PRESENCIA MEDIANTE SISTEMAS BIOMÉTRICOS”, puede afectar a las interpretaciones realizadas en esta publicación. Actualmente estamos a la espera de ver como afecta esta guía a las sentencias y resoluciones que se realicen a partir de ahora. Este documento se actualizará a medida que surjan nuevos datos, resoluciones o sentencias referentes a la biometría para el control de presencia.

1. Introducción

En este documento, procedemos a explicar en detalle todo lo referente al uso de datos biométricos con la finalidad del registro de la jornada laboral de los empleados en una empresa. A continuación realizamos un resumen del contenido de este documento:

• Desde nuestra interpretación del RGPD, los datos que utiliza nuestro sistema son sin lugar a dudas datos biométricos conforme a la ley RGPD 2016/679. (Ver apartado 3¿Que considera la RGPD datos biométricos?)
• El uso de datos biométricos es totalmente legal para el uso de registro de control de presencia. (Ver apartado 4Legalidad de uso de datos biométricos para el control de presencia)
• Tanto para datos biométricos, como cualquier otro dato personal, la empresa está obligada a informar a los trabajadores de que ha incorporado sus datos personales a su sistema, la finalidad para la que se usarán esos datos, y los derecho de acceso y rectificación que tiene. Anexamos a este documento un documento de ejemplo en el que se informa al trabajador de esta cuestión.
• El RGPD cataloga los datos biométricos junto a otros tipos de datos como “datos de categoría especial”, y que requieren de una protección adicional a restro, nuestros sistema dispone de mecanismos para dar a estos tipos de datos una protección adicional. (Ver apartado 11Requisitos de protección especial para datos biométricos)
• La AEPD no indica explícitamente la obligatoriedad de realizar una Evaluación de Impacto sobre los datos de carácter personal por el hecho de disponer de datos biométricos, de hecho no define un criterio claro y lo deja todo muy abierto a interpretación. Desde nuestro punto de vista, es aconsejable para cualquier empresa realizar una evaluación de impacto, dispongan o no de datos biométricos. Una Evaluación de Impacto realizado por una empresa especializada, le indicará si su empresa está gestionando los datos personales del modo adecuado, y los puntos que tendría que subsanar para reducir la posibilidad de una sanción en caso de inspección. (Ver apartado 14Necesidad de realización de Evaluación de Impacto (EIPD).)

2. Información no vinculante

Importante: Toda la información de este documento es meramente informativa y no vinculante.

La empresa SystemPin no es una empresa especializada en protección de datos de carácter personal ni en derecho, hemos redactado este documento a partir de la experiencia que hemos obtenido en la implantación de sistemas de control de presencia mediante sistemas biométricos desde el 2005, y la evolución que han tenido las leyes a lo largo de estos años.

Las leyes, la tecnología biométrica, y sobre todo la interpretación que se hace de las mismas, está en una constante evolución y de un día para otro pueden existir sentencias que generen jurisprudencia con criterios contrarios a los que se han atendido hasta la fecha. En este documento nos basamos en sentencias firmes hasta la actualidad.

Si dispone de cualquier documento proveniente de una fuente oficial o sentencia que contradiga la información contenida en este documento, le agradeceríamos que no la remitiese a systempin@systempin.com para analizarla en profundidad.

Con independencia del control de presencia que usted utilice, toda empresa está obligada a cumplir con la ley de protección de datos de carácter personal, la mejor garantía para minimizar el riesgo de sanción es la contratación de los servicios de una empresa especializada en esta materia.

Si desea que la empresa que nos gestiona la RGPD, se ponga en contacto con usted para facilitar un presupuesto sin compromiso, envíenos un correo a systempin@systempin.com con sus datos de contacto y así podrán darle asesoramiento de un modo personalizado en todo lo relativo a la RGPD.

En SystemPin, hemos suministrado sistemas biométricos de control de presencia desde que surgió esta tecnología, desde el 2005 en el que utilizamos nuestro primer terminal biométricos, hemos suministrado mas de 10.000 terminales por todo el territorio nacional, y nunca ninguno de nuestros clientes a sido sancionado por la AEPD por la utilización de los mismos.

Toda la información incluida en el documento, está basada en fuentes de organismos oficiales como la AEPD y la ley RGPD, muchas de las leyes referentes a Protección de datos de carácter Personal, no son precisas y están muy abiertas a interpretación, no nos hacemos responsables de que alguna información o interpretación aquí redactada pudiera ser interpretada de un modo distinto por un inspector, juez, o cualquier otra persona o entidad. En este documento encontrará la interpretación que nosotros realizamos como expertos en control de presencia y en sistemas biométricos.

3. ¿Qué considera la RGPD datos biométricos?

La nueva RGPD, define explícitamente los datos biométricos como datos que requieren de una protección especial, también incluye la definición de dato biométrico como: datos personales obtenidos a partir de un tratamiento técnico específico, relativos a las características físicas, fisiológicas o conductuales de una persona física que permitan o confirmen la identificación única de dicha persona, como imágenes faciales o datos dactiloscópicos.

Según esta definición, por nuestra parte, no nos cabe duda alguna de que las plantillas que utilizan nuestro sistema para la identifación de usuarios, son datos biométricos, ya permiten la identificación de personas de un modo automatizado, y por tanto, ya sean huellas dactilares, faciales, o de cualquier otro tipo, entran dentro de los datos catalogados como “Datos de categoría especial” del RGPD. Hablaremos de que medidas adicionales de protección se requieren para este tipo de datos en los siguientes puntos de este documento.

3.1 Biometrías y derechos fundamentales

En la Guía sobre tratamiento de control de presencia Mediante Sistemas Biométricos emitida por la AEPD, se hace referencia a su introducción a los avances tecnológicos en biométria que han habido en los últimos tiempos, y que hacen necesario plantearse los límites de los usos de los datos biométricos.

El artículo 9 de la RGPD califica como “categorías especiales de datos personales” entro otros los datos biométricos, lo cuál afecta en que se tengan que tomar medidas adicionales de seguridad para su uso. En ningún punto de esta ley de la RGPD, o ninguna otra ley se indica que el solo hecho de disponer datos biométricos sea ya de por si una vulneración de los derechos y deberes fundamentales y libertades de las personas.

De hecho, ni siquiera sería necesario datos biométricos o datos catalogados por la RGPD como “categorías especiales de datos personales” para vulnerar un derecho fundamental, un tratamiento de datos podría vulnerar derechos fundamentales disponiendo de solamente el nombre o la foto de un usuario. Por ejemplo creando un sistema que solo admitiera el acceso a apellidos reconocidos como apellidos nacionales, a usuarios con una tonalidad de piel concreta, o limitar el uso a solo nombres de hombre o mujer.

El que se realice una vulneración de los derechos y deberes fundamentales, no depende de una tecnología en sí, dependerá del uso que se haga de esta tecnología. En lo que respecta a los algoritmos biométricos que utilizamos en los sistemas de SystemPin, se han tomado todas las medidas necesarias de minimización de datos para que sirvan exclusivamente para la identificación o autenticación de usuarios, sería totalmente imposible realizar uso de estas plantillas para cualquier otra finalidad.

En definitiva, el disponer o no de datos biométricos, no implica que se estén vulnerando o no los derechos fundamentales, la vulneración de derechos fundamentales es vulnerada dependiendo del uso que se hace de los mismos.

En la Guía sobre tratamiento de control de presencia Mediante Sistemas Biométricos en el punto V se establece:

“La especial protección que establece el RGPD en su art. 9 a determinadas categorías de datos deriva del impacto que el tratamiento de estos datos puede tener en los derechos fundamentales y libertades de las personas.”

Por tanto, aunque el hecho de disponer de datos biométricos no sea por si una vulneración de derechos fundamentales, si que hay que tener en cuenta que se tendrán que tomar las medidas legales vigentes para cumplir con la normativas y realizar todas las acciones posibles que minimicen los riesgos a niveles asumibles para que no se produzcan usos con finalidades distintas para los que han sido recabados.

3.2 Licitud de uso y necesidad de consentimiento explicito por parte del interesado

En el apartado B del punto V de la Guía sobre tratamiento de control de presencia Mediante Sistemas Biométricos hacer refererencia a la legitimidad del consentimiento explícito del interesado para el tratamiento de datos biométricos en las realaciones laborales. Indicando que el consentimiento, podría no ser válida ya que existe una condición de desigualdad entre empleador y empleado, y las consecuencias que se pudieran tomar por parte del empleador en caso de no dar el consentimiento.

Esta licitud de tratamiento de los datos biométricos está expresada en el artículo 6 punto 1.a de la RGPD:

Artículo 6 : Licitud del tratamiento

1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
2. a) el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
3. b) el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
4. c) el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
5. d) el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
6. e) el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
7. f) el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño.

Tal y como vemos en el texto del artículo 6, la licitud del tratamiento se cumple si se dan al menos una de las condiciones enumeradas en los puntos del artículo 6. El punto c) indica que el tratamiento sería lícito si es necesariao para el cumpliento de obligaciones legales, por tanto el consentimiento del interesado deja de ser necesario para realizar el uso de datos personales para realizar el registro de la jornada laboral que obliga el artículo 34.9 del Estatuto de los trabajadores.

También los puntos d) y f) podrían interpretarse como una licitud para utlizar los datos de caracter personal para el control de presencia o incluso para el control de accesos, teniendo en cuenta el artículo artículo. 20.3 del Real Decreto 2/2015, de 23 de octubre, por el que se aprueba el texto refundido de la Ley del Estatuto de los Trabajadores (ET).

