Opinion

Recentment, l’Agència Espanyola de Protecció de Dades (AEPD) ha publicat la Guia sobre tractament de control de presència mitjançant sistemes biomètrics. Aquesta nova guia ve, d’una banda, motivada pel fet que els sistemes biomètrics i el tractament de dades obtingudes a partir d’aquests estan evolucionant molt ràpidament i, d’altra banda, a conseqüència de canvis que s’han produït en el context normatiu, social i tecnològic. A més, se subratlla que, a vegades, mitjançant l’anàlisi biomètrica, es poden inferir i recollir més categories especials de dades, en particular, dades relatives a la salut, o dades que revelen l’origen racial o ètnic, entre d’altres.

En un tractament de control de presència que usi sistemes biomètrics, ja sigui pel registre de jornada com pel control d’accés, podrien existir diferents alternatives en la implementació: que estigués basada en dues operacions d’identificació, en una d’autenticació i una altra d’identificació, o en una única operació d’autenticació. Sigui com sigui, però, en aquesta guia es reafirma que la dada biomètrica constitueix en tot cas una categoria especial de dada, segons interpretació de les Directrius 05/2022 del Comitè Europeu de Protecció de Dades (CEPD), de 26 d’abril de 2023, que modifica el criteri sostingut fins a la data per l’AEPD en diversos informes jurídics i en la guia La Protecció de Dades en les Relacions Laborals de 2021.

La consideració de la biometria com a categoria especial requereix una de les excepcions de l’article 9.2 RGPD per a poder aixecar la prohibició de tractar les categories especials de dades. De les opcions que s’enumeren, només es podria valorar la previsió d’aquest tractament en una norma amb rang de llei, o bé la prestació del consentiment de la persona afectada.

Quant a la primera opció, s’hauria de descartar perquè actualment no existeix tal norma que concreti la possibilitat d’utilitzar dades biomètriques per aquesta finalitat.

Quant al consentiment, en el context de les relacions laborals, aquesta no seria la base jurídica adequada perquè de forma general es produeix desequilibri de poder entre treballador i empresari que fa que el consentiment no es proporcioni lliurement. En el cas del registre de la jornada, si existissin opcions realment equivalents i disponibles per a tots els treballadors, es podria estudiar si el consentiment fos vàlid. No obstant això, respecte al requisit d'”equivalència de tractaments” cal tenir en compte que si existissin alternatives disponibles al tractament de dades biomètriques que impliquin menor risc pels drets i llibertats de les persones de qui es tractaran les dades, el processament de dades biomètriques deixa de ser necessari per a la implementació del tractament i, per tant, no superaria el requisit de necessitat establert per aquests tractaments.

En qualsevol cas, previ inici del tractament de dades biomètriques pel control de presència és obligatòria la superació favorable d’una avaluació d’impacte per a la protecció de dades (AIPD) en la que, entre d’altres, es trobi documentada l’acreditació de la superació de la triple anàlisi d’idoneïtat, necessitat i proporcionalitat del tractament. Aquesta AIPD, que ja hauria d’haver-se realitzat, es recomana que sigui revisada d’acord amb el nou criteri de l’AEPD.

Convé també tenir present que en el tractament de control de presència basat en el procés biomètric no es puguin prendre decisions automatitzades sense intervenció humana que tinguin efectes jurídics sobre la persona interessada si no s’compleix la circumstància d’un interès públic essencial basat en una norma amb rang de llei, proporcional a l’objectiu perseguit, que respecti en l’essencial el dret a la protecció de dades i establint mesures adequades i específiques per a protegir els interessos i drets fonamentals de la persona afectada.

Addicionalment, en el cas que el sistema biomètric s’implementi amb tècniques d’intel·ligència artificial, per a incloure’s en un tractament s’hauran de tenir en compte les prohibicions, limitacions i exigències establertes en la normativa d’intel·ligència artificial.

En conclusió, malgrat que la guia no prohibeix els mecanismes de control de presència amb biometria, sí que l’AEPD defineix uns criteris que ho dificulten en la gran majoria dels supòsits en què es han aplicat, tal com evidencien diverses sancions imposades amb quanties d’uns 30.000 € per aquesta autoritat de control. És per això que la recomanació és clara: és moment de revisar qualsevol sistema de control de presència amb biometria per tal que els responsables dels tractaments puguin tenir les degudes garanties.

Equip de Serveis Jurídics