SECCIÓN TRIBUNA

Un análisis de urgencia de la biometría utilizada para el registro de la jornada, resultado: categoría de datos de alto riesgo
An urgent analysis of the biometrics used to record the day, result: high-risk data category

DOI: https://doi.org/10.69592/2952-1955-N3-DICIEMBRE-2023-ART1

M.ª Elisa Cuadros Garrido

Codirectora Revista Justicia & Trabajo
https://orcid.org/0000-0003-0297-5330

1. DELIMITACIÓN

Los sistemas de registro horario utilizados por las empresas son muy diversos: fichar de manera telemática, utilización de tarjetas personales u otros tipos de objetos token en un sistema de marcado, utilización de códigos personales, sistemas de videovigilancia donde quede constancia de la hora de entrada o salida, el control biométrico, etc.¹. La cuestión es que en base a la interpretación actual de la normativa de protección de datos se aconseja la desinstalación de los medios de control del trabajador más intrusivos por riesgo potencial de los derechos fundamentales del empleado y de posibles sanciones por la AEPD.

La creciente demanda de acceso a los servicios de la Sociedad de la Información ha dado lugar en las últimas décadas a la aparición de una rama de la Tecnología denominada autenticación biométrica o, simplemente, biometría². El Reglamento General Protección Datos (RGPD)³   define en su art. 4.14 “los datos biométricos” como aquellos “datos personales obtenidos a partir de un tratamiento técnico específico, relativos a las características físicas, fisiológicas o conductuales de una persona física que permitan o confirmen la identificación única de dicha persona, como imágenes faciales o datos dactiloscópicos”.

El Real Decreto-Ley 8/2019, de 8 de marzo, de medidas urgentes de protección social y de lucha contra la precariedad laboral en la jornada de trabajo⁴ regula en el Capítulo III “Medidas de lucha contra la precariedad laboral en la jornada de trabajo”, y en el art. 10 estableció por primera vez en nuestro ordenamiento jurídico, únicamente existía la obligación de registro para el caso de que el trabajador tuviera un contrato a tiempo parcial⁵ o realizase horas extraordinarias art.35.5 Estatuto de los Trabajadores⁶, (ET). A través de una modificación del art. 34 del ET, añadiendo un nuevo apartado 9, el registro horario se introdujo en la norma laboral⁷. En relación con el control de acceso con fines laborales, éste se suele fundamentar en la previsión contenida en el art. 20.3⁸ del ET. La norma no detalla cómo se puede llevar a cabo el registro, limitándose a señalar que se debe realizar de manera diaria e incluir el momento de inicio y la finalización de la jornada, la concreción de dicho extremo se remite a la negociación colectiva, o en su caso, al acuerdo de empresa.

El mayor problema que pueden plantear los datos biométricos en relación con el control empresarial es la posible colisión con los derechos fundamentales de los trabajadores a la intimidad y a la protección de datos. Respecto al grado de afectación en el trabajador de estas tecnologías, se nos afirma, ahora por la AEPD, que hay que optar en el registro de la jornada con una evaluación de alternativas equivalentes y menos intrusivas que las biométricas, se recomienda que se exploraren opciones que no sean únicamente tecnológicas. Ya hace más de una década se afirmó que cabía predecir que, salvo escasas situaciones en las que pudiera apreciarse una necesidad real de implantar un sistema de seguridad muy estricto, el resultado del «juicio de proporcionalidad» en la mayor parte de casos posiblemente derivaría en una conclusión contraria⁹.

La AEPD no duda en afirmar que los distintos productos disponibles en el mercado para la recogida de datos biométricos que registran dichos datos con una precisión, detalle o frecuencia que están muy por encima de las necesidades de un determinado tratamiento específico y vulneran el principio de minimización recogido en el art. 5 RGPD¹⁰.