Si podría ser necesario el consentimiento del interesado, en caso de usos biométricos para otras finalidades distintas a las laborales, y dependiendo de la finalidad a conseguir, como sería para el control de accesos que no almecene datos necesarios para el registro de la jornada. Aunque incluso para estos casos, existen senticias de la audiencia nacional que anula multas impuestas por la AEPD para usos biométricos para finalidades no laborales. (Sentencia Audiencia Nacional quitando multa a gimnasio. SAN 3675/2019 – ECLI:ES:AN:2019:3675)

En todo caso, la Guía sobre tratamiento de control de presencia Mediante Sistemas Biométricos indica que podrían entender que la desigualdad que invalida el consentimiento explicito libre del trabajador para el control de accesos, se resolvería ofreciendo un método alternativo a la biométria como podría ser una tarjeta o un código de acceso.

3.3 Referencias RGPD y AEPD respecto a Identificar y Autenticar

Hemos recibido muchas consultas respecto a si nuestro sistema “Identifica” o “Autentica” los usuarios, con la premisa de que la AEPD, solamente cataloga los datos como datos biométricos en caso de que se realice una autenticación y no una Identificación.

Con la emisión de la guía que la AEPD ha emitido en noviembre de 2023 Guía sobre tratamiento de control de presencia Mediante Sistemas Biométricos, se zanja esta cuestión ya que e su punto “IV -A IDENTIFICACIÓN Y AUTENTICACIÓN COMO CATEGORÍAS ESPECIALES DE DATOS “. Reconsidera la distinción de Identificar y Autenticar:

En definitiva, se ha de considerar que, al igual que en el caso de identificación, la autenticación biométrica es un proceso que implica el tratamiento de categorías especiales de datos personales

Nosotros por nuestra parte siempre hemos estado en desacuerdo en a que el uso para autenticación implique que los datos que se usan no sean biométricos. Siempre hemos pensado y así nos ha dado la razón en la última guía emitida, que independientemente de que se realice una autenticación o una identificación, se requiere tener los datos biométricos de los empleados, y por tanto es necesario cumplir con todos los requerimientos que establece la RGPD para “datos de categoría especial”.

3.3.1 Referencias Obsoletas RGPD y AEPD respecto a Identificar y Autenticar

En este apartado, exponemos las cuestiones y motivos por los que no coincidíamos con la AEPD antes de emitir la guía meniconada en el apartado anterior. El punto en concreto en el que se aborda esta cuestión, es en el punto III que se encuentra en la página 17 del documento Escrito de Consulta Gabinete Jurídico AEPD N/REF: 0036/2020 .

Cabe destacar que estos documentos no son vinculante respecto a legislación, ya que como se indica en el propio documentos, se trata un documento de consulta redactado por el Gabinete Jurídico en el que se plantean dos cuestiones de carácter general.

Revisado el Punto III del documento, por nuestra parte, no nos atreveríamos a hacer la afirmación categórica de que el uso de datos biometricos con el fin de autenticar no serán considerados de categoría especial, ya que:

• Los documentos son resoluciones a cuestiones muy concretas que podrían no ser aplicable a cualquier caso.
• El documento de la AEPD en el que se expone esta cuestión no son leyes en sí.
• Para la definición de los términos “Identificación” y “Autenticación”, se usa como referencia el documento “Dictamen 3/2012 sobre la evolución de las tecnologías biométricas” que tampoco es una ley en sí.
• El hecho de que se realice una autenticación 1:1 o 1:N es irrelevante tal y como se definen los datos biométricos en la RGPD. Para realizar tanto una identificación como una verificación, será necesario disponer igualmente de una base de datos con las plantillas biométricas de los usuarios.
• Si vemos la definición que la RGPD hace de dato biométrico en el punto anterior, indica “que permitan o confirmen la identificación”. Por otro lado, tanto para una identificación como para una verificación, es necesario disponer de una base de datos de plantillas biométricas.
• En el propio documento se indica lo siguiente:
  • “No obstante, esta Agencia considera que se trata de una cuestión compleja, sometida a interpretación, respecto de la cual no se pueden extraer conclusiones generales, debiendo atenderse al caso concreto según los datos tratados, las técnicas empleadas para su tratamiento y la consiguiente injerencia en el derecho a la protección de datos, debiendo, en tanto en cuanto no se pronuncia al respecto el Comité Europeo de Protección de Datos o los órganos jurisdiccionales, adoptarse, en caso de duda, la interpretación más favorable para la protección de los derechos de los afectados.”
• Muchas webs extraen solamente la información de los documentos aquí reflejados que apoyan la afirmación de que los datos biométricos para autenticación no son datos sensibles, pero no incluyen puntos importante como el punto inmediatamente anterior a este.
• A todo esto se ha unido el nuevo documento emitido en noviembre de 2023 por la AEPD que apoya todo lo indicado en este documento y equipara la indentificación y la verificación Guía sobre tratamiento de control de presencia Mediante Sistemas Biométricos, Punto IV-A IDENTIFICACIÓN Y AUTENTICACIÓN COMO CATEGORÍAS ESPECIALES DE DATOS :
  • “En definitiva, se ha de considerar que, al igual que en el caso de identificación, la autenticación biométrica es un proceso que implica el tratamiento de categorías especiales de datos personales.”

En SystemPin, disponemos de terminales que permiten realizar autenticación 1:1, y también de terminales que realizan reconocimiento facial a partir de la foto de los empleados, en lugar de mediante datos biométricos. Pero como en otras cuestiones en lo que se refiere a esta ley, la catalogación de estos datos de imágenes o datos biométricos como datos sensibles está muy abierta a interpretación.

Incluso en el caso de la utilización de fotografías, la RGPD en la consideración 51, hace referencia a que el uso de las mismas para identificación o autenticación automáticas, harían que fuesen considerados como datos biométricos.

4.Legalidad de uso de datos biométricos para el control de presencia

En SystemPin, llevamos trabajando con sistemas biométricos desde el 2005, y no tenemos constancia de que hayan habido ninguna sanción por parte de la AEPD o cualquier otro organismo en la instalación o uso de estos sistemas biométricos en ninguna de nuestros clientes. Si somos conscientes de que han existido algunas quejas o incluso denuncias por partes de agrupaciones  sindicales, o empleados a nivel particular para impedir el uso de sistemas biométricos para el control de presencia, que en ninguno de los casos han impedido el uso del sistema biométrico.

Todas las sentencias de las que tenemos conocimiento, que se han dictaminado en lo que respecta a la oposición de uso de sistemas biométricos para el control de presencia, han sido desestimadas, indicando que el uso de datos biométricos, es un sistema lícito, proporcionado para poder verificar la realización de la jornada laboral, y necesario, ya que es el único modo que garantiza la imposibilidad de suplantación de identidad por parte de los trabajadores.

Estas sentencias aplican lo indicado en el artículo. 20.3 del Real Decreto 2/2015, de 23 de octubre, por el que se aprueba el texto refundido de la Ley del Estatuto de los Trabajadores (ET)

“El empresario podrá adoptar las medidas que estime más oportunas de vigilancia y control para verificar el cumplimiento por el trabajador de sus obligaciones y deberes, guardando en su adopción y aplicación la consideración debida a su dignidad y teniendo en cuenta, en su caso, la capacidad real de los trabajadores con discapacidad”.

Adjuntamos dos de las sentencias de las que tenemos constancia::

• Sentecia 47-2010 Tribunal Superior de justicia de la Región de Murcia
• STS 5200/2007 Tribunal Supremo. Sala de lo Contencioso

Estas y otras sentencias han creado jurisprudencia, y hoy en día no cabe duda de que el uso de sistemas biométricos para el control de presencia es totalmente legal, usándose estos sistemas en miles de empresas de todo tipo, tanto privadas como públicas.

Por tanto podemos usar sistemas biométricos para el control de presencia, y el empleado estará obligado a facilitarnos su datos biométricos sin necesidad de darnos su consentimiento, ya que la utilización de datos de carácter personales, se establece explícitamente como lícita en la RGPD,  artículo 6 punto 1.c. “el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento“. Ya que todo empresa que contrate a un trabajador, está obligada a llevar un control de presencia según art. 34.9 el estatuto de los trabajadores.

Sin embargo, que el uso de sistemas biométricos esté permitido para el registro de la jornada laboral, no nos exime de cumplir todos los requerimientos que indican las leyes de protección de datos de carácter personal para estos tipos de datos. Puntos que trataremos a continuación.

5. Definición de control de presencia, registro de jornada y control de accesos

En el apartado C de la Introducción de la Guía sobre tratamiento de control de presencia Mediante Sistemas Biométricos de la AEPD se definen los siguientes conceptos:

• Control de Presencia: Es un tratamiento que puede servir para la consecución de distintas finalidades y que engloba el Registro de Jornada y el control de Accesos
  • Registro de Jornada: Es un tratamiento de control de presencia que se encontraría enmarcado dentro de una relación laboral, con la finalidad de controlar el desenvolvimiento de la misma.

En este mismo apartado C, la guía indica que este registro de jornada es obligatorio para las empresas desde el 2018 según Real Decreto-Ley 8/2019.

