L’Agència Espanyola de Protecció de Dades (AEPD) ha publicat recentment una Guia sobre tractaments de control de presència mitjançant sistemes biomètrics per al control de presència i accés als llocs de treball. La Guia representa tot un repte per a l’ adopció de sistemes d’ identificació biomètrica, ja que l’ AEPD ha revisat els seus criteris i aclarit els requisits essencials per al tractament de dades. I no posa gens fàcil.
Segons el Reglament General de Protecció de Dades (RGPD), les dades biomètriques es consideren una categoria especial de dades quan s’utilitzen per identificar de manera única a una persona. L’AEPD ha aclarit que aquestes dades només es poden processar en circumstàncies excepcionals, com ara amb el consentiment explícit de la persona o si és necessari per al compliment de les lleis laborals o els drets de protecció social i hi ha una base legal per fer-ho.
La Guia indica que les disposicions legals anteriors que es pensava que legitimaven aquests sistemes biomètrics són insuficients, ja que no esmenten expressament el processament de dades biomètriques ni proporcionen les proteccions de privacitat necessàries per als empleats. A més, el consentiment dels empleats tampoc es considera una base vàlida per a la legitimació a causa del desequilibri de poder inherent entre empresaris i empleats.
La conclusió és que esdevé extremadament difícil, si no impossible, utilitzar sistemes d’identificació biomètrica per a aquests propòsits en les empreses, sense una regulació específica europea o espanyola o un acord de negociació col·lectiva que proporcioni normes clares i garanties.
Com a alternatives als controls biomètrics, les solucions podrien incloure mètodes tradicionals com fulls de signatura manuals, targetes clau electròniques, codis PIN o aplicacions mòbils que permeten registres basats en la ubicació. Aquestes alternatives es preveuen menys invasives per a la privacitat, s’alineen amb el principi de minimització de dades del RGPD i encara complir amb els requisits operacionals del lloc de treball.
L’impacte per a les empreses dels nous criteris de l’AEPD en reconèixer la biometria com mancada de legitimació per al tractament de dades és significatiu. Les empreses hauran de reconsiderar l’ús de sistemes de control biomètric, ja que la Guia limita fortament aquestes pràctiques. Sense una base legal específica, consentiment explícit (molt complicat de fer servir en la pràctica per el desequilibri entre empresa i treballador i tenir que superar el judici d’idoneïtat) o acords col·lectius amb garanties adequades, les empreses no podran utilitzar dades biomètriques per a controls de presència o accés.
Tot això pot requerir canvis operatius significatius i, com dèiem, la implementació de mètodes alternatius de control de presència que respectin la privacitat i la protecció de dades dels empleats. L’Agència, fins i tot, recomana explorar opcions que ni siguin tecnològiques com, per exemple, la utilització de recursos humans. Vaja, posar un vigilant a la porta, com s’ha fet tota la vida. En fi …
D’ara en endavant, no poseu el dit enlloc i cuideu-vos!