Por su parte, la jurisprudencia ha resuelto litigios en relación con los medios que están utilizando las empresas para hacer efectiva esta obligación, sirva como botón de muestra, la STJUE de 14 de mayo de 2019, Gran Sala, C-55/2018 Caso Federación de Servicios de Comisiones Obreras (CCOO) contra Deutsche Bank¹¹, que considera contraria al Derecho de la Unión, en concreto, la Directiva 2003/88/CE respecto a la Ordenación del tiempo de trabajo¹², con la regulación española en la que en aquel momento no contemplaba, expresamente, la obligación empresarial de llevar un registro de la jornada diaria¹³. Cabe precisar que para el TJUE es necesario implantar “un sistema objetivo, fiable y accesible” de registro horario; se ha de adoptar por parte del empresario un instrumento que permita determinar objetivamente y de manera fiable el número de horas de trabajo diario y semanal, a fin de que se respeten los períodos mínimos de descanso y para impedir que se sobrepase la duración máxima del tiempo de trabajo semanal. Y el TJUE considera idóneo un sistema de registro de jornada como instrumento objetivo.

Para la AEPD, los datos biométricos siempre han sido son datos personales, porque cumplen las de notas definición de dato personal, pero en lo que se ha evolucionado es en el grado de calificación de ese dato y en consecuencia de protección de este. Como norma general, el uso de la biometría para las exigencias generales de seguridad de los bienes y las personas no puede considerarse un interés legítimo que prevalezca sobre los intereses o los derechos y libertades fundamentales del interesado. Por el contrario, el tratamiento de datos biométricos solo puede justificarse como un instrumento necesario para asegurar los bienes o las personas cuando se disponga de pruebas, sobre la base de las circunstancias objetivas y documentadas, de la existencia de un riesgo considerable.

La Agencia Española de Protección de Datos publicó en mayo de 2021 la guía “La Protección de Datos en las Relaciones Laborales”¹⁴, en la que se abordaba en el apartado “Los datos biométricos” del capítulo 4.6 el empleo de biometría en la implementación de los tratamientos de registro de presencia, en el texto se interpretaba la autenticación biométrica fuera de las categorías especiales de datos¹⁵.

II.CAUSANTES DEL CAMBIO

2.1. Comité Europeo de Protección de Datos

El Comité Europeo de Protección de Datos¹⁶ (CEPD/EDPB), a través de las Directrices 05/2022¹⁷ sobre el uso de técnicas de reconocimiento facial en el ámbito de la aplicación de la ley, estableció, finalmente, en mayo de 2023, que los datos biométricos siempre serán datos de categoría especial, tanto los supuestos de identificación como de autenticación mediante el uso de datos biométricos. Las implicaciones de esta interpretación por parte del CEPD son de envergadura, ya que determinan que, para poder llevar a cabo cualquier tratamiento de datos biométricos, tanto identificación como autenticación, se exige la concurrencia no solo de alguno de los supuestos recogidos en el  art. 6.1 del RGPD relativos a licitud del tratamiento de datos, sino también de alguna de las circunstancias previstas el  art. 9.2 ¹⁸  del RGPD.

Las actividades que supone la biometría; identificación y autenticación, son operaciones que no están definidas en el RGPD, no obstante, sí que se encuentran reguladas en otra normativa de ámbito europeo como es el Reglamento 910/2014, del Parlamento Europeo y del Consejo, de 23 de julio de 2014¹⁹, conocido comúnmente como Reglamento eIDAS²⁰, en su art. 3 del se definen los términos de la siguiente manera:

- «Identificación electrónica», el proceso de utilizar los datos de identificación de una persona en formato electrónico que representan de manera única a una persona física o jurídica o a una persona física que representa a una persona jurídica.

- «Autenticación», un proceso electrónico que posibilita la identificación electrónica de una persona física o jurídica, o del origen y la integridad de datos en formato electrónico.

Es decir, esta norma considera a la autenticación como un proceso electrónico que posibilita la identificación. De una manera informal o intuitiva, cabe explicar el concepto de identificación como el proceso por el cual se reconoce a un individuo particular dentro de un grupo, comparándose los datos del individuo que se desea identificar con los datos de cada individuo en el grupo (uno-a-varios). La verificación o autenticación sería el proceso de probar que es cierta la identidad reclamada por un individuo, comparándose los datos del individuo únicamente con los datos asociados a la identidad reclamada (uno-a-uno).

