Registro horario con huella dactilar: qué dice la AEPD

La Agencia Española de Protección de Datos (AEPD) concluyó en su guía sobre control de presencia mediante sistemas biométricos, de noviembre de 2023, que, a esa fecha, en España no había una norma con rango de ley que concretara la posibilidad de usar datos biométricos —como la huella dactilar o el reconocimiento facial— para el registro horario o de jornada (artículo 9.2.b del RGPD), y que el consentimiento del trabajador no sirve para levantar esa prohibición. Por eso conviene llevar el registro horario con sistemas que no traten datos biométricos.

¿Qué son los datos biométricos y por qué importan?

El Reglamento General de Protección de Datos (RGPD), en su artículo 4.14, define los datos biométricos como los «obtenidos a partir de un tratamiento técnico específico, relativos a las características físicas, fisiológicas o conductuales de una persona física que permitan o confirmen la identificación única de dicha persona, como imágenes faciales o datos dactiloscópicos». La huella dactilar y el reconocimiento facial entran de lleno en esa definición.

Cuando se usan para identificar o autenticar a alguien, la AEPD los trata como categorías especiales de datos (artículo 9.1 del RGPD): su tratamiento está prohibido salvo que se cumpla alguna de las excepciones del artículo 9.2.

La AEPD dice en su guía que usar tecnologías biométricas de identificación y autenticación en el control de presencia «supone un tratamiento de alto riesgo que incluye categorías especiales de datos».

¿Qué concluye la AEPD sobre fichar con huella?

En las conclusiones de su guía, la AEPD señala, entre otras cosas, que:

• En el control de presencia hay que aplicar los principios de minimización y de protección de datos desde el diseño y por defecto, utilizando las medidas alternativas equivalentes, menos intrusivas y que traten menos datos.
• Para el registro de jornada, si la excepción que se invoca es la del artículo 9.2.b del RGPD, la empresa necesita una norma con rango de ley que concrete la posibilidad de usar datos biométricos para esa finalidad, «que no se encuentra en la actual normativa legal española» (a la fecha de la guía).
• En el ámbito laboral, el consentimiento no puede levantar la prohibición ni servir de base para el tratamiento, porque hay una situación general de desequilibrio entre la empresa y la persona trabajadora.
• En cualquier caso, antes de empezar un tratamiento así sería obligatorio superar una evaluación de impacto en la protección de datos.

¿Y si el trabajador acepta fichar con huella?

No cambia nada. La AEPD explica que, en el registro de jornada y en el control de acceso laboral, el consentimiento no puede levantar la prohibición de tratar datos biométricos, porque entre empresa y plantilla existe un desequilibrio que impide que ese consentimiento sea libre.

¿Hace falta el consentimiento para fichar sin huella?

Con carácter general, no. Según la AEPD, el propio artículo 34.9 del Estatuto de los Trabajadores es base suficiente para el tratamiento, porque es necesario para cumplir una obligación legal (artículo 6.1.c del RGPD). Lo que sí hay que hacer, según la misma AEPD, es informar a la plantilla de que existe el registro y de para qué se tratan sus datos.

¿Qué alternativas hay a la huella?

La AEPD pide usar alternativas equivalentes y menos intrusivas, y recuerda que no hay que pensar solo en tecnología: también cuentan los procedimientos organizativos y las personas.

Mi Registro Horario no usa biometría: cada persona ficha desde su móvil o su ordenador, entrando con un código que le llega por email. Para identificar a cada persona basta su nombre. Lo explicamos en la guía del registro horario obligatorio, y puedes ver el precio: gratis para siempre hasta 3 empleados que fichan (precio previsto en el lanzamiento).