La privacidad en el control de presencia mediante datos biométricos

La Agencia Española de Protección de Datos ha publicado la guía “Tratamientos de control de presencia mediante sistemas biométricos” en la que se fijan los criterios para la utilización de la biometría para el control de acceso. Revisamos los puntos más importantes que tienes que tener en cuenta si quieres implementar algún tipo de acceso biométrico en tus equipos, ya sean trabajadores, voluntarios o personas beneficiarias.

¿Qué es la biometría y cómo puede aplicarse en el tercer sector?

La biometría es una tecnología que permite la identificación de personas a través de sus características físicas o conductuales, como las huellas dactilares o el reconocimiento facial. En el ámbito laboral, una de sus aplicaciones más comunes es el control de presencia, que permite registrar de manera automática las entradas y salidas del personal. Para las ONGs y fundaciones, el uso de estas tecnologías puede facilitar el registro de la jornada de personal laboral y de voluntariado. También tiene uso en el control de acceso por motivos de seguridad, lo que implicaría en algunos casos a beneficiarios directos.

Consideraciones legales y normativas del acceso biométrico para el tercer sector

Como cualquier otro sector, el Tercer Sector está afectado por el Reglamento General de Protección de Datos (RGPD) que establece un marco normativo estricto para el tratamiento de datos personales, particularmente los datos biométricos, que son considerados categorías especiales de datos. Para garantizar el cumplimiento de estas normativas, es imprescindible que cualquier implementación de control de presencia mediante biometría se realice bajo estrictos principios de minimización de datos y protección de datos desde el diseño.

Qué es el principio de minimización de datos

Este principio, recogido en el artículo 5.1.c del RGPD, establece que los datos personales que se traten deben ser adecuados, pertinentes y limitados a lo estrictamente necesario para los fines del tratamiento. En el caso de sistemas biométricos, es importante evaluar si realmente es necesario recabar datos biométricos para gestionar la presencia o si existen alternativas menos intrusivas, como el uso de tarjetas electrónicas o sistemas basados en claves​.

El enfoque de la protección de datos desde el diseño

El RGPD también requiere que las personas responsables de tratamiento apliquen medidas de protección de datos desde el diseño y por defecto. Esto significa que las ONGs y fundaciones deben implementar sistemas biométricos que garanticen la protección de los datos personales desde su diseño, evaluando los riesgos potenciales y adoptando medidas técnicas y organizativas para minimizar estos riesgos​.

Excepciones legales para el uso de datos biométricos

El tratamiento de datos biométricos está prohibido por el RGPD, salvo que se cumpla alguna de las excepciones previstas en su artículo 9.2. Una de las excepciones más relevantes en el ámbito laboral es la recogida en el artículo 9.2.b, que permite el tratamiento de estos datos si es necesario para cumplir con obligaciones legales en el ámbito laboral o de la seguridad social. Sin embargo, esto sólo es posible cuando una norma de rango legal lo autoriza​.
Por lo tanto, las entidades del Tercer Sector deben asegurarse de que, si implementan sistemas biométricos para el control de presencia, cuenten con una justificación legal sólida y respeten los derechos de los empleados, incluyendo la posibilidad de recurrir a alternativas menos intrusivas.

Evaluación de impacto en la protección de datos y medidas de seguridad

Uno de los requisitos clave cuando se utilizan sistemas biométricos, que implican un tratamiento de alto riesgo para los derechos y libertades de las personas, es la Evaluación de Impacto en la Protección de Datos (EIPD). Esta evaluación debe considerar todos los riesgos potenciales para la privacidad de los individuos y determinar si las medidas técnicas adoptadas son suficientes para mitigar estos riesgos​.

De la misma manera, el uso de datos biométricos exige la adopción de medidas de seguridad robustas para garantizar la protección de la información personal. Entre las medidas recomendadas se encuentran el cifrado de los datos, la seudonimización y la implementación de procedimientos de supresión automática de los datos cuando ya no sean necesarios para la finalidad con la que fueron recabados​.

Por todo esto, la digitalización y el uso de tecnologías como la biometría ofrecen grandes ventajas a las ONGs y fundaciones, optimizando la gestión de personal y mejorando el cumplimiento normativo. Sin embargo, se deberá contar con un enfoque riguroso en materia de protección de datos y con una evaluación exhaustiva de los riesgos asociados. La aplicación de principios como la minimización de datos y el diseño de sistemas seguros desde el inicio no solo es una exigencia normativa, sino una responsabilidad ética hacia los empleados y colaboradores.

*La información recopilada en este post no se considera un contenido legal y puede contener erratas. Para más información sobre esta guía, puedes acceder al documento original y a la web de la Agencia Española de Protección de Datos.