A través del Real Decreto-ley 8/2019, de 8 de marzo, de medidas urgentes de protección social y de lucha contra la precariedad laboral en la jornada de trabajo el legislador impuso la obligación legal que las empresas tuvieran que registrar las jornadas laborales de sus trabajadores con el fin de luchar contra la precariedad laboral y la realización de horas extras sin que éstas sean pagadas.
Una obligación más que supone que las empresas tengan que poner en marcha de manera interna mecanismos para recoger de forma clara, concisa y sin engaños, los distintos turnos de entrada y salida de sus trabajadores. Muchas organizaciones empresariales han estado usando la convencional “hoja de firmas”, donde el trabajador de forma individual o colectiva, se encontraba recogido en la misma, y solo tenía que incorporar su firma. Pues bien, este mecanismo ya no es válido conforme a la Sentencia, de 15 de febrero de 2022, de la Sala de lo Social de la Audiencia Nacional por la que se ha considerado inválido el registro de una empresa que hacía a sus trabajadores firmar en un papel al comienzo de la jornada al ser un medio violable.
¿Qué papel tienen las empresas?
Ahora bien, las empresas tienen que incorporar otros medios e instrumentos para realizar dicho control horario, sin que éste pueda ser violable y cumpla las característica de la legislación y la citada sentencia de la Audiencia Nacional. Muchas empresas han empezado a utilizar determinados sistemas biométricos, sobre todo a través de la huella digital, para recoger la jornada laboral de sus trabajadores, pero, ¿Es realmente legal la utilización de la huella dactilar para el registro de la jornada laboral?. Es una pregunta que tiene varias respuesta. Cabe recordar que conforme a lo establecido en el artículo 9 del Reglamento General de Protección de Datos 2016/679, el tratamiento de datos biométricos supone el tratamiento de datos de categoría especial, información protegida de una manera mayor debido a los peligros y riesgos que puede suponer los derechos y libertades fundamentales de los/as interesados/as.
¿Qué debe tener en cuenta una empresa para incorporar un sistema biométrico en su organización?. Principalmente dos principios fundamentales; el principio de proporcionalidad y de intervención mínima. Dos principios en los que ha insistido mucho la Agencia Española de Protección de Datos durante los últimos meses en numerosos procedimientos sancionadores sobre el objeto de este artículo. La legitimación para el tratamiento de la huella dactilar para el control de los trabajadores por parte del empleador debemos buscarlo en el artículo 9 y 6 del Reglamento General de Protección de Datos. La implantación e integración de un sistema de control horario basado en la huella dactilar por parte de una empresa, ha de ser informado a los empleados de manera completa, clara y concisa, cumpliendo siempre lo establecido en el artículo 13 del RGPD. La instalación de un sistema de control basado en la recogida y tratamiento de la huella dactilar de los empleados implica el tratamiento de sus datos personales puesto que dato personal es toda aquella información sobre una persona física identificada o identificable de conformidad con el artículo 4.1 del RGPD.
¿A dónde acudimos para establecer los datos?
Tenemos que acudir al Considerando 51 y 52 del RGPD donde se establece el carácter restrictivo de los datos de categoría especial. Pese a que sean considerados datos sensibles, su utilización para fines laborales estaría amparadas por el artículo 9 del RGPD. El tratamiento sería lícito y no requeriría el consentimiento de los trabajadores, cuando el tratamiento de datos se realice para el cumplimiento de relaciones contractuales de carácter laboral.
Existe la posibilidad de utilizar sistemas basados en datos biométricos para llevar a cabo el control de acceso y horario, aunque tampoco parece que sea o deba ser el único sistema que puede ser usado. Existen otros medios menos invasivos como: el uso de tarjetas, personales, la utilización de códigos personales, la visualización directa del punto de marcaje, aplicación etc., que pueden constituir, por sí mismos o en combinación con alguno de los otros sistemas disponibles, medidas igualmente eficaces para llevar a cabo el control. Con carácter previo a la decisión sobre la puesta en marcha de un sistema de control a través de datos biométricos, se debería realizar una Evaluación de Impacto relativa a la Protección de Datos para evaluar tanto la legitimidad del tratamiento y su proporcionalidad como la determinación de los riesgos existentes y las medidas para mitigarlos de conformidad con lo señalado en el artículo 35 RGPD.
La protección de datos desde antes del tratamiento
Conforme a lo establecido en el Dictamen 3/2012 del Grupo de Trabajo del artículo 29, el tratamiento también deberá ser adecuado, pertinente y no excesivo en relación con dicha finalidad. Por tanto, los datos biométricos que no sean necesarios para esa finalidad deben suprimirse y no siempre se justificará la creación de una base de datos biométricos.
En diferentes resoluciones de la Agencia Española de Protección de Datos se establece que se tiene que acreditar la necesidad del tratamiento de datos a través del registro de huellas y proporcionalidad para el cumplimiento de la obligación legal del registro de jornada. Se considera que pueden existir sistemas alternativos que cumplen con los principios de proporcionalidad, necesidad y minimización en el tratamiento de datos. Las las empresas y organizaciones que decidan apostar por este sistema, necesitarán demostrar altos niveles de responsabilidad proactiva y diseño por defecto de Protección de Datos desde antes del tratamiento, incluyendo el hecho de ser capaces de justificar que el sistema utilizado es necesario, proporcionado en cada contexto específico en el que se va a implementar y acreditar que medidas técnicas menos intrusivas no existen o no funcionarían.
Según la Guía 3/2019 del Comité Europeo de Protección de Datos la utilización de datos biométricos y, en particular, el reconocimiento facial conlleva riesgos mayores para los derechos de los interesados. Es fundamental que el recurso a dichas tecnologías tenga lugar respetando los principios de legalidad, necesidad, proporcionalidad y minimización de los datos establecidos en el RGPD.
En definitiva se puede indicar que las Autoridades de Control, y especialmente la Agencia Española de Protección de Datos prefieren la utilización de otros medios, que no sean el sistema biométrico, para registrar la jornada laboral. Prueba de ellos son los distintos procedimientos sancionadores que se han dado a lo largo de estos meses, como: EXP202209921 (12.000 €), PS/00050/2021 (20.000 €), PS/00131/2020 (apercibimiento) o el PS/00128/2020 (apercibimiento).
No te pierdas toda la actualidad en Protección de Datos & Cumplimiento Normativo de la mano de los mejores profesionales del sector en nuestro Máster Profesional en Dirección de Compliance & Protección de Datos