La consideración de categoría especial de datos debe interpretarse de manera amplia. El art. 9.1 del RGPD establece que categorías especiales de datos son aquellos que “revelen” cierto tipo de información. El concepto "revelen" debe entenderse en el sentido que, además de los datos que por su naturaleza contienen información sensible, también constituyen categorías especiales los datos de los que puede deducirse información sensible relativa a una persona. En apoyo de esta afirmación, se manifestó hace dos décadas²¹ la STJUE 8 6 noviembre 2003, Bodil Lindqvist, C-101/01²², “con relación al propósito de la Directiva de Protección de Datos²³, en relación con la expresión “datos relativos a la salud” el tribunal consideraba que debía tener una interpretación amplia para incluir la información concerniente a todos los aspectos, físicos y mentales, de la salud de un individuo”.

La concepción de los datos biométricos como categorías especiales de datos, debe tener en cuenta la posibilidad de que, mediante el análisis biométrico, se puedan inferir y recoger otras categorías especiales de datos y, en particular, datos relativos a la salud o datos que revelen el origen racial o étnico entre otros. La especial protección que establece el RGPD en su art. 9 a determinadas categorías de datos²⁴ deriva del impacto que el tratamiento de estos datos puede tener en los derechos fundamentales y libertades de las personas. Únicamente cabe excepcionar la prohibición de tratamiento de los datos de categoría especial cuando concurra alguna de las circunstancias que se especifican en el apartado 2 del art. 9 del RGPD. El responsable tiene la obligación de valorar muy seriamente y con diligencia si tiene una razón sólida para tratar categorías especiales que aparezca enumerada en dicho art. 9.2 del RGPD. El interés legítimo, la ejecución de un contrato o medidas precontractuales no se encuentran entre las excepciones enumeradas.

En el art. 9 del RGPD, apto. 2, letra b), se levanta la prohibición del tratamiento de categorías especiales de datos cuando “el tratamiento es necesario para el cumplimiento de obligaciones y el ejercicio de derechos específicos del responsable del tratamiento o del interesado en el ámbito del Derecho laboral y de la seguridad y protección social, en la medida en que así lo autorice el Derecho de la Unión de los Estados miembros o un convenio colectivo con arreglo al Derecho de los Estados miembros que establezca garantías adecuadas del respeto de los derechos fundamentales y de los intereses del interesado”.

Cabe indicar que la mención a la autorización por el Derecho de los Estados miembros de la UE debe entenderse referida, en el caso del Estado Español, a la existencia de una norma previsora de rango legal ²⁵en consonancia con lo dispuesto en el art. 53.1 de la Constitución Española, por tratarse del desarrollo de un derecho, el de la protección de datos personales, reconocido como derecho fundamental en el art.18.4 CE.

Por último, quedar poner de relieve que la conclusión del EDPB es totalmente contraria, a la que se alcanzó en octubre de 2023 por parte de la autoridad de protección de datos británica, Information Comissioner’s Office (ICO) que, consideró que si se proporciona un método alternativo para aquellos empleados que deseen optar por no usar datos biométricos, y los trabajadores no están en desventaja con dicha decisión, el consentimiento es la base legal más probable para aplicar al uso de datos biométricos para el control de acceso.

2.2. STJUE 22 junio 2023 C-579/21, Pankki

La STJUE de 22 de junio de 2023, C-579/21, Pankki ²⁶, pese a ser muy reciente su relevante doctrina ya ha sido retirada por el TJUE en varias ocasiones por incumplimiento de la normativa de protección de datos, mereciendo destacarse las SSTJUE 7 diciembre 2023 C-634/21 Land Hessen²⁷, 26 octubre 2023 C -307/2022 ²⁸.

La STJUE 22 junio 2023 C-579/21, resuelve la reclamación de un empleado y cliente del banco finés Suomalainen Pankki²⁹ que había detectado que por parte de personal de su empleadora se había accedido al registro del fichero de sus datos en la entidad financiera. Los datos de protocolo cuyo acceso fue denegado al trabajador correspondían a registros de actividades, en el sentido del art, 30 del RGPD y, posteriormente, fue despedido. En el procedimiento prejudicial³⁰ se cuestiona el alcance del derecho de acceso a la información del RGPD, art. 4 y 15, en sus apartados 42 a 46. El TJUE secciona varios términos que considera claves y son los siguientes:

- La expresión toda información en la definición del concepto de datos personales, del art. 4.1 RGPD, pone de relieve que el objetivo del legislador de la UE de atribuir al término un significado muy amplio, que puede abarcar todo género de información, tanto objetiva como subjetiva, en forma de opiniones o apreciaciones, siempre que sean sobre la persona en cuestión³¹; una información se refiere a una persona física identificada o identificable cuando, debido a su contenido, finalidad o efectos, la información está relacionada con una persona identificable.

