El fichaje biométrico, con huella o reconocimiento facial, se ha extendido desde que en 2019 todas las empresas tienen que registrar a diario la jornada de su plantilla: es rápido, evita que un compañero fiche por otro y el proveedor lo instala en una mañana. El problema es que trata datos que la normativa protege de forma especial, y la Agencia Española de Protección de Datos (AEPD) ha dejado claro que, en la práctica, muy pocas empresas pueden justificarlo.
Qué dice la AEPD sobre el fichaje biométrico
La AEPD fijó su criterio en noviembre de 2023 y sigue siendo la referencia:
- La huella, la cara o el iris son datos de categoría especial cuando se usan para identificar o autenticar a una persona. Su tratamiento está prohibido salvo excepciones y la AEPD lo considera de alto riesgo.
- Para el registro de jornada y el control de acceso laboral hace falta una ley que autorice expresamente el uso de datos biométricos para esa finalidad. La norma que obliga a registrar la jornada no lo hace: exige registrar cada día la hora de inicio y de fin de la jornada, pero no dice que se haga con la huella ni con la cara.
- El consentimiento de la plantilla no sirve. Entre empresa y trabajador hay un desequilibrio que impide que el consentimiento sea libre, así que firmar una autorización no arregla el problema.
- Además, antes de usarlo es obligatoria una evaluación de impacto, que debe demostrar que el sistema sirve para su fin, que no hay otra opción menos invasiva y que el beneficio compensa la intromisión. Esta evaluación no sustituye a la ley que falta: aunque el resultado fuera favorable, seguiría haciendo falta esa autorización legal. Y si basta una tarjeta, un código o una aplicación, la biometría no supera el análisis.
En otras palabras: con el criterio actual de la AEPD, y mientras ninguna ley lo autorice de forma expresa, es muy difícil que una empresa pueda justificar el fichaje con huella o cara. La AEPD ha abierto procedimientos sancionadores por este motivo, y tratar datos de categoría especial sin una excepción que lo permita es una infracción muy grave, con multas que pueden llegar a 20 millones de euros o al 4 % de la facturación anual.
Lo que suele pasarse por alto con el fichaje biométrico
En las empresas que revisamos se repiten las mismas situaciones, y casi ninguna se detecta sin un análisis técnico y jurídico del sistema y del contrato con el proveedor:
- «El sistema no guarda la huella, solo un patrón numérico». Es el argumento habitual del proveedor, pero ese patrón sigue siendo un dato biométrico y, cuando se usa para identificar o verificar a la persona, es de categoría especial. Cifrarlo es una medida de seguridad, no una base legal.
- Hacerlo voluntario no lo resuelve. Si la empresa mantiene el lector para quien quiera usarlo, en la práctica se apoya en el consentimiento del trabajador, y la AEPD no lo admite en el ámbito laboral.
- Patrones biométricos de personas que ya no trabajan en la empresa que siguen almacenados en el lector o en la nube del proveedor.
- Un proveedor que guarda los datos en sus servidores sin un contrato de encargado del tratamiento ni garantías sobre dónde están.
- Usar el mismo sistema para otras finalidades, como abrir puertas, controlar zonas restringidas o calcular incentivos, sin haberlas analizado por separado.
- Plantilla y representantes de los trabajadores sin informar de cómo funciona el sistema y qué riesgos tiene.
- El registro de jornada, mal planteado: aunque se deje la biometría, el nuevo sistema tiene que garantizar un registro fiable, accesible para la plantilla y la Inspección de Trabajo, y compatible con el derecho a la desconexión digital.
Cada una de estas situaciones es un riesgo en sí misma ante una reclamación de un trabajador o una inspección.
Qué hacer si tu empresa ya ficha con huella o cara
Lo importante es corregirlo de forma ordenada y dejar constancia de ello, porque desconectar el lector no basta:
- Analizar el sistema actual: qué datos trata, dónde se guardan, quién accede y para qué más se usa.
- Elegir un sistema de registro alternativo que cumpla con la normativa laboral y de protección de datos.
- Suprimir los patrones biométricos de forma segura, también en los servidores del proveedor, y conservar la prueba de que se ha hecho.
- Actualizar la documentación: registro de actividades, información a la plantilla, contrato con el proveedor y, si procede, evaluación de impacto.
- Informar a la plantilla y a sus representantes del cambio.
Si tu empresa tiene delegado de protección de datos, debe participar en este proceso. Si no lo tiene, puede que esté obligada a nombrarlo: lo explicamos en nuestro artículo sobre el delegado de protección de datos. Y si te planteas otros usos de la biometría, como las cámaras con inteligencia artificial, los límites son igual de estrictos.
Asesoramiento en registro de jornada y datos biométricos
En Unojuridica revisamos tu sistema de fichaje y te acompañamos en todo el cambio:
- Analizamos si tu sistema actual trata datos biométricos y qué riesgo supone.
- Te asesoramos para elegir un sistema de registro de jornada que cumpla la normativa laboral y de protección de datos.
- Gestionamos la supresión de los datos biométricos y la revisión del contrato con el proveedor.
- Actualizamos tu documentación y preparamos la información para la plantilla y su representación.
Si en tu empresa se ficha con huella o cara, no esperes a una reclamación o a una inspección: escríbenos desde nuestra página de contacto, a unojuridica@unojuridica.com o llámanos al 983 099 435 y revisamos tu caso.
Fuentes: Reglamento (UE) 2016/679 (arts. 9 y 35); Ley Orgánica 3/2018 (arts. 9 y 72.1.e); Estatuto de los Trabajadores (art. 34.9, en la redacción del Real Decreto-ley 8/2019); criterio de la Agencia Española de Protección de Datos sobre control de presencia mediante sistemas biométricos (23 de noviembre de 2023).
