La AEPD "insiste" en hacer prácticamente inviable el registro de jornada por huella dactilar

Nuevamente, una sanción de la Agencia Española de Protección de Datos (AEPD) por utilizar el sistema de huella dactilar para cumplir la obligación de fichar (registro diario de jornada).

En concreto, sanción de 12.000 euros (importe reducido tras reconocimiento de responsabilidad y aplicando dos reducciones).

En concreto, el Colegio Notarial de Aragón, con fecha 22/11/2024, ha procedido al pago de la sanción en la cuantía de 12000 euros haciendo uso de las dos reducciones previstas en el Acuerdo, lo que implica reconocer expresamente la responsabilidad.

En este sentido, cabe recordar que el pago realizado, dentro del plazo concedido para formular alegaciones a la apertura del procedimiento, conlleva la renuncia a cualquier acción o recurso en vía administrativa contra la sanción y el reconocimiento de responsabilidad por parte de la entidad.

El Colegio alegaba (entre otros) que, en la toma de decisión previa de la instalación del sistema biométrico, sí tuvo en cuenta el impacto de la privacidad en los sistemas biométricos de control de
acceso y horario laboral en los trabajadores, pues sí había llevado a cabo la correspondiente y obligatoria evaluación de impacto de protección de datos de dicho tratamiento, en su calidad de responsable del tratamiento.

Asimismo, alegaba que antes, el control horario de los empleados se había llevado a cabo manualmente mediante una hoja de papel en la que los empleados diariamente anotaban sus horas de entrada y salida de las oficinas, pero que dicho sistema de registro se consideró que no era objetivo y fiable como prueba acreditativa de los registros horarios, y por ello se implantó otro sistema más seguro que evitara cualquier posibilidad de subjetividad y arbitrariedad de los registros anotados en aras al estricto cumplimiento de la jornada laboral de los empleados.

Sin embargo, la AEPD entiende que el sistema de registro incumple la normativa de protección de datos.

Registro de jornada con datos biométricos: el estricto criterio de la AEPD

En esta resolución, la AEPD vuelve a insistir en su criterio restrictivo sobre el uso de datos biométricos (en el caso concreto enjuiciado, huella dactilar) para el registro de jornada:

• Datos de alto riesgo. La Evaluación de Impacto de Protección de Datos (EIPD) aparece desde la entrada en vigor del RGPD como una nueva herramienta exigible al responsable de tratamientos de “alto riesgo”. En este sentido, el tratamiento de datos biométricos se considera de alto riesgo de acuerdo con lo previsto en el art.35.4 y consta entre los tratamientos incluidos en el documento “Listas de tipos de tratamiento de datos que requieren evaluación de impacto relativa a protección de datos”, publicado por la AEPD.

2. La EIPD no es suficiente. No basta con realizar formalmente una EIPD, sino que la misma, además de contener como mínimo la información del art. 35.7 del RGPD, deberá superarse y ser considerada válida. Es decir, no se trata de una obligación formal, que se entienda cumplida con la mera realización de una EIPD, sino material, garantizando que la misma contenga un análisis sólido y exhaustivo del tratamiento previsto, de los riesgos que el mismo puede implicar y de las medidas que se consideren convenientes para evitarlos o, al menos, minimizarlos.

3. EIPD con carácter previo. En todo caso, advierte” AEPD, tiene que realizarse con carácter previo al tratamiento, de tal manera que las conclusiones de la EIPD puedan tenerse en cuenta en su diseño, cumpliendo así el principio de protección de datos desde el diseño y por defecto que contempla el artículo 25 RGPD.

4. La última opción. La AEPD vuelve a remarcar que si existen otros sistemas no biométricos que permitan conseguir la misma finalidad de identificar-verificar la identidad de las personas con eficacia, no será necesario iniciar tratamientos biométricos, y, por tanto, implantar este sistema se considerará contrario al RGPD.

Este juicio debe ser el punto de partida de su análisis, pues sólo en caso de que estos métodos superen el triple juicio de idoneidad, necesidad y proporcionalidad, se exigirá el cumplimiento de otros requisitos o garantías. En definitiva, el tratamiento de datos biométricos nunca podrá iniciarse de no haber elaborado una EIPD válida y previa al tratamiento.

En todo caso, si una empresa sopesa implantar un registro diario de jornada mediante datos biométricos (huella dactilar, sistema ocular, sistema de reconocimiento facial…) es fundamental contar con el asesoramiento de un experto en protección de datos, dado el estricto criterio de la AEPD respecto a la utilización de este tipo de sistemas.