-El carácter identificable³² de una persona, supone que una definición amplia del concepto de datos personales que abarca los datos recabados y conservados por el responsable del tratamiento, e incluye toda la información resultante de un tratamiento de datos personales que se refiera a una persona identificada.

-El concepto de tratamiento, tal como se regula en el art. 4, punto 2, del RGPD, supone cualquier operación, esto significa productos aplicados a datos personales o conjuntos de datos personales, que comprenden, entre otras cosas, la recogida, el registro, la conservación o incluso la consulta.

La primera cuestión prejudicial que se plantea es en relación con el ámbito de aplicación temporal del RGPD. Se considera aplicable la normativa a la solicitud de acceso a la información del empleado del banco Pankki ya que, aunque las operaciones de tratamiento a que se refiere la solicitud se habían efectuado antes de la fecha en que empezó a ser aplicable el RGPD, la solicitud del trabajador se presentó después su entrada en vigor.

Respecto a la doble condición de persona trabajadora y cliente de un banco que el tribunal que plantea la cuestión prejudicial había preguntado si influía como exención del deber de información, el TJUE responde que no concurre, así declara en el hecho de que el responsable del tratamiento desarrolle un negocio bancario en el marco de una actividad reglada y de que la persona cuyos datos personales fueron tratados en su condición de cliente del responsable del tratamiento también fuera empleada de ese responsable no influye, en principio, en el alcance del derecho del que goza esa persona en virtud de la citada disposición³³.

El TJUE afirma que el art. 30, apartado 4, del RGPD regula que se pondrán a disposición de la autoridad de control que lo solicite cuestión que en el supuesto enjuiciado que no se cumplió. El empleado del banco Pankki tenía derecho a la información relativa a las operaciones de consulta de sus datos personales, a las fechas y a los fines de estas operaciones, porque tal extremo constituye información que tiene el derecho a obtener del responsable del tratamiento según el RGPD. Por el contrario, a la información relativa a la identidad de los empleados que llevaron a cabo esas operaciones, no se tiene derecho salvo que excepción concurra³⁴.

2.3. Tribunal Supremo

2.3.1. Precedentes

La doctrina de la Sala III de la STS 2 de julio de 2007³⁵ recoge lo siguiente:” La novedad o complejidad de un sistema de biometría, no lo convierte en lesivo de los derechos fundamentales y que el recurso a la tecnología escogida es plenamente admisible al no haber norma que lo prohíba, no se aportan elemento alguno que pruebe que dicho sistema fuera nocivo para la salud”.

En el orden social, la STS 19 diciembre 2005³⁶ anuló un sistema de biometría en la empresa por haberse saltado el trámite de audiencia al comité de empresa, mientras que la STS 16 septiembre 2015³⁷ se pronunció sobre la pausa del bocadillo de veinte minutos, tras la implantación de un sistema de biometría por huella dactilar, que había sustituido a un sistema anterior de acceso al trabajo por tornos, pero no cuestionó el nuevo mecanismo de control, porque el conflicto colectivo versaba sobre la pérdida de ese tiempo como parte de la jornada de trabajo. Por último, la STS 2 febrero 2017³⁸ válida la utilización por parte de un gimnasio de cámaras de videovigilancia al conocer el trabajador su existencia en el centro de trabajo, como dato curioso, hay que mencionar que todos los socios del establecimiento accedían al mismo por biometría. Estos ejemplos, nos ponen de relieve que la cuestión que nos ocupa, no se ha enjuiciado por la Sala IV del TS como principal, desde el punto de vista de la posible lesión de esos datos biométricos a los derechos fundamentales del trabajador. Pero los pronunciamientos ut infra, validan mecanismos de registro de jornada favorables al trabajador y no intrusivos, por lo que no resulta arriesgado afirmar que el TS, aún sin haberse pronunciado de manera expresa como sin duda hará, opta por otros medios más suaves, en consonancia con la doctrina TJUE, como el Alto Tribunal recoge.

