Hasta hace muy poco, entrar a la oficina poniendo el dedo en un lector era un gesto cotidiano. Parecía el colmo de la modernidad y la seguridad. Hoy, sin embargo, ese gesto puede costarle a una empresa una multa de cientos de miles de euros.
La AEPD publicó en noviembre de 2023 su «Guía sobre tratamientos de control de presencia mediante sistemas biométricos», y el mensaje fue contundente: lo que antes se toleraba, ahora se considera excesivo y desproporcionado.
¿Por qué este cambio? Vamos a desgranar los argumentos legales.
1. El dato biométrico es de «Categoría Especial»
El Reglamento General de Protección de Datos (RGPD) clasifica los datos en niveles. Tu nombre o tu email son datos «normales». Pero tu huella dactilar, tu iris o tu cara son datos de categoría especial (Artículo 9 del RGPD), al mismo nivel que tu ideología política, tu religión o tu salud.
- El antiguo criterio: Antes se distinguía entre «identificación» (buscar tu huella entre 1000) y «verificación» (comprobar que tu huella coincide con la de tu tarjeta). Se creía que la verificación era menos invasiva y, por tanto, legal.
- El NUEVO criterio: La AEPD ha sentenciado que ambos procesos implican tratar datos de categoría especial. Da igual cómo lo hagas: estás usando un rasgo biológico inmutable de una persona. Si te roban la contraseña, la cambias. Si te roban la huella digital, no puedes cambiarte el dedo. El riesgo es altísimo.
2.El principio de «Necesidad y Proporcionalidad»
Esta es la clave de todo. Para usar un dato tan sensible, la empresa debe demostrar que es estrictamente necesario.
La AEPD plantea la siguiente pregunta: ¿Existe otra forma de fichar que sea menos intrusiva para la privacidad del trabajador?
La respuesta casi siempre es SÍ.
- Tarjetas magnéticas (RFID).
- Claves o PIN.
- Aplicaciones móviles o intranet.
- Hojas de firma.
Como existen alternativas menos agresivas, usar la huella dactilar se considera desproporcionado. Es como matar moscas a cañonazos: efectivo, sí, pero excesivo. El argumento de «es más cómodo» o «es para que no fichen unos por otros» ya no es válido para justificar el uso de biometría.
3. ¿Y si el trabajador da su consentimiento?
Muchos empresarios piensan: «Bueno, hago que firmen un papel autorizándome y listo».
Error grave.
En el ámbito laboral, existe un desequilibrio de poder. El empleado no es libre para negarse (tiene miedo a represalias, a caer mal al jefe, etc.). Por tanto, según el RGPD y la AEPD, el consentimiento en el trabajo casi nunca se considera «libre». Si el consentimiento no es libre, es nulo. Así que no, no puedes basarte en el permiso del empleado para usar su huella.
4. ¿Hay excepciones? ¿Cuándo SÍ se puede usar?
La prohibición no es absoluta, pero las excepciones son muy limitadas. Solo se justificaría en entornos de altísima seguridad donde una tarjeta o una clave no sean suficientes.
- Ejemplos válidos: Acceso a una central nuclear, a un laboratorio de virus peligrosos, o a la cámara acorazada de un banco.
- Ejemplos NO válidos: Acceso a una oficina administrativa, a un gimnasio, a una tienda de ropa o a una fábrica de muebles.
5. Las consecuencias: Multas millonarias
La AEPD ya no avisa, sanciona. Y las multas por tratar indebidamente datos de categoría especial son las más altas.
Ya hemos visto sanciones recientes a empresas por mantener el fichaje por huella sin una Evaluación de Impacto (EIPD) rigurosa que justifique la «necesidad vital» de usarlo (algo casi imposible de justificar en una oficina normal).
Conclusión y Alternativas a la huella dactilar
Si eres empresario y tienes un lector de huellas o reconocimiento facial para el control horario: Desconéctalo. Estás en una situación de riesgo legal inminente.
El criterio actual de la AEPD es claro: La comodidad de la empresa no está por encima del derecho fundamental a la privacidad del trabajador.
¿La solución? Volver a lo clásico o digitalizar con sensatez:
- Tarjetas NFC/RFID: El método más seguro y privado.
- Sistemas de usuario y contraseña: Barato y eficaz.
- Apps de fichaje: Con geolocalización (ojo, solo en el momento del fichaje, no rastreo continuo).
La era de poner el dedo para entrar a trabajar ha terminado en España, al menos para la inmensa mayoría de los negocios.
