Control de acceso biométrico: cuándo tiene sentido y cómo hacerlo bien
La huella y el reconocimiento facial son cómodos y no se prestan ni se pierden, pero en España su uso está muy condicionado por la protección de datos. Te decimos con franqueza cuándo se puede justificar, qué exige y qué alternativas dan un resultado parecido con menos riesgo.
Lo primero: qué dice la AEPD
En noviembre de 2023 la Agencia Española de Protección de Datos publicó la guía «Tratamientos de control de presencia mediante sistemas biométricos». Considera que identificar o autenticar a una persona con su huella o su cara es un tratamiento de categorías especiales de datos y de alto riesgo, tanto para fichar como para controlar accesos. Según la nota de la propia Agencia, el consentimiento no sirve como base en el ámbito laboral y, con carácter general, tampoco para un control de accesos que pueda hacerse por otros medios; además, exige una evaluación de impacto previa que demuestre que la medida es idónea, necesaria y proporcional.
En la práctica: si una tarjeta, un móvil o un PIN resuelven el problema, la biometría no supera el juicio de necesidad.
Cuándo puede plantearse
- Accesos a zonas donde un error de identidad tiene consecuencias graves y existe una norma que lo ampare o una justificación de seguridad sólida y documentada.
- Siempre con evaluación de impacto previa, información clara, alternativa no biométrica y medidas técnicas: plantilla cifrada, sin posibilidad de reutilizarla para otros fines y supresión cuando deja de ser necesaria.
Lo desarrollamos en biometría en el control de accesos y, para el fichaje, en ¿se puede fichar con huella?.
Qué hacemos nosotros
- Analizar el caso y decirte si vemos margen para la biometría o no, antes de vender ningún equipo.
- Proponer la alternativa cuando no lo hay: tarjeta cifrada, credencial en el móvil o doble factor (comparativa).
- Instalar y configurar el sistema elegido con las medidas técnicas que haya fijado tu evaluación de impacto.
- Reconvertir terminales biométricos existentes a tarjeta o PIN cuando es posible.
No somos un despacho de abogados: la evaluación de impacto y la decisión sobre la base jurídica corresponden a tu empresa y a su delegado o asesor de protección de datos. Nosotros aportamos la parte técnica.
De qué depende el precio
Del tipo de terminal, del número de puntos, del software y de las medidas de seguridad exigidas. La parte jurídica (evaluación de impacto) no está incluida.
Cómo trabajamos
- Nos cuentas el caso por teléfono, correo o formulario.
- Vemos la instalación: puertas, accesos, cuadros eléctricos y red.
- Entregamos una propuesta por escrito, desglosada.
- Instalamos, configuramos y formamos a quien lo administra.
- Entregamos la documentación y las claves de administración.
Preguntas frecuentes
¿Está prohibida la huella dactilar para fichar?
No hay una prohibición expresa, pero la AEPD la considera un tratamiento de alto riesgo que en el ámbito laboral no puede basarse en el consentimiento y que debe superar un juicio estricto de necesidad. Como casi siempre existe una alternativa menos intrusiva, en la práctica es muy difícil de justificar.
¿Y si los empleados o socios dan su consentimiento?
Según la AEPD, en la relación laboral el consentimiento no es válido por el desequilibrio entre las partes, y fuera de ella tampoco basta si el control puede hacerse por otros medios.
Ya tengo terminales de huella, ¿qué hago?
Revisar el tratamiento con tu asesor de protección de datos. En muchos equipos se puede desactivar la biometría y usar tarjeta o PIN sin cambiar el terminal.