El Juzgado de lo Social nº 2 de Alicante sanciona a una empresa por utilizar el reconocimiento facial como método de fichaje sin consentimiento de los empleados para la utilización de sus datos biométricos.

El juez ha determinado que la empresa no puede obligar a utilizar un sistema de control de jornada basado en reconocimiento facial sin la previa autorización de los empleados, debido a que requiere la utilización de sus datos biométricos. En la sentencia,  emitida el 15 de septiembre, la empresa no proporcionó alternativas para el registro de la jornada laboral y no evaluó el impacto en la protección de datos.

El trabajador en cuestión firmó un formulario de «Consentimiento para la recogida y tratamiento de datos personales», la hoja autorizaba a la empresa al uso de sus derechos de imagen para la publicaciones en páginas web, redes sociales, campañas, publicidad,etc. Todo ello para la difusión y promoción de la empresa, por lo que únicamente cedió su imagen para dicho tratamiento.

La empresa utiizó las imágenes obtenidas para un dispositivo de fichaje de entrada y salida del puesto de trabajo. or ello, el trabajdor interpuso una reclamación ante la Agencia Española de Protección de Datos. Todo ello sin informar al trabajador sobre el uso de sus datos biométricos.

Como resultado de esta situación, la AEPD impuso una multa de 12.000 euros a la empresa por el tratamiento inadecuado de los datos personales del trabajador.

La falta de consentimiento informado

A pesar de que el empleado había firmado el consentimiento para el uso de derechos de imagen con fines promocionales, no se obtuvo un consentimiento informado para el uso de datos biométricos en el registro de jornada. Además, a empresa no llevó a cabo la evaluación necesaria del impacto de dichos datos. Finalmente, el trabajador también señaló una desproporción entre la falta de información y la aplicación práctica del sistema. 

Por dichos motivos, el afectado ejercitó posteriormente la acción especial de tutela, invocando el derecho a la intimidad y a la propia imagen, al considerar que no hubo consentimiento informado del trabajador para el uso de sus datos personales.

Requisitos de proporcionalidad para el uso de datos biométricos

Para el tratamiento de los datos biométricos, es encesario realizar una valoración escricta de la necesidad y la proporcionalidad de los datos, para ello, la sentencia recuerda una serie de criterios: 

• La necesidad. El tratamiento debe ser estrictametne necesario, no basta con que se trate del método más sencillo o rentable para la empresa. 
• La eficacia. Las medidas aplicables deben ser eficaces, en relación a las características de la tecnología biométrica.
• La ponderación. El tratamiento de datos biométricos debe ponderarse con la intromisión en el derecho de intimidad de los trabajadores.
• Inexistencia de medios menos invasivos. No deben haber otros medios menos lesivos para la intimidad.

La empresa en cuestión no ofreció alternativas al trabajador. Sin embargo, sí lo hizo para dos trabajadoras gemeleas, se les proporcionó una tarjeta de identificación. Por lo que, podemos comprobar que los requisitos de proporcionalidad no se cumplen.

¿El sistema de reconocimiento facial implica el tratamiento de datos biométricos?

El artículo 4.14 del RGPD define los datos biométricos como «datos personales obtenidos a partir de un tratamiento técnico específico, relativos a las características físicas, fisiológicas o conductuales de una persona física que permitan o confirmen la identificación única de dicha persona, como imágenes faciales o datos dactiloscópicos». Por lo tanto, al partir de una fotografía, sí entra en el ámbito de reconocimiento biométrico.

La cuestión viene suscitada por una alegación que realizó el técnico proveedor del software, al considerar que simplemente se comparaba un algoritmo. Según el artículo mencionado, todo tratamiento relacionado con las características físicas de una persona que permita su identificación se considera biométrico.

Por ello, el juez impone una multa de 6.251 euros, al considerar que que los hechos constituyen una intromisión ilegítima en el derecho de intimidad del trabajador. Se trata de una sanción recogida en el artículo 40 de la LISOS.