Puede que, en tu oficina, en tu banca online, e incluso, en tu gimnasio, utilices un sistema de reconocimiento fácil o huella dactilar para acceder a sus servicios y/o instalaciones. El pasado 23 de noviembre, la AEPD ha tomado una decisión tajante al respecto, acogiéndose al Reglamento General de Protección de Datos, queda prohibido el uso de estos sistemas, ya que supone un tratamiento de categorías especiales de datos de alto riesgo.
Registro horario A partir de ahora, el uso de identificación biométrica por parte de las personas trabajadoras, aunque hayan expresado el consentimiento expreso del tratamiento de sus datos, estaría prohibido por el propio Reglamento General de Protección de Datos por tratarse de datos de categoría especial.
Existe una excepción, recogida en el artículo 35.7.b, a excepción de casos especiales como el “interés público”, cuestiones sanitarias o seguridad pública.
Fuera del ámbito laboral El uso de datos biométricos para el acceso de instalaciones o servicios, ajenos al ámbito laboral del usuario, quedarán prohibidos por el elevado riesgo que supone el tratamiento de esos datos para la privacidad de la persona.
Por tanto, podemos concluir que, a priori, queda prohibido el tratamiento de datos biométricos, incluso con consentimiento, puesto que se vulnera el principio de minimización de datos, ya que para el control horario y/o la entrada en la empresa, no son necesarios los datos biométricos y se pueden utilizar otro tipo de métodos para hacerlo.
Es necesario que exista una circunstancia muy especial y con una justificación muy exhaustiva recogida en el registro de actividades del tratamiento, para sortear la prohibición del tratamiento de datos de categorías especiales, así como, una condición inequívoca que legitime el tratamiento.
En el caso de registro de jornada o control de acceso en el ámbito laboral, el consentimiento no puede levantar la prohibición del tratamiento, ni ser una base para determinar la licitud, al existir de forma general una situación de desequilibrio entre el interesado y el responsable del tratamiento.
Para el caso del control de acceso fuera del ámbito laboral, la ejecución de un contrato no es una circunstancia que levanta la prohibición según el art.9.2 del Reglamento General de Protección de Datos.
El consentimiento tampoco lo podrá ser, al resultar un tratamiento de alto riesgo, y que tendría que superar el requisito de necesidad establecido para dichos tratamientos.
En el tratamiento de control de presencia, no se pueden tomar decisiones automatizadas sin intervención humana que tengan efectos jurídicos sobre el interesado.