¿Fichar con huella dactilar es legal?

El actual panorama normativo español no establece una base legal que permita el uso de datos biométricos en empresas y entidades públicas para el registro de jornada y control de acceso mediante sistemas biométricos.

El Comité Europeo de Protección de Datos publicó en mayo de 2022 las Directrices 05/2022 sobre el uso de técnicas de reconocimiento facial en el ámbito de la aplicación de la ley. Estas Directrices prohibían el uso de la huella dactilar como método de registro de jornada laboral en empresas, lo que ha significado un cambio significativo en las regulaciones de control de presencia en el ámbito laboral.

De acuerdo con esto, la Agencia Española de Protección de Datos se ha visto obligada a ajustar sus directrices en consonancia con la normativa europea; por lo que en noviembre de 2023 publicó la Guía sobre Tratamientos de control de presencia mediante sistemas biométricos, la cual viene a establecer una serie de criterios sobre el uso de sistemas biométricos, debiendo cumplirse con lo establecido en el Reglamento General de Protección de Datos (Reglamento Europeo). Y es que la utilización de sistemas biométricos supone el tratamiento de datos de alto riesgo, ya que incluyen categorías especiales de datos, como pueden ser datos de salud o genéticos.

En este sentido, resulta fundamental que cualquier tratamiento de datos biométricos tenga una base legal y cumpla con las excepciones a la prohibición de tratamiento de datos personales contenidas en el artículo 9.2 del citado Reglamento, que permiten el tratamiento de categorías especiales de datos en ciertas circunstancias específicas. Así, en el caso de registro de jornada y control de acceso con fines laborales, el responsable debe contar con una norma con rango de ley que concrete la posibilidad de utilizar datos biométricos para dicha finalidad, norma con la que no cuenta la actual normativa legal española.

Además, el consentimiento del trabajador para realizar un registro de jornada basado en datos biométricos no puede levantar la prohibición del tratamiento o servir de base para determinar su legitimidad, al existir un desequilibrio claro entre la persona trabajadora que se somete al tratamiento y la empresa o entidad pública responsable del mismo. Se deberá entender que se trata de una situación temporal, ya que la propia Agencia insta al legislador a regular el asunto. Igualmente, nuestros tribunales empezarán a pronunciarse acerca de esta cuestión.

No obstante, con el actual criterio de la Agencia Española de Protección de Datos, cualquier entidad o empresa que base su registro de jornada en reconocimientos biométricos puede ser sancionada.

Por ello, hasta que todo quede regulado de forma más taxativa y precisa, lo más recomendable sería utilizar otro método de registro de jornada más respetuoso con los derechos fundamentales de los empleados como tarjetas, códigos, fichajes web u otras alternativas, y así seguir las nuevas pautas establecidas por la Unión Europea en pro de la protección de la privacidad y los derechos en el ámbito laboral.