Por Jesús Lahera Forteza, catedrático de Derecho del Trabajo de la Universidad Complutense de Madrid (UCM) y consultor de Abdón Pedrajas Littler.- El art.34.9 ET obliga a todas las empresas a diseñar sistemas de registro horario diario, declarando que “mediante negociación colectiva o acuerdo de empresa o, en su defecto, decisión del empresario previa consulta con los representantes legales de los trabajadores en la empresa, se organizará y documentará este registro de jornada”. La imposición del registro horario no va acompañada, en consecuencia, de una regulación legal de los medios de control, ni existe ninguna conexión con la legislación europea y nacional de protección de datos personales. El art. 20.3 ET es amplio al establecer que la empresa pueda adoptar “las medidas que considere más oportunas de vigilancia y control” de las obligaciones laborales contractuales.
La guía de aplicación empresarial del registro horario, que elaboró, en su momento, el Ministerio de Trabajo (2019) y que carece de eficacia jurídica, abre también la posibilidad de utilizar cualquier medio o herramienta, analógica, telemática o digital, que sea fiable, con el debido respeto, en los dispositivos digitales, geolocalización o videovigilancia, a los derechos fundamentales de los trabajadores conforme al art. 20 bis ET, que reenvía a la Ley 3/2018 de protección de datos personales y derechos digitales (LOPD arts. 87-90).
Es en este contexto donde se plantea la utilización de la huella dactilar como herramienta del registro horario del art.34.9 ET y de control de la jornada laboral del art.20.3 ET. En apariencia, parecería que la empresa puede utilizar esta herramienta, con esta legislación tan abierta. Más aún cuando la STS 2 de julio de 2007, Sala 3ª, (Rec.5017/2003) lo avalaba sin consentimiento del trabajador y la Agencia de Protección de Datos (APD) no lo cuestionaba en determinados sistemas donde este dato biométrico no era almacenado, como en tarjetas digitales con huella dactilar (Informe APD 0324/2009).
La entrada en vigor del Reglamento Europeo de Protección de Datos Personales 2016/679 (RPD), que cataloga los datos biométricos, entre ellos la huella dactilar, como categoría especial (art.4.2 y 14 y 9) en supuestos de identificación de la persona física, alertó ya de los riesgos de uso de esta herramienta en el registro horario. La diferencia entre identificación (uno a varios) y autenticación (uno a uno) biométrica podía solventar estos riesgos, pero finalmente la APD, en línea con el criterio del Comité Europeo de Protección de Datos Personales, ha terminado por declarar que la huella dactilar en el registro horario empresarial vulnera, en el actual marco normativo, la protección de datos personales del trabajador.
Efectivamente, la reciente Guía de la APD sobre el tratamiento de control de presencia mediante sistemas biométricos (Noviembre 2023), que analiza directamente el uso de huellas dactilares en registros horarios, declara esta vulneración, partiendo de la base de categoría especial de estos datos. El art. 9.2 RPD abre un espacio al tratamiento de datos biométricos, bajo cobertura legal expresa, consentimiento y minimización de datos, que no se cumple en nuestra legislación de registros horarios. Esta guía argumenta esta conclusión con tres razonamientos:
- La normativa española vigente no contiene autorización legal expresa para utilizar datos biométricos, incluida la huella dactilar, con la finalidad de control de la jornada laboral. Los antes expuestos arts.34.9 y 20.3 ET no dan cobertura legal expresa a esta herramienta de registro horario, como tampoco lo hace la LOPD.
- El consentimiento de la persona trabajadora no puede levantar la prohibición de tratamiento de una categoría especial de datos personales como es la huella dactilar, al existir un desequilibrio entre las partes del contrato de trabajo, y no existir cobertura legal de uso de esta herramienta.
- En el supuesto de existir cobertura legal de uso, el respeto al principio de minimización de datos de las categorías especiales, como los datos biométricos, hace muy difícil su aceptación, porque la huella dactilar revela otros aspectos personales protegidos.
No es una herramienta necesaria ni idónea ni proporcionada en el control horario de los trabajadores. Resulta muy difícil acreditar que sistemas que evitan el tratamiento de datos biométricos – tarjetas, certificados, claves … – no son suficientes para acreditar el registro horario, siendo imprescindible utilizar huellas dactilares.
No cabe ya, en consecuencia, diferenciar entre identificación y autenticación del dato biométrico y queda claro que el criterio actual de la APD es que la huella dactilar, o cualquier dato dentro de esta categoría especial, vulnera la protección de datos personales de los trabajadores así controlados. En ambos casos existe un tratamiento prohibido por el RPD.
Estas consideraciones afectan a los convenios o acuerdos colectivos que contemplan la huella dactilar como medio de registro horario. La negociación colectiva no puede ofrecer cobertura de un tratamiento prohibido de datos personales.
Se debe alertar a las empresas que utilizan huellas dactilares u otro tipo de dato biométrico en los registros horarios de los trabajadores que están expuestas a sanciones muy cuantiosas de la AEPD aplicando esta nueva doctrina oficial. No se ha establecido ningún plazo de adaptación, por lo que el riesgo económico es inmediato. La ilicitud de cualquier tratamiento de datos personales, como es el caso, conlleva, en el marco del RPD, altísimas multas de millones de euros, sin que el pago legitime el uso de un medio de control prohibido. Tampoco hay que descartar que se pudieran plantear acciones indemnizatorias de trabajadores perjudicados por vulneración de datos personales, lo que incrementa el riesgo económico.
Por todo ello, se recomienda a las empresas que utilizan estos sistemas corregir esta práctica y evitar las consecuencias económicas negativas que implica esta nueva doctrina de la AEPD.
