El uso de sistemas biométricos para controlar la jornada laboral continúa generando importantes dudas en materia de protección de datos. Una reciente sentencia de la Audiencia Nacional aporta un criterio especialmente relevante sobre una de ellas: ¿el simple hecho de utilizar datos biométricos obliga siempre a realizar una Evaluación de Impacto relativa a la Protección de Datos (EIPD)?
La respuesta, según el razonamiento seguido por la Sala en el caso analizado, es no necesariamente.
La resolución adquiere especial importancia porque termina anulando una sanción de 100.000 euros impuesta a una organización por no haber realizado una EIPD antes de implantar un sistema de fichaje mediante huella dactilar.
¿Por qué se consideraba obligatoria la EIPD?
El conflicto parte del tratamiento de datos biométricos de los trabajadores para registrar su jornada laboral.
La posición mantenida frente a la empresa era que, dada la naturaleza biométrica de los datos tratados, debía haberse realizado previamente una Evaluación de Impacto. La ausencia de esta evaluación había dado lugar a una sanción económica.
Sin embargo, la Audiencia Nacional analiza con mayor detalle cuándo nace realmente esta obligación.
El artículo 35 del Reglamento General de Protección de Datos (RGPD) establece que debe realizarse una EIPD cuando sea probable que un determinado tratamiento pueda entrañar un alto riesgo para los derechos y libertades de las personas físicas.
Además, el propio artículo contempla determinados escenarios especialmente relevantes, como la evaluación sistemática y exhaustiva de aspectos personales con determinados efectos, el tratamiento a gran escala de categorías especiales de datos o la observación sistemática a gran escala de zonas de acceso público.
En el asunto examinado, la Sala entiende que no se había justificado suficientemente la concurrencia de estos supuestos.
La biometría, por sí sola, no determina automáticamente la obligación
Uno de los aspectos más interesantes de la sentencia está relacionado con los criterios publicados por la propia Agencia Española de Protección de Datos (AEPD) para identificar aquellos tratamientos que requieren una evaluación de impacto.
Estas orientaciones toman como referencia los criterios desarrollados en el ámbito europeo y señalan que, en la mayoría de los casos, será necesario realizar una EIPD cuando concurran dos o más de los criterios establecidos.
El tratamiento de datos biométricos constituye uno de esos criterios, pero no implica necesariamente que concurran los restantes.
En el procedimiento analizado, se había fundamentado la exigencia de la evaluación esencialmente en un único elemento: la utilización de biometría.
La Audiencia Nacional considera relevante esta circunstancia y concluye que no podía imponerse la obligación de realizar la EIPD aplicando un criterio más exigente que el que podía desprenderse de las propias orientaciones publicadas por la autoridad de protección de datos.
El principio de confianza legítima, clave en la decisión
La resolución también resulta especialmente interesante por la aplicación del principio de confianza legítima.
Las empresas deben poder confiar razonablemente en las directrices e información que publican las autoridades competentes para orientar el cumplimiento de la normativa.
Por ello, si las propias guías de una autoridad de control llevan razonablemente a interpretar que una determinada obligación aparece cuando concurren varios criterios, posteriormente no debería sancionarse a una organización aplicando una interpretación diferente sin una justificación suficiente.
Este razonamiento lleva finalmente a la anulación íntegra de la sanción de 100.000 euros.
¿Significa esto que ya no hace falta una EIPD para el fichaje biométrico?
No. Esta sería una conclusión demasiado amplia.
La sentencia no establece que los sistemas de fichaje mediante huella dactilar estén exentos de realizar evaluaciones de impacto ni supone una autorización general para utilizar sistemas biométricos en el ámbito laboral.
Lo que pone de manifiesto es que la necesidad de una EIPD debe determinarse atendiendo a las características y riesgos concretos del tratamiento, y que la utilización de biometría no permite, por sí sola y de manera automática, llegar a determinadas conclusiones sancionadoras.
Además, la EIPD es solo una de las cuestiones que deben analizarse al implantar estos sistemas. La organización continúa teniendo que acreditar, entre otros aspectos, la existencia de una base jurídica adecuada, la necesidad y proporcionalidad del tratamiento, las medidas de seguridad aplicadas y el cumplimiento del resto de obligaciones derivadas del RGPD.
Una sentencia relevante para el cumplimiento normativo
Esta resolución introduce un matiz importante en el debate sobre biometría y protección de datos: trabajar con datos especialmente sensibles exige cautela, pero las obligaciones deben determinarse mediante un análisis jurídico y de riesgos concreto, no únicamente por la tecnología utilizada.
Para las organizaciones que utilizan o están valorando implantar sistemas de fichaje biométrico, la sentencia refuerza la importancia de documentar previamente las decisiones adoptadas y analizar cada tratamiento de manera individualizada.
La clave no está únicamente en preguntarse si se utilizan datos biométricos, sino en determinar qué riesgos genera realmente el tratamiento y qué obligaciones resultan aplicables en cada caso.
Contáctanos en info@legalauditors.es
