Podemos definir los datos biométricos como aquellos que determinan propiedades biológicas, características fisiológicas, rasgos de la personalidad o tics que son atribuibles únicamente a una sola persona. Son ejemplos típicos de datos biométricos las huellas dactilares, los modelos retinales, la estructura facial, la voz, caligrafía, etc. Dichos datos, en la medida en que se dirijan a identificar de manera unívoca a una persona serán considerados como datos de categoría especial (art. 4.14 y 9.1 del Reglamento General de Protección de Datos -RGPD-).
Actualmente, una herramienta idónea para llevar a cabo el control de la obligación del registro de jornada de los empleados es el sistema de fichaje biométrico. Estos sistemas captan y almacenan determinados parámetros de la huella digital, la voz, el iris o la morfología del trabajador con la finalidad de identificarle en sus accesos y salidas de la empresa, posibilitando así un registro horario de dichas entradas y salidas.
El tratamiento por parte de la empresa de estos datos, que son especialmente sensibles, puede implicar un riesgo de control y conocimiento del empleado altamente invasivo sobre su privacidad, por lo que de manera obligatoria deberá realizarse con carácter previo a la implantación de estos sistemas una Evaluación de Impacto en materia de Protección de Datos en la que se analice su necesidad y proporcionalidad.
A esta obligación se suma el deber de informar a los trabajadores sobre el uso de sistemas biométricos y las finalidades del tratamiento.
Si bien es cierto que la empresa puede encontrar la base legitimadora en el uso de estos sistemas en el cumplimiento del contrato de trabajo, en el cumplimiento de una obligación legal o incluso en el interés legítimo
(Art. 20.3 ET “El empresario podrá adoptar las medidas que estime más oportunas de vigilancia y control para verificar el cumplimiento por el
trabajador de sus obligaciones y deberes laborales” o art. 34.9 ET “La empresa garantizará el registro diario de jornada, que deberá incluir el horario concreto de inicio y finalización de la jornada de trabajo de cada persona trabajadora, sin perjuicio de la flexibilidad horaria que se establece en este artículo”) no es menos cierto que no se establece el modo de cumplimiento en que dicha obligación (registro horario) o derecho (control empresarial) deben llevarse a cabo, por lo que deberá hacerse un juicio de necesidad, idoneidad y proporcionalidad sobre la utilización de estas herramientas, es decir: ¿es realmente necesario utilizar la huella dactilar para asegurar que se efectúa el registro horario? ¿La huella dactilar es el único método que nos puede asegurar que el registro lo está realizando el propio empleado? ¿Existen otros métodos menos invasivos?
Además, la empresa deberá verificar que el sistema implantado cumple con las disposiciones del RGPD, esto es, quien tiene acceso a los datos, dónde y cómo se almacenan las huellas, que medidas de seguridad se aplican al tratamiento de dichos datos biométricos, y asegurarse de que las terceras empresas que, en su caso, presten ese servicio cumplen con la normativa sobre protección de datos personales.
Por lo tanto, no podemos concluir que de manera automática la implantación de un sistema de control o registro horario basado en la recogida de este tipo de datos pueda considerarse proporcionado y, por lo tanto, conforme con el principio de minimización de datos (recogida de los datos mínimos imprescindibles). Hay que hacer una evaluación del impacto sobre los interesados a la vista de las circunstancias concretas en las que se lleve a cabo el tratamiento para determinar su legitimidad y proporcionalidad, incluido el análisis de la existencia de alternativas menos intrusivas, y establecer las garantías adecuadas.
A estos efectos, el departamento jurídico de BETA LEGAL se pone a su disposición para llevar a cabo las medidas oportunas de análisis y verificación de los indicados sistemas que recogen datos biométricos, y por tanto especialmente sensibles, de los trabajadores.
BETA LEGAL ASSESSORS