• Control de accesos: Es un tratamiento de control de presencia que se encontraría vinculado a la finalidad de supervisar la entrada y/o salida a determinados recintos. Dentro del control de accesos podemos distinguier entre:
  • Control de acceso con fines laborales : Fundamentada en la previsión contenida en el art. 20.3 del Real Decreto Legislativo 2/2015, de 23 de octubre, por el que se aprueba el texto refundido de la Ley del Estatuto de los Trabajadores, que establece que: “3. El empresario podrá adoptar las medidas que estime más oportunas de vigilancia y control para verificar el cumplimiento por el trabajador de sus obligaciones y deberes laborales, guardando en su adopción y aplicación la consideración debida a su dignidad y teniendo en cuenta, en su caso, la capacidad real de los trabajadores con discapacidad”.
  • Control de acceso con otras finalidades : Resto de casos en los que también resulta preciso realizar un control de presencia que no necesariamente tiene que ver con una relación laboral. Por ejemplo accesos de usuarios o clientes a determinados recintos.

6. Ley Europea de protección de datos de carácter personal

El pasado 25 de Mayo de 2018, empezó a aplicarse el nuevo REGLAMENTO (UE) 2016/679 DEL PARLAMENTO EUROPEO Y DEL CONSEJO (RGPD) de 27 de abril de 2016. , conocido como la ley RGPD.

La finalidad de este reglamento, es la unificación de todas las leyes de los países de la unión europea referentes a la gestión de los datos de carácter personal.

Un cambio significativo que ha supuesto la entrada de la nueva RGPD, es la eliminación de los tres niveles de datos que existían en la LOPD : BAJO, MEDIO y ALTO, no haciendo la RGPD distinciones entre los distintos tipos de datos personales tratados, pero si definiendo algunos datos como “datos de categoría especial”, entre los que se encuentran los datos biométricos, para los cuales se indica que se tomen medidas adicionales de protección, sin que se especifiquen unas medidas mínimas exigibles de seguridad, dejando la decisión de las medidas a tomar al responsable de tratamiento de los datos.

La antigua ley LOPD especificaba unas medidas muy concretas a adoptar para cada tipo de dato personal del que se dispone, dependiendo que esté catalogado como Bajo, Medio o Alto. El concepto de la RGPD es totalmente distinto y deja la responsabilidad al responsable de seguridad de adoptar las medidas que el crea necesarias según el volumen o información que se esté tratando.

No tendría sentido que se exigieran las mismas seguridad para los datos de una empresa que dispone de los datos biométricos de sus 50 trabajadores para identificarlos, que para una empresa que realiza usos de datos biométricos captados de millones de usuarios, como por ejemplo redes sociales.

7. Utilización de datos biométricos para el control de presencia según RGPD

En el articulo 9, apartado 1 de la RGPD, se establecen una serie de prohibiciones de datos de carácter personal que no pueden utilizarse, incluyendo explícitamente en esta prohibición la utilización de datos biométricos.

Acto seguido en el punto 2, establece varias excepciones a esta prohibición, la utilización de datos biométricos con la finalidad de control de presencia para la verificación del cumplimiento de un contrato laboral estaría incluida en la excepción b) de este punto 2.

“b)  el tratamiento es necesario para el cumplimiento de obligaciones y el ejercicio de derechos específicos del responsable del tratamiento o del interesado en el ámbito del Derecho laboral y de la seguridad y protección social…..“

Este levantamiento de la prohibición se trata con mas detalle en el documento Guía sobre tratamiento de control de presencia Mediante Sistemas Biométricos emitido por la AEPD en noviembre de 2023, en su punto V -LEVANTAMIENTO DE LA PROHIBICIÓN DE TRATAR CATEGORÍAS ESPECIALES DE DATOS.

Art. 9.2.b RGPD: Existencia de una norma de rango legal: Para la finalidad del registro laboral, englobada en la excepción del ámbilo laboral, podemos aportar como normas de rango legal que permiten acogernos a esa excepción las siguientes:

• Artículo. 34.9 el estatuto de los trabajadores, que obliga a todo empresario que contrate a un trabajador a llevar un registro de la jornada laboral, esta obligación también permite aplicar la utilización de datos de carácter personales sin necesidad de consentimiento del usuario ya que se establece explícitamente como lícita en la RGPD, artículo 6 punto 1.c. “el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento“
• Artículo 20 del Estatuto de los Trabajadores el cual establece que:“El empresario podrá adoptar las medidas que estime más oportunas de vigilancia y control para verificar el cumplimiento por el trabajador de sus obligaciones y deberes, guardando en su adopción y aplicación la consideración debida a su dignidad y teniendo en cuenta, en su caso, la capacidad real de los trabajadores con discapacidad”.

En este apartado de la Guía sobre tratamiento de control de presencia Mediante Sistemas Biométricos se indica el tratamiento de los datos personales como un derecho fundamental, como hemos visto en el apartado 3.1Biometrías y derechos fundamentales este documento, el solo hecho de disponer de datos personales, no implica que se esté vulnerando un derecho fundamental, la vulneración de este derecho dependerá del uso que se realice de los datos.

Todo los equipos y software suministrados por SystemPin, cumplen todos los requisitos exigidos por el RGPD y la AEPD para evitar que puedan realizarse usos que impliquen la vulneración de derechos fundamentales. Por tanto al no existir posibilidad de vulneración de derechos, no procede el buscar una ley que autorice explícitamente el uso de sistemas biométricos, y tampoco existe una ley que los prohiba explicitamente.

Art 9.2.b RGPD: Necesidad : La necesidad de utilizar sistemas biométricos se explica en el apartado 8 Justificación de la necesidad del uso Biométrico para control de presencia en el que se explica detalladamente la imposibilidad de conseguir los mismos resultados empleando otros medios.

Art. 9.2.b RGPD: Idoneidad: Los sistemas biométricos son los mas aconsejados para el registro de jornada laboral ya que son rápidos, seguros, no permite la suplantación de identidad, y no requieren de elementos como tarjetas ni dependen de que el empleado tenga que recordar un código. En la sección 9 Algoritmos de datos biométricos utilizados se analiza en detalle el funcionamiento y la seguridad de los sistemas biométricos que suministramos.

En este apartado de idoniedad de la Guía sobre tratamiento de control de presencia Mediante Sistemas Biométricos se hace referencia a entre otros problemas, a que puedan existir “sesgos en los perfilados, identificaciones incorrectas, suplantación de identidad, discriminación en segmentos de población (mayores, discapacitados, tipos raciales, enfermos, etc.) “

Precisamente todos los motivos enumerados, son los motivos que hacen aconsejable el uso de la biometría, ya que es el sistema que mejor garantiza que no se vayan a producir este tipo de circunstancias que si se podría producir empleando otros medios como por ejemplo medios humanos. En concreto el que afectaría y el que se pretende evitar en un registro laboral o en un control de accesos, sería en concreto la suplantación de identidad.

8. Justificación de la necesidad del uso biométrico para el control de presencia

En la Guía sobre tratamiento de control de presencia Mediante Sistemas Biométricos emitida por la AEPD en el punto II.A MINIMIZACIÓN EN EL TRATAMIENTO DEL CONTROL DE PRESENCIA indica lo siguiente:

“Por lo tanto, hay que justificar la necesidad de un tratamiento adicional de datos cuando las mismas finalidades se han estado alcanzando y se pueden alcanzar con otro tipo de implementación del tratamiento de registro de jornada equivalente y menos intrusivo.”

Uno de los principios del RGPD es el principio de minimización que establece en el art. 5 apartado 1 letra c que los datos serán:

“adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»);”

La principal razón que tiene una empresa para usar sistema biométrico en lugar de otros sistemas de control de presencia, es que es el único sistema que permite actualmente evitar la suplantación de identidad, al contrario que otros sistemas con código o tarjeta que permitirían a un trabajador hacerse pasar por otro.

Considerando el uso al ternativo de recursos tecnológicos, la utilización de medios humanos para evitar la suplantación de identidad, no consigue la efectividad que los medios tecnológicos ofrecen. Los recursos tecnológicos permiten identificar a los usuarios en menos de 1 segundo con una fiabilidad que roza la perfección, algo que sería imposible conseguir con ningún otro recurso y que por otro lado supondría un coste mucho mas elevado.

La suplantación de identidad en el marcaje puede acarrear consecuencias que pueden suponer sanciones económicas al empresario, como por ejemplo la incorrección en el registro de la jornada, o la suplantación de identidad de una persona contratada por otra persona que ocupe su puesto de trabajo.

En algunos sectores con una gran volumen de altas y bajas, como puede ser el sector agrario, se dan casos en que personas sin contrato sustituyen a personas que tienen el contrato para realizar su jornada. Esto es algo que puede acarrear una enorme problema al empresario en caso de un accidente laboral, una inspeccion o por la realización de trabajo por personas no cualificadas o sin la formación necesaria para realizarlos, esto sería factible evitarlo únicamente mediante el reconocimiento biométrico de los empleados.

Como ejemplo real, podríamos exponer el caso del Hospital de Basurto (Bilbao) en 2022, en el que una persona accedió a la maternidad del hospital haciendose pasar por sanitaria del centro para secuestrar a un bebe recién nacido, consiguiendo su objetivo y afortunadamente siendo localizada y detenida días después con el bebe. Este caso es un claro ejemplo de como un sistema biométrico de control de accesos, podría evitar graves consecuencias, que en esta ocasión afortunadamente no fueron a mas.

En el último párrafo del punto III A de la Guía sobre tratamiento de control de presencia Mediante Sistemas Biométricos se indica claramente la legitimidad del responsable del tratamiento del control de presencia de optar por un sistemas biométricos en detrimento de otros.

Por todo lo anterior, entendemos que la necesidad del uso de datos biométricos es adecuada, pertinente y necesaria. Al ser utilizada solamente para la identificación de usuarios, se limita a lo necesario en la relación con los fines para los que son tratados.