2.3.2. Caso Zurich

La STS 5 abril 2022³⁹ confirma la SAN 29 octubre 2019⁴⁰ y declara válido el pacto suscrito entre empresa y la mayoría sindical se acuerda que el registro de la jornada consista en el acceso por parte de la persona trabajadora al ordenador asignado introduciendo el usuario o al conectarse a la red vía VPN. Además, se aplica un factor corrector genérico, de 2 horas/día en jornada partida y 30 minutos/día en jornada continuada, para contemplar descansos, pausa para la comida y/o desayuno, permisos no retribuidos, cualquier clase de pausa o descanso, etc.

2.3.3. Caso CECA

La STS 18 enero 2023⁴¹ considera que cumple los requisitos de ser objetivo, fiable y accesible el auto registro telemático de la jornada implantado por la Confederación Española de Cajas de Ahorros (CECA) conforme exige la STJUE 14 mayo 2019 (asunto C-55/18). Es acorde con la normativa que sea el propio trabajador el que haya de reflejar diariamente en la aplicación informática de la empresa las horas de inicio y finalización de la jornada de trabajo, las interrupciones y periodos de descanso, pues lo riesgos potenciales que se invocan no pueden erigirse como determinantes de la validez del sistema, teniendo en cuenta las particularidades propias de cada sector de actividad e incluso las especificidades de determinadas empresas. En consecuencia, se valida, el acuerdo de registro de jornada entre empresa y sindicatos firmantes del convenio sobre el modelo auto declarativo, al considerarlo objetivo y fiable (SAN 9 diciembre 2020⁴²).

2.4. Autoridad Catalana de Protección de Datos

El Dictamen 2/2022⁴³, de la Autoridad Catalana de Protección de Datos⁴⁴, recoge que el consentimiento del personal no puede considerarse una base jurídica adecuada para la implantación de un sistema de control horario mediante reconocimiento facial, porque dado que no puede considerarse que en el caso planteado pudiera existir un consentimiento realmente libre. En cualquier caso, La Autoridad Catalana considera que antes de la implantación de un sistema de estas dimensiones, es preciso hacer una evaluación del impacto sobre la protección de datos a la vista de las circunstancias concretas en que se lleve a cabo el tratamiento para determinar la licitud y la proporcionalidad, incluida el análisis de la existencia de alternativas menos intrusivas, y establecer las garantías adecuadas que “la afectación por el derecho a la protección de datos que se derive de la norma debe ser previsible” y que “no se puede considerar previsible la norma si no concreta la posibilidad de utilizar datos biométricos con el fin de realizar el control horario”.

2.5. Consejo de Transparencia y Protección de Datos de Andalucía

El Consejo de Transparencia y Protección de Datos de Andalucía, en su Dictamen 1/2023⁴⁵, “Relativo al tratamiento de categorías especiales de datos biométricos mediante el uso de dispositivos de reconocimiento facial y/o huella dactilar para el control horario del personal de un Ayuntamiento”, concluye que en la actual normativa legal española no se contiene autorización suficientemente específica alguna para considerar necesario el tratamiento de datos biométricos con la finalidad de un control horario de la jornada de trabajo.

III. GUÍA DE LA AEPD SOBRE TRATAMIENTOS DE CONTROL DE PRESENCIA MEDIANTE SISTEMAS BIOMÉTRICOS NOVIEMBRE 2023

La Resolución AEPD de 21 de julio de 2022 del expediente 218/2021⁴⁶ declaró que la instauración de un sistema de registro diario de jornada laboral de los empleados a través de técnica de reconocimiento facial no era acorde al art. 18. 4 CE. La AEPD destacaba que en que no se trataba del primer tipo de reclamación que, por la técnica de biometría, habiendo resuelto algunas. Sin embargo, si era la primera vez que la cuestión estaba relacionada con el tratamiento de datos como entidad empleadora que decide utilizar el registro y almacenamiento de datos originados por el RF para la finalidad de registro diario de jornada laboral. Y concluía que el control horario de la jornada laboral diaria sólo alcanza a la obligación de realizarla, pero no a realizarla utilizando datos biométricos, y su uso, sin causa de excepción para el tratamiento,

Los precedentes anteriores han llevado a la AEPD a replantearse la situación y a la publicación en noviembre de 2023 de la guía AEDP sobre Tratamiento de control de presencia mediante sistemas biométricos⁴⁷ con la que modifica el anterior criterio de 2021, basándose en que no es obligatorio, ni recomendable, que la implementación de un tratamiento, se limite exclusivamente a la selección de recursos tecnológicos.

