El terminal de huella para fichar, la cámara de reconocimiento facial en el torno de entrada: se compran como quien compra un reloj de fichar, y jurídicamente no se parecen en nada. Un sistema biométrico mal encajado en el RGPD no es un incumplimiento menor: es tratar una categoría especial de datos bajo una prohibición general, cada día, con toda la plantilla. Y la decisión de instalarlo suele tomarla alguien que nunca ha oído hablar del art. 9.
La buena noticia es que los tribunales han trazado el mapa con claridad. La resolución de referencia es el AAP Barcelona 72/2021, de 15 de febrero, y su distinción central es la primera pregunta que usted debe hacerse.
La pregunta decisiva: ¿su sistema identifica o solo verifica?
No toda biometría pesa lo mismo. El criterio que separa los dos regímenes es técnico, pero se entiende en una frase. Si el sistema compara el dato biométrico de quien se presenta contra una base de plantillas para averiguar quién es (uno-a-varios), estamos ante identificación. Si compara el dato contra una única plantilla ya asociada a esa persona para confirmar que es quien dice ser (uno-a-uno), estamos ante verificación o autenticación.
Atendiendo a la citada distinción, puede interpretarse que, de acuerdo con el artículo 4 del RGPD, el concepto de dato biométrico incluiría ambos supuestos, tanto la identificación como la verificación/autenticación. Sin embargo, y con carácter general, los datos biométricos únicamente tendrán la consideración de categoría especial de datos en los supuestos en que se sometan a tratamiento técnico dirigido a la identificación biométrica (uno-a-varios) y no en el caso de verificación/autenticación biométrica (uno-a-uno).
La consecuencia práctica es enorme: la identificación uno-a-varios activa el régimen reforzado del art. 9; la verificación uno-a-uno, con carácter general, no. Muchos terminales de fichaje funcionan en modo identificación porque es más cómodo —el empleado no teclea ningún código, el sistema le busca en la base—. Esa comodidad de segundos cambia el régimen jurídico completo del tratamiento. En el caso enjuiciado, el tribunal no tuvo dudas sobre el reconocimiento facial examinado: «No estamos ante una simple autentificación, sino ante una identificación, por lo que requiere una doble legitimación».
Punto de partida legal: prohibición general
Si su sistema hace identificación, sus datos entran en la categoría especial del art. 9.1 RGPD, junto a la salud, la ideología o la afiliación sindical. Y el punto de partida del precepto no es la autorización con condiciones: es la prohibición. Así lo repiten, en términos idénticos, el AAP Granada 346/2019, de 20 de mayo, y la SAP Madrid 566/2019, de 17 de julio.
…en el artículo 9.1 indica que los datos sensibles merecen una protección especial, bien por su naturaleza o bien por su relación con los derechos y libertades fundamentales de las personas. De esta manera prohíbe su tratamiento con determinadas excepciones. Se trata de datos personales que revelen el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical, y el tratamiento de datos genéticos, datos biométricos dirigidos a identificar de manera unívoca a una persona física, datos relativos a la salud o datos relativos a la vida sexual o las orientación sexuales de una persona física.
¿Por qué tanta severidad con una huella? Porque el riesgo es de otra naturaleza. Una contraseña comprometida se cambia; una huella o una cara, no. La SAP Las Palmas 247/2020, de 6 de noviembre, lo conecta con los propios considerandos del Reglamento: «Se refiere a estos últimos [datos sensibles] en los considerandos (51) y siguientes a los que atribuye especial protección debido a que el contexto de su tratamiento podría entrañar importantes riesgos para los derechos y las libertades fundamentales».
Doble legitimación: una base del art. 6 no le basta
Aquí falla la mayoría de las implantaciones. La empresa razona: «tengo una obligación legal de registrar la jornada, luego el tratamiento está justificado». Ese razonamiento cubre solo la mitad del camino. Para tratar datos de categoría especial hacen falta dos llaves a la vez: una base de licitud del art. 6 y, además, una de las excepciones del art. 9.2 que levante la prohibición general.
La existencia de un interés público no legitima cualquier tipo de tratamiento de datos personales, sino que deberá estarse, en primer lugar, a las condiciones que haya podido establecer el legislador, tal como prevé el propio artículo 6 del RGPD, en sus apartados 2 y 3 (…). Y en el caso de que vayan a ser objeto de tratamiento alguno o algunos de los datos personales incluidos en las categorías especiales de datos a los que se refiere el artículo 9.1 del RGPD, que concurra alguna de las circunstancias contempladas en su apartado 2 que levante la prohibición de tratamiento de dichos datos, establecida con carácter general en su apartado 1.
Y cuando la vía elegida sea el consentimiento, el tribunal exige que sea explícito, no el consentimiento tácito de quien pone el dedo en el lector porque es lo que hay: «para aquellos tratamientos que necesiten de datos de categorías especiales, como es el caso de los datos biométricos, se habrá de recabar el consentimiento explícito del interesado como base para la legitimación de los usos y acciones que se vayan a desarrollar con su información». En un contexto laboral, además, conviene recordar que un consentimiento solo vale si existe alternativa real: sin ella, difícilmente es libre.
La última barrera: el juicio de proporcionalidad
Aun con las dos llaves, el sistema debe superar un juicio de proporcionalidad: la intrusión que supone tratar biometría de toda la plantilla debe guardar equilibrio con la finalidad perseguida y con las garantías implantadas. En palabras del AAP Barcelona 72/2021, de 15 de febrero, los tratamientos deben respetar «un nivel mínimo de proporcionalidad entre la intrusión que suponen y las garantías que los acompañan para subsanar posibles efectos adversos». Si el mismo objetivo —saber quién entra y cuándo— se alcanza con tarjeta, código o verificación uno-a-uno, imponer la identificación biométrica a todos es difícil de defender.
La decisión inteligente no es siempre retirar el terminal: a veces basta reconfigurarlo a modo verificación, documentar el juicio de proporcionalidad y ordenar las legitimaciones. Pero esa decisión debe tomarse sobre papeles, no sobre costumbre. También le puede interesar cómo aplican los tribunales esta misma lógica probatoria en otro terreno donde las empresas pierden pleitos evitables: los cinco errores por los que se condena a quien inscribe a un cliente en un fichero de morosidad.
¿Usa su empresa fichaje o control de acceso biométrico?
Cuéntenos qué sistema tiene —huella, facial, identificación o verificación— y le diremos con criterios judiciales si está bien encajado o qué habría que cambiar. Sin compromiso.
Consultar mi caso por correo