Protección de datos en el control de accesos: qué debes cumplir con el registro de entradas

Por qué te afecta aunque no uses biometría

El registro «tarjeta 1234, puerta almacén, 07:58» es un dato personal si la tarjeta está asignada a alguien. El RGPD y la LOPDGDD se aplican por completo. La buena noticia: sin biometría ni cámaras, cumplir es sencillo y proporcionado.

Siete cosas que hay que tener resueltas

1. Finalidad. Para qué controlas el acceso: seguridad de personas y bienes, protección de zonas restringidas, listado de presentes en emergencias. Escríbelo.
2. Base jurídica. Lo habitual es el interés legítimo en la seguridad de las instalaciones o, en la relación laboral, las facultades de control del empleador. No suele hacer falta pedir consentimiento.
3. Información. Las personas deben saber que el sistema existe, quién es el responsable, para qué se usan los datos, cuánto se conservan y cómo ejercer sus derechos. A la plantilla, por escrito; a visitas, con un cartel o en el registro de recepción.
4. Minimización. Recoge solo lo necesario. Un sistema de puertas no necesita fecha de nacimiento ni fotografía, salvo razón concreta.
5. Plazo de conservación. No hay un plazo único fijado por ley para los registros de acceso: debe ser el mínimo necesario para la finalidad. Muchas organizaciones toman como referencia el mes que la LOPDGDD fija para las imágenes de videovigilancia. Defínelo, configúralo en el software y cúmplelo.
6. Quién puede consultar. Cuentas nominales, las mínimas, con contraseña robusta. Nada de un usuario «admin» compartido.
7. Registro de actividades de tratamiento. Incluye el control de accesos en el registro interno que exige el RGPD.

Usos que no están cubiertos por defecto

El sistema se instaló por seguridad. Usar después esos registros para otra cosa —medir puntualidad, vigilar pausas, sancionar— es un cambio de finalidad que exige haberlo previsto e informado. Si el lector también sirve para fichar, dilo expresamente: son dos tratamientos.

Terceros que ven los datos

• Instalador y mantenedor con acceso al software.
• Proveedor de la nube, si el sistema no es local (nube o local).
• Empresa de seguridad o conserjería.

Con todos debe existir un contrato de encargado del tratamiento.

Cuándo hace falta algo más

• Biometría: evaluación de impacto y un análisis mucho más exigente (guía).
• Cámaras asociadas a los accesos: reglas propias de videovigilancia (guía).
• Lectura de matrículas: la matrícula ligada a una persona es dato personal (guía).
• Visitas: minimiza lo que pides en recepción (guía).

Derechos de las personas

Cualquier persona puede pedir acceso a sus propios registros. Prepara cómo atenderlo sin revelar datos de terceros.

Lista rápida

• Finalidad y base escritas.
• Plantilla informada; cartel para visitas.
• Plazo de borrado configurado.
• Cuentas de administrador nominales.
• Contratos de encargado firmados.
• Tratamiento incluido en el registro de actividades.

Al entregar una instalación de control de accesos, dejamos configurado el plazo de conservación que nos indiques y las cuentas nominales.