La Resolución EXP202304834 de la Agencia Española de Protección de Datos (AEPD) aborda un caso de tratamiento de datos biométricos y el uso de sistemas de videovigilancia por parte del Colegio Notarial de Aragón para el control horario y de acceso de sus trabajadores. La AEPD analiza la legalidad del tratamiento conforme al Reglamento General de Protección de Datos (RGPD), la Ley Orgánica 3/2018 (LOPDGDD) y otras normas complementarias aplicables al ámbito laboral.
A continuación, se realiza un análisis exhaustivo y objetivo de los hechos, los fundamentos jurídicos y las conclusiones de la AEPD, exponiendo también sus posibles consecuencias en el ordenamiento jurídico y la práctica empresarial.
1. Antecedentes del caso
La actuación de la AEPD tiene su origen en una reclamación presentada el 7 de marzo de 2023 por un trabajador del Colegio Notarial de Aragón (en adelante, el “Colegio”). Los hechos denunciados fueron:- La implantación de un sistema de control horario basado en la huella dactilar de los trabajadores sin haber realizado, según el reclamante, una adecuada evaluación de impacto en protección de datos.
- La instalación de cámaras de videovigilancia en zonas que el trabajador consideraba de uso exclusivo para empleados.
- La finalidad del sistema biométrico era controlar el horario y garantizar el cumplimiento de las obligaciones laborales, conforme al Real Decreto-Ley 8/2019 sobre registro horario.
- El sistema de videovigilancia se instaló por razones de seguridad y no afectaba espacios exclusivos de los trabajadores.
- Se realizó una evaluación de impacto que concluyó que el tratamiento era necesario y proporcional.
2. Cuestión jurídica
La AEPD debió determinar:- Si el tratamiento de datos biométricos por parte del Colegio cumplió con las disposiciones del RGPD, en particular con el artículo 9, que regula las categorías especiales de datos.
- Si la instalación de cámaras de videovigilancia respetó los principios de legalidad, minimización y proporcionalidad exigidos por el RGPD y la LOPDGDD.
3. Análisis del tratamiento de datos biométricos
3.1. Naturaleza de los datos biométricos
El artículo 4.14 del RGPD define los datos biométricos como aquellos obtenidos mediante un tratamiento técnico específico relativos a características físicas, fisiológicas o conductuales que permiten la identificación unívoca de una persona. En el presente caso:- El sistema instalado por el Colegio utilizaba la huella dactilar para registrar las entradas y salidas de los trabajadores.
- El almacenamiento se realizaba en forma de plantillas biométricas cifradas, imposibilitando la obtención de la imagen real de la huella.
3.2. Prohibición general y excepciones del artículo 9 RGPD
El artículo 9.1 del RGPD establece la prohibición general de tratar datos biométricos salvo que concurran alguna de las excepciones del artículo 9.2. El Colegio alegó que el tratamiento se justificaba por la excepción recogida en el artículo 9.2.b (cumplimiento de obligaciones laborales). La AEPD, sin embargo, argumenta:- El uso de sistemas biométricos debe ser necesario y proporcional.
- El Colegio no demostró que otras alternativas menos intrusivas, como tarjetas o códigos, no fueran viables.
- El principio de minimización (artículo 5.1.c del RGPD) exige limitar el tratamiento a los datos estrictamente necesarios para la finalidad perseguida.
3.3. Evaluación de impacto en protección de datos (EIPD)
El artículo 35 del RGPD establece la obligación de realizar una evaluación de impacto cuando un tratamiento entrañe un alto riesgo para los derechos y libertades de las personas. El Colegio alegó haber realizado una EIPD previa, pero la AEPD considera que:- La EIPD no justificó adecuadamente la necesidad del sistema biométrico.
- No se evaluaron de forma suficiente alternativas menos intrusivas.
4. Análisis de las cámaras de videovigilancia
La AEPD también analizó la instalación de cámaras de videovigilancia en el Colegio. Los puntos clave de su análisis son:- Finalidad del tratamiento: el Colegio justificó la instalación por razones de seguridad de personas e instalaciones.
- Ubicación de las cámaras: la AEPD verificó que las cámaras no grababan zonas de uso exclusivo de los trabajadores (vestuarios, zonas de descanso, etc.).
- Deber de información: el Colegio cumplió con el artículo 12 del RGPD, colocando carteles informativos visibles que indicaban la existencia del sistema y los derechos de los interesados.
5. Conclusiones de la AEPD
Tras el análisis de los hechos y los fundamentos jurídicos, la AEPD concluye lo siguiente:- Tratamiento de datos biométricos: el uso del sistema de control horario basado en la huella dactilar no se ajustó a las exigencias del RGPD, al vulnerar:
- El artículo 9.1 (prohibición del tratamiento de categorías especiales de datos).
- El principio de minimización (artículo 5.1.c del RGPD).
- La obligación de justificar la necesidad y proporcionalidad del tratamiento.
- Cámaras de videovigilancia: el sistema instalado cumple con la normativa aplicable, al estar justificado por razones de seguridad y respetar los principios de información y proporcionalidad.
6. Consecuencias jurídicas y prácticas
La resolución de la AEPD tiene importantes implicaciones:6.1. Para las organizaciones
- Se refuerza la necesidad de evaluar alternativas menos intrusivas antes de implementar sistemas biométricos.
- Las organizaciones deben justificar de manera rigurosa la necesidad y proporcionalidad del tratamiento de datos biométricos.
- La realización de una evaluación de impacto es obligatoria para este tipo de tratamientos.
6.2. Para los trabajadores
- Se garantiza una protección reforzada de los datos biométricos, al considerarse categorías especiales de datos.
- Se reafirma el derecho de los trabajadores a un control horario menos invasivo.
6.3. Impacto en la jurisprudencia
- La resolución sienta un precedente relevante en la interpretación del artículo 9 del RGPD y los principios de minimización y proporcionalidad.
- Refuerza las recomendaciones de la AEPD sobre el uso de tecnologías biométricas en el ámbito laboral.