9. Algoritmos de datos biométricos utilizados

La biometría es toda una ciencia en si misma y existen una gran cantidad de estudios académicos que han ido evolucionando las técnicas biométricas y algoritmos de reconocimiento a lo largo de los años. A su vez cada empresa privada ha realizado sus particulares mejoras y aportaciones en estas técnicas, lo que ha ayudado a disponer a día de hoy unos sistema de reconocimiento biométricos excepcionales.

SystemPin no desarrolla algoritmos de reconocimientos biométricos propios, heos optado por utilizar los algoritmos de reconocimiento que están diseñados para la única funcionalidad de identificación o autenticación de usuarios. Los dispositivos con los que usamos estos algoritmos, disponen de todas las certificaciones CEE y ROHS necesarias para ser suministrados en Europa y en todo el mundo. La fiabilidad de este algoritmos se basa en una evolución de mas de 30 años, lo cuál hace que estos algoritmos cuentan con una calidad, consistencia, fiabilidad y precisión que son referentes internacionalmente.

9.1 Principio de minimización de datos y protección de datos desde el diseño

Los algoritmos biométricos utilizados por nuestro sistema, solamente contienen datos para realizar identificaciones o autenticaciones. Desde el mismo momento de su captura, solo adquieren la información mínima imprescindible para realizar un reconocimiento biométrico optimo, y por tanto la información obtenida no es posible utilizarla para ninguna otra finalidad y es totalmente imposible por diseño que estos datos revelen informacion de salud, raza, orientación sexual, política, religiosa o étnica, o cualquier otro dato que pudiera utilizarse para vulnerar derechos fundamentales.

Por tanto estos datos obtenidos son decuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados, cumpliendo el requisito indicado en el PUNTO II de la Guía sobre tratamiento de control de presencia Mediante Sistemas Biométricos de la AEPD.

La base de todo algoritmo biométrico, se fundamenta en la obtención de unos patrones o “Características” a partir del dato biométrico que se desea identificar, estas “Características” pueden ser ángulos de curvaturas, líneas rectas, puntos de cortes, o cualquier otro elemento que pueda ser distintivo y de utilidad en el momento de realizar la identificación o autenticación.

9.2 Patrones y características  para reconocimiento huella dactilar

A continuación detallamos las distintas cuestiones que se tienen en cuenta para un reconocimiento biométricos.

9.2.1 Patrones

Existe tres patrones principales de huellas dactilares, Bucles, Espirales y Arcos.

9.2.2 Zone Mode

Es la definición que se otorga a la imagen de la huella dactilar en si, esta engloba todas las características de las que se servirá el algoritmo para la comparación entre huellas dactilares.

9.2.3 Punto de Núcleo

El núcleo de una huella dactilar, está localizado en el lugar en el que convergen las líneas gradualmente, se usa como una referencia de lectura e identificación.

9.2.4 Punto Triradial

Este punto se encuentra en la primera segregación, punto de ruptura, conjunción o división en dos líneas, a partir del Punto de Núcleo. Este punto proporciona un punto de partida para la identificación de patrones de la huella dactilar.

9.2.5 Número de líneas

Otra característica para la identificación, consiste en el número de lineas en la Zone Mode, este número de líneas se comprobará una vez localizado el punto de núcleo y el Punto Triradial.

9.2.6 Características específicas

Se refiere a las características de los puntos de nodo de una huella dactilar. Estos puntos de nodo con algunos tipos de características específicas se denominan “minucias”. Dos huellas dactilares a menudo pueden tener la misma característica general, pero es imposible tener las mismas características específicas. Un patrón de líneas de huellas dactilares no es consecuente, suave y recto, a menudo está interrumpido, trenzado o doblado. Estos puntos de quiebre, los puntos de segregación y los puntos de inflexión son llamados “minucias”. Estos puntos característicos proporcionan la única información confirmada de la huella dactilar. Los puntos de nodo incluyen las siguientes 4 características:

Tipos de característica

Puntos de segregación de de ruptura.

Orientación

Orientación de las distintas características en referencia al punto de núcleo y punto triradial.

Curvatura

El ángulo de cambio de la curvatura de las líneas que conforman el patrón de la huella.

Localización

Coordenadas absolutas o relativas al punto triradial, de las distintas características que se dan en la huella dactilar.

9.2.7 Otras fuentes de información

Si desea obtener mas información de algoritmos biométricos, podrá encontrar estudios académicos en internet sobre este tema, y también varios libros enfocados a distintos públicos sobre información del funcionamiento de la biométría.

9.3 Reconocimiento facial

El reconocimiento facial de nuestros dispositivos, utiliza las últimas tecnologías para obtener la información de una cámara con tecnología duo-lens, que permite obtener información de la profundidad y superficie de los rostros localizando patrones visibles en rejillas o barras horizontales.

El algoritmo de reconocimiento facial 3D lee y transforma puntos 3D de la cara, incluidos los datos X, Y y Z, lo que ofrece un mayor nivel de seguridad y precisión de verificación, y es idóneo para aplicaciones de identificación de usuarios como para el control de presencia o el control de acceso.

9.3.1 Reconocimiento por luz infrarroja

La profundidad del rostro es calculada con lo que denominamos motas de luz infrarroja. En base a la deformación que la cámara detecta de estas motas, es capaz de determinar la profundidad del rostro, permitiendo realizar reconocimientos hasta a cuatro metros de distancia.

Esta tecnología evita al 100%, que se puedan identificar en el sistemas otro usuarios utilizando fotos o imágenes de un usuario con acceso para engañar el sistema.

9.4 Almacenamiento de datos biométricos

Una vez obtenida todas las características ya sea de una huella dactilar o rostro, la información que se almacena es una cadena de datos binarias con la que es totalmente imposible volver a la imagen original de huella o rostro, siendo esta información almacenada solamente útil para realizar comparaciones entre huellas dactilares o rostros y devolver un valor con la semejanza entre ambas.

9.5 Pasos para registrar datos biométricos en terminales

Al registrar los datos biométricos de un usuario, ya sea huella dactilar, rostro, o cualquier otro dato biométrico, será imprescindible la cooperación del usuario a registrar. Nuestros terminales biométricos, no son capaces de registrar los datos biométricos de un empleado de un modo autónomo, por lo que siempre será necesaria la cooperación del usuario.

Una vez realizado el proceso de alta, se obtienen unas “características” que se almacenan y vinculan a cada usuario. Si lo desea puede consultar mas información a este respecto, en el punto anterior de este documento.

A continuación se detalla la guía de los pasos a seguir para grabar las huellas de los empleados en los terminales Biométricos

• Pulsar la tecla M/Ok y nos tiene que aparecer un candado en pantalla.
• Saldrá un candado solicitando la identificación del supervisor con permisos para acceder al menú del terminal.
• En el menú, sin necesidad de desplazarse, pulsamos M/Ok para acceder a la opción de Usuarios

• Bajamos con el cursor y pulsamos Nuevo usuario o Todos los usuarios en caso de que queramos modificar los datos de un usuario existente.

• Seleccionamos el empleado en cuestión al que queremos grabar las huellas y pulsamos OK.

Es posible realizar la búsqueda introduciendo el nombre, para ello, primero pulsaremos la tecla */>, y posteriormente introducimos el texto desde el teclado numérico.

• Seleccionar la opción Editar

• Seleccionar la opción Huella o Rostro, según modelo de terminal.
• Rostro
  • 1 En caso de Rostro, el terminal nos solicitará ubicar nuestro rostro en un cuadrado en la pantalla para tomar los datos biométricos del rostro.
  • 2 Pulsamos la opción de guardar y salir.
• Huella dactilar

En caso de huella Seleccionar el dedo que queremos dar de alta y pedirle al usuario que ponga el dedo en el sensor de lectura. (Este paso no será necesario en caso d estar registrando un rostro).

• 2 Se nos solicitará la huella 3 veces.

• Si al finalizar no se ha hecho correctamente, el terminal solicitará la huella de nuevo 3 veces mas.
• Una vez que se ha grabado la huella, podremos repetir los últimos tres pasos para grabar tantas huellas como queramos.

• Una vez grabadas todas las huellas, pulsaremos ESC, tantas veces como sea necesario para volver a la pantalla principal.

9.6 Pasos para identificar o autenticar un usuario

Una vez registrados los usuarios, y almacenadas las plantillas biométricas de todos los usuarios, el terminal será capaz de identificar o autentificar los usuarios que realicen uso del terminal.

Es posible configurar los terminales para que realicen solo identificación (1:N) o solo autenticación (1:1), o a libre selección del usuario por cada marcaje:

Autenticación o (1:1): El empleado tiene que introducir su código de empleado antes de introducir el dato biométrico, de este modo, el terminal solo realizará la comparación de la Plantilla introducida, con la Plantilla del empleado con el código introducido.

Identificación o (1:N): Es la opción mas cómoda para el usuario ya que no necesita introducir su código de usuario, los terminales realizan una identificación del empleado comparando la Plantilla biométrica al introducir el dato biométrico, con todas las Plantillas en memoria.

10. Gestión de datos biométricos en software y terminales suministrados por SystemPin

Los datos biométricos de los usuarios de nuestro sistema, se registran a través de los propios dispositivos de fichaje. Los usuarios serán registrados desde el propio menú del terminal al que solamente tendrán acceso los usuarios administradores.

