La AEPD sanciona a una empresa con 20.000 € por la implantación de un registro de datos biométricos
«Los registros de jornada de carácter biométrico son muy invasivos y manejan demasiados datos personales», según la Agencia de Proyección de Datos, que en una reciente resolución ha sancionado a una empresa con 20.000€ por la implantación de dicho registro.
En esta resolución, se imputa a la reclamada que, tratando datos de carácter personal de categoría especial, y existiendo la obligación de tener una Evaluación de Impacto en la Protección de los Datos Personales (EIPD) incumplió el artículo 35 del Reglamento General de Protección de Datos.
¿Cómo funcionan las Evaluaciones de impacto?
La EIPD supone que las organizaciones deben demostrar que están cumpliendo con la norma. Ello incluye medidas de documentación sobre como son tratados los datos, con qué finalidad, y hasta cuándo se tratarán los mismos. Además, deberán documentar los tratamientos y los procedimientos.
Sin más, se trata de que la implantación posibilite la minimización de riesgos en el momento de tratar los datos, teniendo en cuenta la proporcionalidad de los mismos. En función del resultado se puede incluso tener que informar a la AEPD de los resultados de dicha evaluación.
Escuchamos las opiniones de los expertos
Según Pere Vidal, abogado laboralista y profesor en la Universitat Oberta de Catalunya, la resolución de la AEPD choca con la doctrina de tribunales superiores de justicia e incluso del propio Tribunal Supremo.
Por ejemplo, el TSJ de Canarias estableció que el uso de la lectura de mano por infrarrojos no lesiona el derecho a la intimidad. En una línea similar, el TSJ de Valencia sentenció que el uso de sistemas de fichajes mediante huella digital no vulnera el derecho a la protección de datos. La Agencia Catalana de Protección de Datos avisó anteriormente en un dictamen de 2018 que, antes de implantar un sistema de control basado en huella digital, era necesaria una evaluación de impacto, priorizando alternativas menos intrusivas.
Muchas empresas han optado por este sistema de huella digital porque evita el riesgo de suplantación, en contra de las tarjetas o códigos. No obstante, después de esta resolución de la AEPD, se prevé las empresas desterrarán definitivamente este sistema de control.
Por otra parte, Eduard Blasi, abogado experto en privacidad, indica que los puntos llamativos de esta resolución son varios. En primer lugar, se sanciona con una cantidad muy elevada una actividad temporal de 2 meses en prueba. Además, la empresa hizo un análisis de riesgos básico pero que no llegó a la evaluación de impacto. Por tanto, para este jurista, la empresa hizo su trabajo a medias, y por ello recibió una sanción elevadísima.
Algunos detalles más para finalizar
Sin embargo, destacar que la AEPD ha plasmado en diferentes resoluciones la distinción entre la identificación biométrica con la autentificación biométrica. De esta forma, «la identificación biométrica conlleva un tratamiento de datos sensibles, es decir, un tratamiento más intrusivo, pero la autenticación no lo es tanto y no te lleva a un tratamiento de datos sensibles o a una categoría especial de datos». Al final es un punto que la AEPD destaca en sus resoluciones. Si es autenticación biométrica no hay que hacer esa evaluación de impacto.
Por último, a juicio de Blasi, en una tecnología biométrica son importantes dos cuestiones. La primera sería el tipo de tecnología que se emplee a nivel de software, por la distinción antes señalada. Y la segunda, la finalidad, pues en este caso se trataba de un registro de jornada para el que la AEPD señala que existen medios menos intrusivos. No obstante, otras autoridades como la CNIL francesa o la APDCAT de Cataluña, se han posicionado en el sentido que cuando se trata de una empresa que por razones de seguridad usen este tipo de tratamiento, como acceder a zonas o lugares reservados no sería desproporcionado y estaría justificado su uso.
¿Tu empresa recoge o utiliza datos biométricos? Te asesoramos para el correcto cumplimiento de la LOPD
En Rapinformes tenemos todo lo necesario para asesorar a tu empresa para el correcto cumplimiento de la LOPD. Puedes contactar con nosotros si necesitas más información, o si necesitas un presupuesto.
Puedes acceder a la solicitud de presupuesto sin compromiso a través de este enlace.