Entre las opciones de establecer un determinado tratamiento hay que considerar, entre otros, la utilización de recursos humanos, las garantías jurídicas y los procedimientos organizativos, en definitiva, se aboga por la introducción de un factor humano frente a una automatización del control de accesos en el puesto de trabajo. Cabe preguntarse la razón del cambio de criterio de la AEPD que se justifica en una relectura y replanteamiento del RGPD y fundamentalmente en los siguientes preceptos:

-Art. 9.2.b

Con relación al tratamiento en el ámbito del Derecho laboral y de la seguridad y protección social, no solo exige que exista una habilitación legal o convenio colectivo, sino que impone en primer término el requisito de que el tratamiento sea “necesario”.

-Art. 9.2.b

En todo caso, dicha ley -o convenio colectivo- que establece el tratamiento deberá respetar el principio de proporcionalidad,

-Art. 9.2.a

En relación con la excepción de control de presencia para registro de jornada, control de acceso con fines laborales o no, cabría considerar el levantamiento de la prohibición del tratamiento de datos biométricos por concurrencia de la prestación del consentimiento explícito por parte del interesado para el tratamiento de dichos datos personales con uno o más de los fines especificados. En el caso del registro de jornada laboral, como el interesado tiene la obligación de registrar su jornada, únicamente podría considerarse la existencia de un consentimiento libre a un tratamiento adicional de datos, en este caso biométricos, si el interesado dispone de una alternativa de libre elección para cumplir con dicha obligación. Cuando existan opciones realmente equivalentes y disponibles para todos los trabajadores, se podría estudiar si el consentimiento fuese válido, cumpliendo con los requisitos del art. 4.11 del RGPD y el resto de las condiciones del art. 7 del RGPD. Sin embargo, y respecto de este requisito de la posible “equivalencia de los tratamientos” hay que tener en cuenta que, si existen alternativas disponibles al tratamiento de datos biométricos que impliquen menor riesgo para los derechos y libertades de las personas cuyos datos personales se van a tratar, que permitan que en un momento dado todos los trabajadores opten por otras alternativas, el procesamiento de datos biométricos deja de ser necesario para la implementación del tratamiento. Al no ser necesario el tratamiento de datos biométricos, no se estaría cumpliendo con lo establecido en el art. 5.1.c del RGPD. Por lo tanto, en un tratamiento de registro de jornada implementado con técnicas biométricas el consentimiento del interesado no levanta la prohibición del tratamiento, con carácter general, al existir una situación en la que existe un desequilibrio con el responsable del tratamiento, como ocurre en el ámbito de una relación laboral (o administrativa/funcionarial), y no superaría la evaluación de necesidad, requisito para tratamientos de alto riesgo. Un tratamiento de alto riesgo requerirá del responsable la superación, previa al inicio de tratamiento, de la evaluación de impacto relativa a la protección de datos establecida en el art. 35 del RGPD.

Para concluir, la Agencia recuerda que es indispensable que, con carácter previo a cualquier decisión de implantación de un sistema de control de presencia a través de sistemas biométricos, debe realizarse una Evaluación de Impacto para la Protección de Datos que incluya y también supere el principio de proporcionalidad superando los subprincipios de idoneidad⁴⁸, necesidad⁴⁹ y proporcionalidad en sentido estricto⁵⁰.

IV. ¡ADVERTENCIA!

La Guía sobre tratamientos de control de presencia mediante sistemas biométricos supone un nuevo criterio de la AEPD, tendrá un impacto significativo en las empresas que hayan optado por implementar sistemas biométricos para supervisar la presencia de sus trabajadores ya que justificar tales datos siendo de alto riesgo es una tarea harto difícil, sino imposible, por lo que, sin duda, se recomienda un cambio en el sistema de control de la jornada cambiando el biométrico por otro menos intrusivo.