El dispositivo de marcajes genera una plantilla a partir de la huella o rostro del usuario, almacenando esta plantilla internamente en el terminal de modo encriptado. Esta plantilla consiste en una cadena de información que está exclusivamente diseñada para identificar al usuario, no siendo posible la utilización para cualquier otra finalidad que no sea la identificación del usuario y obteniendo solamente los datos mínimos necesarios para la identificación o autenticación de los usuarios.

Los algoritmos de reconocimiento biométricos, son algoritmos integrados en los terminales, estos terminales cuenta con todas las certificaciones CEE y ROHS necesarias para ser usados en la Unión Europea y en el resto del mundo.

Con la plantilla biometrica por si sola, sería totalmente imposible obtener información alguna del empleado de ningún tipo, y solo puede ser de utilidad para cotejarla con otras plantillas para obtener un nivel de semejanza entre ambas. Tampoco sería posible procesarla inversamente para volver a una imagen de la huella dactilar o rostro.

Las plantillas pueden ser replicadas entre terminales y/o almacenadas en el software PresenciaPin con el fin de gestionarlas y enviarlas a los distintos dispositivos de marcajes de un modo centralizado, en caso de disponer de varios puntos de fichajes. Las comunicaciones entre terminales y software se pueden configurar para realizarse mediante protocolo http o https (Encriptación mediante certificado digital).

El software PresenciaPin permite almacenar la información de la plantilla en la base de datos, pudiendo personalizar la contraseña y algoritmos de encriptación deseado.

Según Interpol, cito textualmente “No hay dos personas con las mismas huellas dactilares; ni siquiera los gemelos homocigóticos. Las huellas dactilares no cambian nunca, ni con la edad.”

11. Requisitos de protección especial para datos biométricos

La nueva RGPD, define explícitamente los datos biométricos como “datos de características especiales” e indica que requieren de una “protección especial”, no especificando unos requisitos mínimos de protección, y dejando este criterio al responsable de Protección de datos de cada empresa.

El hecho de almacenar datos biométricos, no implica que estemos obligados a tomar las mayores medidas de seguridad existentes en la actualidad, lo que si implica, es que es necesario tomar medidas de protección adicionales y proporcionadas según los datos que se tratan, el volumen de datos que se tratan, y la finalidad para los que van a ser utilizados.

El riesgo existente en una empresa que dispone de los datos biométricos de cientos de miles de personas, y que utiliza estos datos para identificar a estas personas en las fotos de redes sociales para envíos de publicidad, no es equiparable a una empresa que dispone de los datos biométricos de 30 empleados para el registro de presencia, y por tanto las medidas exigibles no tendría que ser las mismas, sino las adecuadas para cada caso.

12. Medidas de protección especial adoptadas en nuestro software para datos biométricos

La seguridad de nuestro software, ha ido constantemente evolucionando según lo ha ido haciendo la normativa vigente. Desde la primera LOPD, y hasta la actual RGPD, hemos mejorado nuestro software para dar la opción al usuario a configurar distintas medidas de seguridad del sistema si así se creé conveniente y así dar el trato especial de protección que la RGPD requiere para disponer de datos biométricos.

Las medidas especiales de protección que proporciona nuestro software para los datos biométricos son:

• Encriptación de datos biométricos contenidos en la base de datos mediante contraseña y protocolo configurable por el usuario.
• Generación de Registro de Accesos, a los datos del software PresenciaPin.
• Log centralizado y en tiempo real de comunicación y actividad de terminales, altas bajas y modificaciones de datos de empleados en los terminales.
• Encriptación de comunicaciones entre terminales y servidores mediante certificado SSL.
• Disociación de datos en los terminales: De este modo si alguien accediera a la información del terminal, no podría saber a quién pertenece cada dato biométrico.
• Los datos biométricos almacenados pueden ser eliminados en cualquier momento.
• Aviso de datos biométricos en desuso para que se proceda a la eliminación de los mismos.

13. Certificación seguridad informática ENS nivel Medio SystemPin

La empresa SystemPin dispone del nivel de certificación a nivel medio del Esquema Nacional de Seguridad. Esta certificación acredita que la empresa SystemPin cumple con todos los requerimientos del Real Decreto 3/2010 del 8 de enero.

SystemPin sigue todas las directrices marcadas en este real decreto con el fin de tomar todas las medidas que minimicen los riesgos, incluyendo todo lo referido a la seguridad tanto en el desarrollo, revisión en entorno de preproducción, y puesta en servicio de las aplicaciones que suministramos y así es acreditado en cada auditoría que se realiza.

https://www.systempin.com/wp-content/uploads/2022/11/CERTIFICADO-SYSTEMPIN-INI-ENS-MEDIA-firmado.pdf

14. Necesidad de realización de Evaluación de Impacto (EIPD)

La realización de una evaluación de Impacto no es algo exclusivamente necesario por el hecho de utilizar datos biométricos, una Evaluación de Impacto abarca la gestión que se realiza en la empresa de todos los datos de carácter personal que se tratan.

Independientemente de la finalidad del uso que haga una empresa de los datos de carácter persona que trate, ya sean estos de clientes o de empleados, e independientemente de que tenga datos biométricos, la realización de una evaluación de impacto por una empresa especializada, le permitirá tener información de si las medidas de protección que se están tomando para salvaguardar los datos de los que dispongan, son o no las adecuadas.

14.1 Qué es una evaluación de Impacto

Una Evaluación de Impacto, es un estudio por parte de una entidad externa especializada en protección de datos de carácter personal, este estudio se realiza sobre el modo en el que una empresa está gestionando los datos de carácter personal que poseé.

Las evaluaciones de impacto, no se realizan sobre herramientas o software concretos, si no sobre todo un sistema de información, ya que la seguridad de unos datos que contiene un software, no solo dependen del software en si, depende en mayor medida otros muchos factores, como las credenciales de acceso que se usan el lugar donde se almacenan, las copias de seguridad que se realizan, y un largo etc…

Esta Evaluación de impacto es aconsejable para cualquier tipo de empresa, tenga o no datos biométricos, ya que no se limitaría solamente a los datos personales contenidos por el sistema de control de presencia, se encargaría de revisar las problemática concreta de cada empresa, incluyendo cualquier conjunto de datos personales que la empresa tenga, los sistemas en los que los  almacenan, las medidas de protección que se aplican sobre esos datos, las amenazas a las que están expuestos, las medidas de protección que se toman, y revisar si se está cumpliendo la ley vigente en cuanto a la materia.

Como resultado, la Evaluación de impacto nos indicará las acciones que sería necesario llevar a cabo para cumplir la ley, y para reducir a niveles de riesgos a unos niveles asumibles .

Cualquier empresa que tenga datos de carácter personal, independientemente de que tenga o no datos biométricos, está obligada a cumplir con la ley RGPD, y el mejor modo para comprobar si se está cumpliendo con esta ley, y reducir el riesgo de sanción al mínimo, es que una empresa especializada realice una Evaluación de Impacto, y tomar las acciones que esta Evaluación de Impacto indique.

Estas evaluaciones de impacto no suelen requerir de mucho tiempo ni tener un elevado coste, y le permitirán conocer el estado real de la seguridad y grado de cumplimiento de las leyes de protección de datos de carácter personal en su empresa.

14.2 Información necesaria para realizar evaluación de impacto

Es habitual que se nos solicite información cuando una empresa va a realizar una evaluación de impacto, desde SystemPin hemos creado este documento en el que incluimos toda la información que podemos aportar por nuestra parte respecto al funcionamiento del programa y terminales que suministramos, y algoritmos biométricos que incorpora nuestro sistema.

Sin embargo hay que tener en cuenta, que una evaluación de impacto, no se realiza sobre nuestro software o nuestros terminales en concreto, si no sobre toda la infraestructura del cliente en conjunto, la información necesaria para la evaluación de impacto, tendrá que ser proporcionada por la propia empresa, o el departamento informático de la empresa quién podrá facilitarla, como por ejemplo:

• Usuarios que tienen acceso al Software o terminales
• Equipos informáticos en los que se alberga software y Base de datos con datos biométricos.
• Medidas de seguridad de equipos informáticos del cliente

Desde SystemPin estaremos a su completa disposición si a lo largo de la evaluación de impacto, es necesaria alguna aclaración o información adicional a la contenida en este documento.

14.3 Referencias a Evaluación de Impacto en RGPD y en AEPD

La RGPD, establece la posible necesidad de realizar una evaluación de impacto en su artículo 35:

“Cuando  sea  probable  que  un  tipo  de  tratamiento,  en  particular  si  utiliza  nuevas  tecnologías,  por  su  naturaleza, alcance, contexto o fines, entrañe un alto riesgo para los derechos y libertades de las personas físicas, el responsable del tratamiento  realizará,  antes  del  tratamiento,  una  evaluación  del  impacto  de  las  operaciones  de  tratamiento  en  la protección  de  datos  personales….

La RGPD, al igual que pasa con las medidas de protección especiales a adoptar, deja la necesidad de realizar una evaluación de impacto muy abierta a interpretación, no definiendo casos concretos en los que es o no obligatorio realizar una evaluación de impacto.

Por otro lado, en el artículo 35.5 de la RGPD, indica que la autoridad de control (O sea la Agencia Española de Protección de datos AEPD) hará pública una lista de los casos en los que es y no es necesario realizar una evaluación de Impacto (EIPD)

La AEPD hizo pública dos documentos el 4 de septiembre de 2019 con el fin de arrojar luz a cuando es y cuando no es necesario realizar una EIPD.

