Imposibilidad de hacer uso de los Datos Biométricos para el Registro Horario o Control de Presencia.
La Agencia Española de Protección de datos, en adelante AEPD, ha publicado el pasado 23 de noviembre de 2023 una nueva Guía Sobre tratamiento de Control de Presencia Mediante Sistemas Biométricos.
Con anterioridad, y desde una perspectiva más general, la AEPD publicó en mayo de 2021 la guía “La Protección de Datos en las Relaciones Laborales”, en la que de manera sucinta se daba a entender que era posible el uso de sistemas biométricos para el control de presencia o registro horario en el ámbito laboral.
Sin embargo, en esta ocasión, la guía la AEPD modifica el criterio al concluir de forma taxativa que no es posible, actualmente, hacer uso de sistemas que usen datos biométricos para el control de presencia o registro horario en el ámbito de las relaciones laborales.
El vertiginoso avance tecnológico de los últimos tiempos y especialmente el producido a nivel de la Inteligencia Artificial, podría ser el causante de este cambio interpretativo por parte de la AEPD que limita de esta forma la utilización generalizada de esta clase de sistemas.
El nuevo criterio se basa principalmente en un cuidado análisis sobre la protección de los datos biométricos y la prohibición sobre su tratamiento, como “categoría especial de datos personales”, conforme al artículo 9, apartado 1, del RGPD.
De esta forma los datos biométricos quedan incluidos dentro de esta categoría especial:
“En definitiva, se ha de considerar que, al igual que en el caso de identificación, la autenticación biométrica es un proceso que implica el tratamiento de categorías especiales de datos personales”.
La guía, con la mirada puesta claramente en el futuro más cercano, no solo impide el tratamiento de los datos biométricos de forma actual, sino que también representa un claro instrumento para dificultar su utilización en el futuro.
En todo caso, la guía establece de forma rotunda que actualmente no existe una previsión legal que habilite a levantar la prohibición de uso, considerando que la normativa actual no es suficiente en relación con las disposiciones del RGPD.
Es decir, se considera que la regulación laboral que obliga a empresarios y trabajadores a llevar un registro de jornada (art. 34.9 ET), no es causa habilitante para el tratamiento de datos biométricos, pues para ello debería existir una norma con rango de ley que así lo amparase expresamente, al no contener dicha normativa laboral una autorización suficiente que habilite su tratamiento como mecanismo de control de la jornada.
Asimismo, la propia Agencia Española se plantea si el consentimiento de la persona trabajadora sería causa suficiente y habilitante para permitir su utilización, respondiéndose negativamente al considerar que, en el contexto de las relaciones laborales, de forma general, se produce un desequilibrio de poder entre persona empleada y empleador que impediría considerarlo como un consentimiento libre, por lo que en definitiva sería insuficiente para superar el juicio de proporcionalidad o evaluación de necesidad que requeriría el tratamiento de esta clase de datos.
Como decíamos, la guía no solo limita el uso actual de estos datos, sino que se posiciona de una forma clara respecto a la consideración de que, incluso si en el futuro se aprobaran leyes que permitieran su utilización, éstas deberían ser interpretadas siempre en sentido restrictivo.
Desde una perspectiva puramente metodológica del tratamiento de datos en general y su protección la AEPD nos recuerda a través de esta guía que cualquier sistema que se implante debe superar, con carácter previo, el juicio de idoneidad, necesidad y proporcionalidad, con un rigor que podría suponer una verdadera limitación incluso en los supuestos autorizados por una norma, especialmente en todos aquellos supuestos en los que pueda haber “alternativas equivalentes menos intrusivas”, diferentes de estas.