¿Se puede fichar con huella dactilar o reconocimiento facial? Lo que dice la AEPD

Qué cambió en noviembre de 2023

Hasta entonces era frecuente entender que usar la huella para *verificar* la identidad de alguien ya identificado no era tratar datos de categoría especial. La Agencia Española de Protección de Datos corrigió ese criterio en su guía «Tratamientos de control de presencia mediante sistemas biométricos», alineándose con el Comité Europeo de Protección de Datos: tanto la identificación como la autenticación biométricas son tratamiento de categorías especiales de datos.

Las cuatro ideas clave de la guía

Según la nota oficial de la AEPD:

1. Es un tratamiento de alto riesgo que incluye categorías especiales de datos. Para hacerlo debe existir una excepción que levante la prohibición general del artículo 9 del RGPD y, además, una base de licitud.
2. En el registro de jornada y el control de acceso laboral, si la excepción es la del artículo 9.2.b) (obligaciones en el ámbito laboral), hace falta una norma con rango de ley que autorice específicamente usar biometría para ese fin. El artículo 34.9 del Estatuto no la menciona.
3. El consentimiento no sirve en la relación laboral, por el desequilibrio entre empresa y persona trabajadora.
4. Es obligatoria una evaluación de impacto previa que supere el triple juicio de idoneidad, necesidad y proporcionalidad.

Por qué casi nunca supera el juicio de necesidad

La pregunta es: ¿puede lograrse el mismo fin con un medio menos intrusivo? Para registrar la jornada, una tarjeta, un PIN o una aplicación lo logran. Que la huella sea más cómoda o evite que un compañero fiche por otro no la convierte en *necesaria*.

Si aun así se plantea

La guía enumera medidas exigibles, entre ellas: informar del tratamiento y de sus riesgos, permitir revocar el vínculo entre la plantilla biométrica y la persona, impedir técnicamente que las plantillas se usen para otros fines, cifrarlas, usar formatos que impidan cruzar bases de datos, suprimir los datos cuando ya no sean necesarios y aplicar protección de datos desde el diseño.

Tengo terminales de huella instalados: qué hago

1. No lo ignores. La AEPD ha sancionado a empresas por el uso de la huella en el fichaje.
2. Habla con tu delegado o asesor de protección de datos.
3. Mira si el terminal admite tarjeta o PIN. Muchos lo hacen: se desactiva la biometría y se mantiene el equipo.
4. Borra las plantillas biométricas almacenadas si dejas de usarlas, y deja constancia.
5. Informa a la plantilla del cambio.

Alternativas que resuelven lo mismo

• Tarjeta o llavero de proximidad personal.
• Aplicación móvil o web.
• Tarjeta + PIN si preocupa el fichaje por terceros.

Comparativa completa en métodos de fichaje.

¿Y para abrir puertas?

El razonamiento es parecido también fuera del ámbito laboral: ver biometría en el control de accesos.

Esta guía resume el criterio de la AEPD para orientarte. La valoración de tu caso corresponde a tu empresa y a su asesor de protección de datos.

Si quieres sustituir o reconvertir tus terminales, podemos ayudarte con la parte técnica: control horario.