Por un lado está el documento “LISTAS DE TIPOS DE TRATAMIENTOS DE DATOS QUE REQUIEREN EVALUACIÓN DE IMPACTO RELATIVA A PROTECCIÓN DE DATOS (art 35.4) “ accesible desde el link https://www.aepd.es/sites/default/files/2019-09/listas-dpia-es-35-4.pdf

Una vez mas este documento tampoco indica con precisión cuando es obligatorio o no realizar una EIPD, indicando una lista de casos y haciendo el siguiente inciso:

“En el momento de analizar tratamientos de datos será necesario realizar una EIPD en la mayoría de los casos en los que dicho tratamiento cumpla con dos o más criterios de la lista expuesta a continuación, salvo que el tratamiento se encuentre en la lista de tratamientos que no requieren EIPD a la que se refiere en artículo 35.5 del RGPD. Cuantos más criterios reúna el tratamiento en cuestión, mayor será el riesgo que entrañe dicho tratamiento y mayor será la certeza de la necesidad de realizar una EIPD.”

Lo que nos lleva al documento en el que se publica la lista de tratamientos que NO requieren EIPD, que es posible consultar en el link https://www.aepd.es/sites/default/files/2019-12/ListasDPIA-35.5l.pdf

En el punto 5 de esta lista, establece como excepción a realizar una evaluación de impacto lo siguiente:

“5. Tratamientos obligatorios por ley y realizados con relación a la gestión interna del personal de las PYMES con finalidad de contabilidad, gestión de recursos humanos y nóminas, seguridad social y salud laboral, pero nunca relativos a los datos de los clientes.“

Al tratarse del control de presencia, de una tratamiento obligado por ley, podríamos entender que está incluido en este punto, y por tanto no será necesaria la realización de una evaluación de impacto en caso de empresas catalogadas como PYMEs.

En la Guía sobre tratamiento de control de presencia Mediante Sistemas Biométricos emitido en noviembre del 2023 por la AEPD, podemos encontrar en el capítulo VIII una amplia interpretación de cuando es o no necesario realizar una evaluación de impacto, y los requerimientos de la misma.

En concreto indica que “Un tratamiento de registro de presencia que incluya procesos biométricos se considerará de alto riesgo por, al menos, del cumplimiento de los criterios correspondientes a los números 4, 5 y 10 de la lista antes citada “

14.4 Herramientas públicas y gratuitas de la AEPD para evaluación de impacto

La AEPD ha lanzado una serie de herramientas para calcular el riesgo de los datos que trata nuestra empresa, y determinar si sería o no necesaria la realización de una evaluación de impacto.

Puede encontrar información a respecto en estos links:

https://www.aepd.es/es/prensa-y-comunicacion/notas-de-prensa/aepd-lanza-nueva-version-gestiona

https://gestiona2.aepd.es/

14.5 Conclusión fina realización de evaluación de impacto

Una vez revisadas todas las leyes y documentaciones que tenemos de la ley europea de RGPD y AEPD, es muy probable que sigamos con dudas de si realizar una Evaluación de Impacto o no. La ley no especifica casos concreto y queda todo muy abierto a interpretación.

La última Guía sobre tratamiento de control de presencia Mediante Sistemas Biométricos que esperábamos arrojara luz a este tema, no ha definido un crierio preciso de cuando realizar o no evaluación de impacto, dejándolo todo muy abierto a interpretación.

En cualquier caso, como punto a cumplir siempre, será necesario que se informe al empleado de que sus datos biométricos van a incorporarse a una base de datos con la finalidad de llevar un registro de la jornada laboral.

Para reducir al mínimo el riesgo de una sanción por parte de la AEPD, nuestro consejo es que una empresa especializada en RGPD, realice una Evaluación de Impacto, ya que al fin y al cabo no se trata de un trámite tan costoso ni complejo como podría parecer en un principio,

Una Evaluación de Impacto, nos puede ser de utilidad ya no solo para los datos biométricos del control de presencia, si no para tener una auditoría externa de toda la seguridad de los datos de carácter personal que tenemos en nuestra empresa, teniendo en cuenta los factores e infraestructuras concretas de nuestra empresa, la finalidad del tratamiento y todos los puntos a tener en cuenta en cuanto a la normativa legal.

15. Consultas realizadas a la Agencia Española de Protección de Datos

Indicar que con el fin de obtener mas información y de conocer la interpretación que se realizan de las leyes aquí expuestas, hemos realizado consultas directamente a la Agencia Española de protección de Datos a través de su sede electrónica.

La AEPD, se ha abstenido a darnos ninguna interpretación o criterio de las consultas referentes a la ambigüedad con la que se trata en sus documentos oficiales de la necesidad de realizar o no una Evaluación de impacto.

La respuesta obtenida ha sido la siguiente:

“Este  canal  de  consulta  tiene  como  finalidad  responder  a  las  cuestiones  planteadas  por  los ciudadanos sobre el ejercicio de los derechos que le reconoce la normativa de protección de datos personales, de conformidad con lo previsto el artículo 57.1.e) del Reglamento General de Protección de Datos (RGPD). En este sentido, se configura exclusivamente, como un canal de información que no  puede  realizar  interpretaciones  ni  valoraciones  jurídicas  y  sus  respuestas  son  únicamente  de carácter informativo y no vinculante.

Este  canal  no  tiene  por  objeto  el  asesoramiento  jurídico  personalizado  e  individualizado  a  los responsables y los encargados del tratamiento. De conformidad con las orientaciones facilitadas por la  Comisión  Europea  en  su  Comunicación  43  de  fecha  24.1.2018  sobre  la  aplicación  directa  del RGPD, ese asesoramiento solo corresponde a un abogado o un delegado de protección de datos. “

16. Conclusiones Guía sobre tratamiento de control de presencia Mediante Sistemas Biométricos emitida por AEPD en noviembre de 2023

En el mismo instante que esta guía ha sido publicada por la AEPD, muchos clientes nos han llegado varias noticias y publicaciones con titulares sensacionalistas como por ejemplo: “Europa prohíbe el uso de la biometría”, “Fichar con la huella dactilar en el trabajo era legal. En Europa han decidido que ya no lo es y amenazan con multar”

Hemos revisado estos artículos, y hemos encontrado multitud de errores de interpretación de las leyes actuales, y no hemos encontrado referencia alguna a ninguna nueva ley en la que Europa haya prohibido la huella dactilar, o referencias en la que se haya realizado el más mínimo cambio en la legalidad vigente en cuanto a la RGPD a nivel Europeo o leyes nacionales. En caso de que tuviese usted constancia de alguna nueva ley o cambio en la legislación le agradeceríamos que nos la hiciera llegar al correo systempin@systempin.com.

Esta guía emitida por la AEPD no supone ningún cambio en la legislación actual que afecte a la ley de proteccion de datos ni a la actual RGPD en vigor desde el 2016. Desde la entrada en vigor de esta ley, no tenemos constancia de ninguna sentecia judicial que obligue a prescindir el uso de sistemas biométricos de fichajes. En caso de que usted tenga constancia de alguna, le agradeceríamos que nos la hiciera llegar al correo systempin@systempin.com y procederemos a estudiarla. Disponemos de documentación adicional con resoluciones de la AEPD y sentencias de la Audiencia Nacional y del tribunal constintucional, en las que no encuentran infracción en el uso de sistemas biométricos.

La guía emitida por la AEPD, es como ella misma indica una guía con criterios para la utilización de sistemas biométricos, en la cuál se realizan todas las interpretaciones de las leyes vigentes que se podrían llegar a realizar en lo que respecta a la biometría, no se trata de una nueva ley. Desde SystemPin en todo caso nos tomamos muy enserio esta guía y la hemos repasado a conciencia para comprobar que nuestros sistemas cumplen con todos criterios contenidos en la misma.

Por otro lado, nos llama la atención la discrepancia existente entre esta guía emitida por la AEPD, y el criterio seguido por esta misma AEPD al hacer resoluciones en cuanto a denuncias por el uso de sistemas biométricos. En SystemPin disponemos de multitud de resoluciones de la propia AEPD en las que indica explícitamente que los sistemas biométricos para el control de presencia, se tratan de un sistemas lícitos, que no requiere del consentimiento del usuario según artículo 6 punto c) de la RGPD, que reconoce la excepción 9.2.b de la RGPD para el uso de datos biométricos, y también lo ve proporcionado, idóneo y necesario para la necesidad que se busca. Por ejemplo el Procedimiento Nº: E/10900/2019 de la AEPD para Ayuntamiento de Teulada.

Existen también sentencias de la audiencia nacional retirando sanciones impuestas por la AEPD, como por ejemplo la sentencia “SAN 3675/2019”. Esta sentencia falla a favor del gimnasio, incluso no tratándose de un sistema de control de presencia, y utilizándose el sistema para el control de acceso no laboral de usuarios, y que no ofreciendo medio alternativo alguno a la biometría. Esta sentencia se une a otras muchas, que no han encontrado ilegalidad alguna en el uso de la biometría, y que han generado Jurisprudencia.

El último punto de la Guía de la AEPD, X CONCLUSIONES, enumera una serie de puntos a tener en cuenta para el uso de la biometría, incluimos aquí todos estos puntos, referenciando el apartado de esta guía en el que se trata cada una de ellos, o mediante un texto en el que indica como nuestro sistema cumple con estos requerimientos.

