Si estás valorando implantar un sistema biométrico para fichar en tu empresa, es normal que te surjan dudas sobre si es legal, qué obligaciones tienes o qué riesgos corres. La normativa es extensa y no siempre fácil de interpretar. En este artículo te explicamos lo esencial de forma clara, sin tecnicismos innecesarios.
Qué considera la RGPD un dato biométrico
El Reglamento General de Protección de Datos (RGPD) define los datos biométricos como aquellos obtenidos mediante un tratamiento técnico específico que permiten identificar de forma unívoca a una persona física: huellas dactilares, reconocimiento facial y similares.
Lo importante aquí es que la RGPD los clasifica como datos de categoría especial, lo que significa que requieren medidas de protección adicionales. Esto no implica que no puedan usarse, se usan legalmente en miles de empresas, sino que hay que hacerlo con las garantías adecuadas.
Nuestros terminales no almacenan fotografías ni imágenes de huellas. Lo que guardan es una plantilla matemática: una cadena de datos que ocupa aproximadamente 1 KB, diseñada exclusivamente para comparar dos plantillas entre sí. Es imposible reconstruir la imagen original a partir de esa información, ni utilizarla para ningún otro fin.
El estado legal actual: qué permiten la ley y los tribunales
Desde 2005 trabajamos con sistemas de control de presencia y hemos seguido de cerca todos los litigios relacionados con su uso. La situación legal se puede resumir así:
Los tribunales han avalado el uso de la biometría para control de presencia. El artículo 20.3 del Estatuto de los Trabajadores permite al empresario adoptar las medidas de vigilancia y control que estime oportunas para verificar el cumplimiento de las obligaciones laborales, siempre con respeto a la dignidad del trabajador. Bajo ese paraguas, tanto el Tribunal Superior de Justicia de Murcia (Sentencia 47/2010) como el Tribunal Supremo (STS 5200/2007) han reconocido la licitud del uso de sistemas biométricos en el entorno laboral.
La AEPD, en sus resoluciones anteriores a 2023, no sancionó por el uso de biometría, sino que instaba a cumplir con los requisitos del RGPD: informar correctamente a los trabajadores y realizar la evaluación de impacto correspondiente.
La guía de la AEPD de noviembre de 2023 marca un antes y un después. Aunque no tiene rango de ley no modifica ninguna norma vigente, sí define cómo la AEPD interpretará a partir de ahora los requisitos para el uso legal de la biometría. En particular, exige que cualquier empresa que quiera usar datos biométricos para el registro de jornada justifique que existe una necesidad real, proporcionalidad e idoneidad en su uso, documentado en una evaluación de impacto realizada por un experto externo en protección de datos.
La evaluación de impacto: en qué consiste y por qué es obligatoria
Una evaluación de impacto (EIPD) es un análisis formal en el que una empresa especializada en protección de datos examina si el tratamiento biométrico que quieres implantar cumple tres criterios:
Idoneidad
¿El sistema biométrico sirve realmente para el fin que buscas? En el caso del control de presencia, la respuesta es clara: la biometría es el único método que garantiza que quien ficha es realmente el empleado, eliminando las suplantaciones de identidad que son habituales con tarjeta o contraseña, especialmente en sectores con alta rotación como el agrario o la logística.
Necesidad
¿Hay alguna alternativa menos intrusiva que logre el mismo resultado? Aquí la AEPD considera que otros métodos, tarjeta o PIN, son equivalentes, aunque desde nuestra experiencia discrepamos: ninguno evita eficazmente la suplantación de identidad.
Proporcionalidad
¿El nivel de protección de datos es el adecuado al riesgo real? Una empresa con 25 empleados y terminales que almacenan plantillas matemáticas de 1 KB no presenta el mismo riesgo que una plataforma que recopila imágenes faciales de miles de usuarios con fines comerciales. La normativa contempla esta diferencia.
En SystemPin hemos realizado nuestra propia evaluación de impacto con una empresa externa, que ha resultado favorable: nuestros sistemas cumplen los requisitos técnicos y de seguridad exigidos por el RGPD para suministrar dispositivos biométricos. Además, contamos con la certificación ENS (Esquema Nacional de Seguridad) a nivel Medio, que acredita que cumplimos el Real Decreto 3/2010 en materia de seguridad informática.
