En noviembre de 2023 la AEPD publicó una guía sobre la utilización de datos biométricos para el control de presencia y acceso en el ámbito laboral. En este documento, básicamente, se prohibió el uso de sistemas biométricos para llevar a cabo el registro horario de la jornada, así como el control de acceso a las instalaciones.
Esta ‘casi’ prohibición se basó en dos pilares: i) la superación del principio de proporcionalidad y ii) la existencia de una base legítima para este tratamiento.
En cuanto a la superación del principio de proporcionalidad el simple hecho de contar con alternativas menos invasivas, o lights, como las tarjetas magnéticas, los códigos o, incluso, el registro manual hace que la biometría nunca sea proporcional en relación con el fin perseguido. Por otro lado, tampoco existe, actualmente (a excepción de un convenio colectivo empresa/trabajadores que lo contemple expresamente), ninguna base que legitime este tipo de tratamiento. Pues el consentimiento explícito, que es la única base legal que podría valer se entiende como viciado atendiendo a la posición de superioridad de la empresa frente al trabajador.
Siete meses después de esa guía ya van sucediéndose las primeras sanciones al respecto. Multas cuyos importes son bastante significativos. En concreto, se ha sancionado a la empresa CTC Externalización con 365.000 euros por: i) por no realizar, tratándose de un tratamiento de categorías especiales de datos con el uso de nuevas tecnologías, una Evaluación de Impacto de Protección de Datos (EIPD) -100.000 euros-; ii) por no aplicar las medidas de seguridad adecuadas, pudiendo acceder a los datos usuarios sin privilegios para ello (65.000 euros) y, finalmente, iii) por no haber informado a los/as empleados/as respecto del tratamiento mencionado más allá de un simple correo electrónico que comunicaba la actualización de las políticas de protección de datos de la empresa (200.000 euros).