• La utilización de tecnologías biométricas de identificación y autenticación en el control de presencia supone un tratamiento de alto riesgo que incluye categorías especiales de datos.
  • Ver –1Biometrías y derechos fundamentales
  • Ver –7Utilización de datos biométricos para el control de presencia según RGPD
• En la implementación del tratamiento de control de presencia hay que cumplir los principios de minimización y de protección de datos desde el diseño y por defecto, utilizando las medidas alternativas equivalentes, menos intrusivas, y que traten los menos datos adicionales.
  • Ver –1Principio de minimización de datos y protección de datos desde el diseño
• Es necesario que exista una circunstancia para levantar la prohibición de tratar las categorías especiales de datos y, además, una condición que legitime el tratamiento.
  • Ver – 2Licitud de uso y necesidad de consentimiento explicito por parte del interesado
  • En el caso de registro de jornada y control de acceso con fines laborales, si el levantamiento de la prohibición se basa en el 9.2.b), el responsable debe contar con una norma con rango de ley que concrete la posibilidad de utilizar datos biométricos para dicha finalidad, que no se encuentra en la actual normativa legal española.
    • Ver – Legalidad de uso de datos biométricos para el control de presencia
  • En el caso de registro de jornada o control de acceso en el ámbito laboral, el consentimiento no puede levantar la prohibición del tratamiento, ni ser una base para determinar la licitud, al existir de forma general una situación de desequilibrio entre el interesado y el responsable del tratamiento.
    • Ver – 2Licitud de uso y necesidad de consentimiento explicito por parte del interesado
  • Para el caso del control de acceso fuera del ámbito laboral, la ejecución de un contrato no es una circunstancia que levanta la prohibición según el art.9.2 del RGPD. El consentimiento tampoco lo podrá ser, al resultar un tratamiento de alto riesgo, y que tendría que superar el requisito de necesidad establecido para dichos tratamientos.
    • Ver – 2Licitud de uso y necesidad de consentimiento explicito por parte del interesado
    • Ver – Definición de Control de Presencia, Registro de Jornada, y Control de Accesos
  • Cualquier utilización de los datos biométricos con finalidades adicionales a la de control de presencia deberá tener sus propias circunstancias de levantamiento de la prohibición y de condiciones que lo legitimen.
    • Nuestro sistema no utiliza los datos biométricos para finalidadades distintas a la del control de presencia.
    • Ver – 1Biometrías y derechos fundamentales
    • Ver – 1Principio de minimización de datos y protección de datos desde el diseño
  • En el tratamiento de control de presencia, no se pueden tomar decisiones automatizadas sin intervención humana que tengan efectos jurídicos sobre el interesado o le afecten significativamente de modo similar basadas en el proceso biométrico, si no se cumple la circunstancia de un interés público esencial basado en una norma con rango de ley, proporcional al objetivo perseguido, que respete en lo esencial el derecho a la protección de datos y estableciendo medidas adecuadas y específicas para proteger los intereses y derechos fundamentales del interesado.
    • Nuestro sistema no realiza automatiza decisioines que tengan efectos jurídicos.
  • En el caso de que el sistema biométrico se implemente con técnicas de inteligencia artificial, para poder incluirlos en un tratamiento se deberán tener en cuenta las prohibiciones, limitaciones y exigencias establecidas en la normativa de inteligencia artificial.
    • Nuestro sistema no utiliza técnicas de inteligencia artificial
  • En cualquier caso, será obligatoria la superación favorable, previamente al inicio del tratamiento, de una Evaluación de Impacto para la Protección de Datos en la que, entre otros, se encuentre documentada la acreditación de la superación del triple análisis de idoneidad, necesidad y proporcionalidad del tratamiento de datos biométricos.
    • 14Necesidad de realización de Evaluación de Impacto (EIPD)..
  • Superados todos los requisitos de cumplimiento de los principios generales del RGPD, en la implementación práctica del tratamiento de control de presencia con técnicas biométricas de identificación o autenticación, deben implementarse garantías organizativas, técnicas y jurídicas. En particular, al menos han de estar presentes las siguientes medidas por defecto:
    • Informar a los trabajadores, o personas si no se está en un entorno laboral, sobre el tratamiento biométrico y los riesgos elevados asociados al mismo.
      • Anexamos a este archivo documento de ejemplo para esta necesidad.
    • Implementar en el sistema biométrico la posibilidad de revocar el vínculo de identidad entre la plantilla biométrica y la persona física.
      • Ver – 12Medidas de protección especial adoptadas en nuestro software para datos biométricos.
    • Implementar medios técnicos para asegurarse la imposibilidad de utilizar las plantillas para cualquier otro propósito.
      • Ver – 1Principio de minimización de datos y protección de datos desde el diseño
    • Utilizar cifrado para proteger la confidencialidad, disponibilidad e integridad de la plantilla biométrica.
      • Ver – 12Medidas de protección especial adoptadas en nuestro software para datos biométricos.
    • Utilizar formatos de datos o tecnologías específicas que imposibiliten la interconexión de bases de datos biométricos y la divulgación de datos no comprobada.
      • La interconexión entre bases de datos o sistemas, depende de los permisos que el administrador del sistema configure en las mismas. La instalación de nuestros sistemas de control de presencia, se realiza siempre por nuestros técnicos con la colaboración de los informáticos que gestionan el sistema en el que se instala, siguiendo el criterio de mínimo privilegio, y estableciendo las medidas y permisos de usuarios mínimos necesarias para que o se produzcan accesos no comprobados o divulganciones no autorizadas.
    • Suprimir los datos biométricos cuando no se vinculen a la finalidad que motivó su tratamiento.
      • Ver – 12Medidas de protección especial adoptadas en nuestro software para datos biométricos.
    • Aplicar la minimización de los datos biométricos recogidos, con una evaluación objetiva de que no ha posibilidad de revelar categorías especiales de datos adicionales.
      • Ver – 1Principio de minimización de datos y protección de datos desde el diseño
    • En el caso de registro de presencia o control de acceso en el ámbito laboral, se deben recoger en los convenios colectivos el conjunto de garantías con relación a estos tratamientos en el sentido dispuesto en el art. 91 de la LOPDGDD.
      • Desde SystemPin nos ofrecemos a estudiar cualquier medida de seguridad adicional que se desee implantar mediante convenio colectivo a las medidas de seguridad ya implantadas en nuestro sistema
    • Entre las medidas recomendables para minimizar el riesgo se encuentran:
      • La utilización de tecnologías biométricas debería basarse en utilizar dispositivos bajo el control exclusivo de los usuarios.
        • La utilización de dispositivos bajo el control del usuario, no garantizaría la principal finalidad que se busca en los sistemas de control de presencia y accesos, que sería la suplantación de identidad, por lo tanto esta recomendación no es aplicable para la finalidad del tratamiento para el que se usa nuestro sistema.
      • Es recomendable que la toma de los datos se realice de forma consciente por el individuo, e incluso con la exigencia de una acción positiva para iniciar el procesamiento de datos biométricos o Preferentemente no debería emplearse un almacenamiento centralizado de las plantillas biométricas.
        • Los terminales que suministramos no disponen de la funcionalidad de registrar datos biométricos sin la intervención del usuario. Por otro lado, tampoco es imprescindible el disponer de un almacenamiento centralizado de plantillas biométricas si así lo decide el usuario del sistema.
      • Deberían implementarse mecanismos automatizados de supresión de datos.
        • Nuestro sistema avisa al usuario del sistema de los datos que podrían ser eliminados ya que han estado sin usarse un tiempo fijado por els istema
      • Finalmente, todas las acciones y las medidas implementadas se revisarán y actualizarán cuando sea necesario.
        • En SystemPin somos desarrolladores de nuestro propio sistema, y somos los primeros interesados en adaptar lo antes posible nusetro sistema a las normativas nuevas que surjan.

17. Preguntas Frecuentes

• ¿Está prohibido el uso de datos biometricos según el nuevo RGPD?

En el articulo 9 del RGPD, se establece la prohibición de la utilización de datos biométricos, y las excepciones a esta prohibición, detallando en la sección b como excepción, la finalidad de comprobar el cumplimiento de contratos laborales.

• ¿Se puede negar un empleado a que utilicemos sus datos biométricos?

En el artículo 6 del RGPD, encuanto a la Licitud del tratamiento, se especifica lo siguiente:

1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
2. a) el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
3. b) el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
4. c) el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
5. f) el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño.

El punto b), c) y f) de este artículo 6 podrían aplicarse para el caso de control de presencia como alternativa al consentimiento del empleado.

Adicionalmente, existen varias sentencias que han sentado jurisprudencia y califican la utilización de sistemas biométricos para el control de la jornada laboral, como proporcionado y justificado, y por tanto el trabajador está obligado a facilitar este dato personal.

1. Sentencia 47/2010 Tribunal Superior de Justicia de la Región de Murcia
2. Sentencia 5200/2007 Tribunal Supremo
3. Dictamen Nº D16-045 Agencia Vasca de Protección de Datos

• Al tener datos biométricos de los empleados, ¿es necesario un Delegado de protección de datos?

No es necesario, esta figura solo será necesaria en caso de trabajar con volúmenes de datos a gran escala.

• ¿Que medidas requiere el nuevo RGPD si dispongo de datos biométricos de mis empleados?

El nuevo RGPD, no especifica medidas concretas, simplemente cataloga los datos biométricos como datos que requieren de una protección especial. El hecho de no especificar unas medidas concretas es  debido a que no sería lógico exigir las mismas medidas de seguridad a una empresa que disponga de los datos biométricos de unas pocas decenas de empleados, que a aquellas que manejan volúmenes de información a gran escala.

El responsable será el encargado de fijar a su criterio las medidas oportunas para garantizar la seguridad de los datos de carácter personal que se traten.