Cada empresa que implante biometría debe realizar su propia evaluación de impacto independiente. Nosotros podemos orientarte y ponerte en contacto con los especialistas adecuados.
Cómo funcionan nuestros terminales por dentro
Entender cómo trata tu terminal los datos biométricos es importante tanto para la evaluación de impacto como para explicárselo a tus trabajadores. Te lo resumimos:
- Registro del usuario. El alta biométrica siempre requiere la cooperación del empleado: el terminal no puede capturar datos de forma autónoma. El proceso lo realiza un administrador desde el menú del dispositivo, solicitando al empleado que coloque la huella o posicione el rostro frente a la cámara. Se toman varias lecturas para garantizar la precisión.
- Generación de la plantilla. A partir de los datos capturados, el terminal genera una plantilla matemática, una secuencia binaria cifrada, que se almacena de forma encriptada en el dispositivo. Esta plantilla no contiene ninguna imagen ni permite conocer la apariencia del usuario.
- Identificación o autenticación. En el momento del fichaje, el terminal compara la plantilla capturada en ese instante con las almacenadas y devuelve un valor de similitud. Puedes configurarlo en modo 1:N (identificación), donde el empleado solo pone el dedo o la cara y el sistema le reconoce; o en modo 1:1 (autenticación), donde primero introduce su código y luego confirma con biometría.
- Reconocimiento facial con tecnología 3D. Nuestros terminales faciales utilizan cámaras duo-lens con infrarrojos, que capturan la profundidad del rostro y no pueden ser engañados con fotografías. Este sistema detecta que hay una persona real delante, no una imagen.
Medidas de seguridad que aplicamos en nuestros sistemas
Al trabajar con datos de categoría especial, el RGPD exige medidas de protección adicionales y proporcionales al riesgo. Esto es lo que incluye nuestro software PresenciaPin por defecto:
- Encriptación de las plantillas biométricas en la base de datos, con contraseña y protocolo configurables.
- Registro de accesos y log centralizado en tiempo real de toda la actividad del sistema.
- Encriptación de las comunicaciones entre terminales y servidor mediante certificado SSL.
- Disociación de datos en los terminales: si alguien accediera al dispositivo, no podría saber a qué persona corresponde cada plantilla.
- Posibilidad de eliminar los datos biométricos en cualquier momento, con avisos automáticos cuando hay plantillas en desuso.
¿Y si prefiero no usar biometría?
No tienes que cambiar nada de tu sistema. Todos nuestros terminales permiten fichar mediante tarjeta o contraseña sin necesidad de usar datos biométricos. Basta con eliminar las plantillas almacenadas y no volver a registrarlas: en ese caso, ya no existe tratamiento de datos biométricos y no se aplican los requisitos específicos de la guía de la AEPD.
Es una opción perfectamente válida si tu empresa no tiene una necesidad clara de biometría o prefiere esperar a que la AEPD desarrolle más su criterio con resoluciones concretas.
Qué hacer si quieres implantar biometría en tu empresa
El camino más seguro es el siguiente:
- Contacta con un especialista en protección de datos para que valore si tu caso justifica una evaluación de impacto favorable (necesidad, idoneidad, proporcionalidad).
- Informa a tus trabajadores del tratamiento de sus datos biométricos, con qué finalidad y quién es el responsable, antes de registrar ninguna plantilla.
- Implanta un sistema técnicamente seguro, con encriptación, control de acceso y posibilidad de eliminación de datos. Nuestros terminales cumplen estos requisitos.
- Mantén la documentación actualizada: la normativa y su interpretación evolucionan, y es importante revisarla periódicamente.
Si tienes dudas sobre qué terminal se adapta mejor a tu empresa, en SystemPin llevamos más de 20 años ayudando a empresas de todos los sectores a implantar sistemas de control de presencia seguros y eficaces. Puedes conocer nuestros terminales biométricos o contactar con nosotros para una demostración sin compromiso.
