La AN anula la guía sobre biometricos de la AEPD
La AN anula la guía sobre biometricos de la AEPD
Mucho hemos escrito sobre el tratamiento de datos biométricos (ej. huella o reconocimiento facial) y seguimos ahondando en este asunto, pues en los últimos días muchos clientes nos están haciendo la misma pregunta:
«Si la Audiencia Nacional ha anulado la guía de la AEPD, ¿significa que ya podemos volver a utilizar la huella dactilar o el reconocimiento facial para el control de accesos o el registro de jornada?»
La reciente sentencia de la Audiencia Nacional ha generado cierta confusión porque algunos titulares pueden llevar a pensar que el uso de sistemas biométricos vuelve a estar permitido sin restricciones. Sin embargo, la realidad jurídica es bastante distinta.
¿Qué ha anulado realmente la Audiencia Nacional?
La Audiencia Nacional ha anulado la Guía sobre tratamientos de control de presencia mediante sistemas biométricos publicada por la Agencia Española de Protección de Datos (AEPD).
Pero es importante entender por qué.
La sentencia no analiza si la interpretación de la AEPD sobre el uso de datos biométricos es correcta o incorrecta. Tampoco afirma que el uso de la huella dactilar o del
reconocimiento facial sea conforme al RGPD.
Lo que la Audiencia considera es que la AEPD utilizó un instrumento inadecuado para establecer criterios que, en la práctica, tenían un alcance casi normativo. Es decir, la anulación responde a una cuestión de procedimiento administrativo, no al fondo del asunto.
Entonces… ¿ha cambiado la normativa?
El Reglamento General de Protección de Datos (RGPD) sigue siendo exactamente el mismo.
También continúan plenamente vigentes:
- el artículo 9 del RGPD, que regula el tratamiento de categorías especiales de datos;
- la Ley Orgánica 3/2018 (LOPDGDD);
- las Directrices del Comité Europeo de Protección de Datos (CEPD/EDPB) sobre datos biométricos;
- la obligación de aplicar los principios de necesidad, proporcionalidad y minimización de datos.
La desaparición de la guía no modifica ninguna de estas normas.
¿Por qué siguen siendo problemáticos los sistemas biométricos?
La huella dactilar, el reconocimiento facial, el reconocimiento del iris o cualquier otro sistema que permita identificar de forma única a una persona mediante características físicas constituyen, con carácter general, un tratamiento de datos biométricos.
Cuando esos datos se utilizan para identificar a una persona, el RGPD los considera una categoría especial de datos, cuyo tratamiento está prohibido salvo que concurra alguna de las excepciones previstas en el artículo 9.2 del Reglamento.
En el ámbito laboral, justificar una de esas excepciones resulta especialmente complejo. Además, aunque existiera una base jurídica adecuada, el responsable del tratamiento debe demostrar que:
- el sistema biométrico es realmente necesario;
- no existe una alternativa menos invasiva para conseguir el mismo objetivo;
- el tratamiento supera un análisis de proporcionalidad;
- se han implantado todas las medidas de seguridad exigibles.
En la mayoría de los sistemas de control horario o control de accesos ordinarios resulta difícil acreditar que la biometría sea la única opción posible.
¿Se pueden utilizar sistemas biométricos para el control de accesos?
Depende del caso concreto.
No es lo mismo controlar el acceso a una oficina convencional que a una instalación crítica, un laboratorio de alta seguridad o una infraestructura donde existan riesgos especiales.
La utilización de biometría exige analizar cada supuesto individualmente y justificar por qué es necesaria frente a otros mecanismos menos intrusivos, como tarjetas identificativas, códigos personales o credenciales electrónicas.
No existe una autorización general para utilizar estos sistemas.
¿Y para el registro de jornada?
La situación es similar.
La sentencia de la Audiencia Nacional no convierte en lícito el fichaje mediante huella dactilar o reconocimiento facial.
Las empresas siguen teniendo que justificar que cumplen todos los requisitos establecidos por el RGPD y, especialmente, que el tratamiento está amparado por alguna de las excepciones previstas para las categorías especiales de datos.
Por tanto, el riesgo jurídico asociado a estos sistemas continúa existiendo.
Nuestra recomendación
Desde Business Adapter recomendamos actuar con prudencia.
La anulación de la guía de la AEPD no debe interpretarse como una autorización para implantar sistemas biométricos.
Antes de adoptar una solución de este tipo es imprescindible realizar un análisis jurídico y técnico que valore, entre otros aspectos:
- la finalidad perseguida;
- la base jurídica del tratamiento;
- la necesidad real del sistema biométrico;
- la existencia de alternativas menos invasivas;
- los riesgos para los derechos y libertades de las personas;
- la posible necesidad de realizar una Evaluación de Impacto relativa a la Protección de Datos (EIPD).
Cada proyecto debe analizarse de forma individual.
Si tu empresa está valorando implantar un sistema biométrico o tiene dudas sobre la legalidad de uno ya existente, en Business Adapter podemos ayudarte a analizar el caso concreto y determinar si cumple con las exigencias del RGPD y la LOPDGDD.