• ¿Es obligatorio cifrar los datos biométricos que tenga nuestra aplicación tanto en el almacenamiento como en la comunicación?

En cuanto al cifrado de los datos biométricos, el nuevo RGPD, al igual que para el resto de datos, no especifica explícitamente que sea obligado el cifrado para los datos biométricos, lo menciona como medida que se puede tomar en caso de que el responsable de Tratamiento, lo estime conveniente, teniendo en cuenta factores, como el volumen de datos, la exposición de los mismos, las consecuencias en caso de robo o perdida, etc…

A continuación detallamos todas las menciones al cifrado de datos que hace la actual RGPD:

• Consideración previa (83): A fin de mantener la seguridad y evitar que el tratamiento infrinja lo dispuesto en el presente Reglamento, el responsable o el encargado deben evaluar los riesgos inherentes al tratamiento y aplicar  medidas para mitigarlos, como el cifrado. Estas  medidas deben garantizar un nivel de seguridad adecuado, incluida la  confidencialidad, teniendo en cuenta el estado de la técnica y el coste de su aplicación con respecto a los riesgos y la naturaleza de los datos personales que deban protegerse. Al evaluar el riesgo en relación con la seguridad de los datos, se deben tener en cuenta los riesgos que se derivan del tratamiento de los datos personales, como la destrucción, pérdida o alteración accidental o ilícita de datos personales  transmitidos,  conservados o tratados de otra forma, o la comunicación o acceso no  autorizados a dichos datos, susceptibles en particular de  ocasionar  daños  y  perjuicios físicos, materiales o inmateriales.
• Artículo 6.4 e):Según este artículo, el cifrado de los datos sería un punto a tener en cuanta por el encargado de tratamiento con objeto de determinar si el tratamiento con otro fin es compatible con el fin para el cual se recogieron inicialmente los datos personales.
• Artículo 32.1: Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del  tratamiento, así como riesgos de probabilidad y gravedad variables para  los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros: a) la seudonimización y el cifrado de datos personales;
• Artículo 34.3 a): La nueva RGPD obliga a comunicar a los clientes los fallos y brechas de seguridad detectadas que hayan supuesto perdida de información. Esta comunicación no será necesaria en caso de que la información sustraída estuviese cifrada.
• ¿Existen sentencias en contra del uso de datos biométricos para el control de presencia?

No tenemos constancia de sentencias que hayan impedido a empresas usar sistemas biométricos para el control de presencia de empleados. Si usted tuviese constancia de alguna sentencia en este sentido, le agradeceríamos nos la hiciese llegar al correo systempin@systempin.com

• ¿Tenemos constancia de sanciones impuestas por la AEPD por no haber realizado una Evaluación de Impacto?

Disponemos de varias resoluciones en las que la AEPD ha requerido que se realice una Evaluación de impacto a empresas que estaban utilizando sistemas biométricos para el registro de jornada laboral.

En estas resoluciones no se ha impuesto sanción económica, y se ha permitido a la empresa seguir utilizando el sistema una vez realizada la Evaluación de Impacto.

Solo nos consta un caso en el que hubo sanción, a causa de que se trataba de un gran volumen de empleados, y se dio la circunstancia de que la empresa indicó que si había realizado una evaluación de impacto y finalmente no fué así, hecho que se detalla en la sentencia como una falta de rigurosidad.

Disponemos de todas estas resoluciones si desea revisarlas a fondo.

• ¿Puede utilizar nuestro sistema informático los datos biométricos para cualquier otra necesidad que no sea la del control de presencia y accesos?

Nuestro software y terminales, están diseñados desde su base única y exclusivamente para la identificación de usuarios, las plantilla biométricas obtenidas por nuestro sistema no dispone de información alguna que pueda ser de utilidad para cualquier otra finalidad que no sea la identificación o autenticación de usuarios.

18. Conclusión respecto al uso de biometría para el control de presencia

Nuestra experiencia es que después de implantar miles de terminales de control de presencia en todo el territorio nacional desde el 2005, no tenemos constancia de que ninguna de estas empresas haya tenido sanción alguna por la implantación de un sistema biométrico de control de presencia.

Una vez revisada toda la documentación que tenemos en nuestro poder, según nuestra interpretación, el uso de la biométria para el control de presencia, está admitido por la RGPD al establecerlo como excepción a la prohibición de uso de datos biométricos en el articulo 9.2. b)

La cuestión mas abierta a interpretación, es la necesidad o no de realizar una Evaluación de Impacto. Ni en la RGPD ni las listas publicadas por la AEPD indican unas condiciones exactas de cuando es necesario o no realizar esta evaluación de impacto, dejando este criterio en manos del responsable de la protección de datos de la empresa.

En el punto 5 de esta lista publicada por la AEPD, establece como excepción a realizar una evaluación de impacto lo siguiente:

“5. Tratamientos obligatorios por ley y realizados con relación a la gestión interna del personal de las PYMES con finalidad de contabilidad, gestión de recursos humanos y nóminas, seguridad social y salud laboral, pero nunca relativos a los datos de los clientes.“

Por tanto, y siempre desde nuestra interpretación, la utilización de la biometría para el control de presencia es legal, y en todo caso es posible que sea necesaria la realización de una evaluación de impacto según el criterio que se aplique en la interpretación de los documentos de la RGPD y la AEPD.

En cualquier caso, nos gustaría aclarar de nuevo, que no somos una empresa especializada en leyes en general ni en ley de protección de datos en particular, y que todo lo contenido en este documento son interpretaciones propias, y no vinculantes, siendo imposible predecir la interpretación que podría realizar un inspector de la AEPD o un juez en cuanto la necesidad o no de una evaluación de impacto o del uso de datos biométricos para el control de presencia.

Para reducir al mínimo el riesgo de cualquier sanción por parte de la AEPD relativa a datos personales que usted almacene, ya sea para el control de presencia, como datos de carácter personal utilizados para cualquier otra finalidad, aconsejamos contratar los servicios de una empresa especializada en datos de carácter personal para que realice una Evaluación de Impacto.

19. Referencias

• Estatuto de los Trabajadores
• Sentecia 47-2010 Tribunal Superior de justicia de la Región de Murcia
• STS 5200/2007 Tribunal Supremo. Sala de lo Contencioso
• REGLAMENTO (UE) 2016/679 DEL PARLAMENTO EUROPEO Y DEL CONSEJO (RGPD) de 27 de abril de 2016.
• Listas De Tipos De Tratamientos De Datos Que Requieren Evaluación De Impacto Relativa A Protección De Datos (art 35.4)
• Lista de tratamientos que NO requieren EIPD
• Escrito de Consulta Gabinete Jurídico AEPD N/REF: 0036/2020
• Dictamen 3/2012 sobre la evolución de las tecnologías biométricas
• Guía sobre tratamiento de control de presencia Mediante Sistemas Biométricos
• Directrices 5/2020 sobre el consentimiento en el sentido delReglamento (UE) 2016/679

Documento Información a empleado de tratamiento de datos biométricos

De conformidad con lo dispuesto en el art. 9 del Reglamento (UE) 2016/679, de 27 de abril de 2016, o Reglamento General de Protección de Datos (RGPD), en lo relativo al tratamiento de categorías especiales de datos, LA EMPRESA ., con NIF nº X11111111 y domicilio a efectos de notificaciones en: XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX, le informa de que recabará el/los siguiente/s dato/s biométrico/s:

❏ Huella Dactilar

❏ Reconocimiento facial

para proceder a su tratamiento, en virtud de la relación de carácter laboral que vincula a ambas partes, y con la  finalidad de:

❏ Realizar un control de identificación en los accesos al centro de trabajo.

❏ Llevar a cabo un control de presencia del empleado en el centro de trabajo.

Sus datos biométricos no serán transmitidos en ningún caso terceros , salvo obligación legal, y serán  conservados durante el período mínimo imprescindible para el fin con el que fuero recabados, siendo eliminados en el mismo momentos que ya no sean necesarios.

Asimismo, se le informa de que le asisten los derechos de acceso, rectificación, supresión, oposición, limitación y  portabilidad, pudiendo ejercitarlos mediante petición escrita a la dirección indicada en el encabezado de este documento, especificada en el  primer párrafo.

Los datos biométricos están catalogados por la RGPD como “datos de caracter especial” y por la AEPD como datos de “alto riesgo”. Esta empresa a tomado todas las medidas exigidas para proteger estos datos, y pone a disposición del usuario toda la información relativa al funcionamiento del sistema biométrico utilizado.

En base a las consideraciones anteriormente descritas, se procede a solicitar su consentimiento expreso para el tratamiento de su huella dactilar y/o reconocimiento facial, para la finalidad señalada previamente.

Consiento EXPRESAMENTE el tratamiento de mi/s dato/s biométrico/s (huella dactilar y/o reconocimiento facial) , para la finalidad expresada en este documento, y reconozco haber sido Informando/a de que existe información detallada del sistema biométrico implantado a mi disposición

En ______________ a ___ de _____________de 20__

Disponemos de sistemas de control de presencia que cumplen con los requerimientos legales, contacte con nosotros y le realizaremos una demostración de nuestros servicios. Formulario de Contacto

Consulte más información de nuestro software de control de presencia

Si desea información sobre relojes para fichar y terminales biométricos acceda a nuestra sección de Terminales

Reloj para fichar con Huella Dactilar Tarjeta y Contraseña

Reloj para fichar con Reconocimiento Facial, Tarjeta y Contraseña