El nuevo criterio de la Agencia sobre el tratamiento de control de presencia mediante sistemas biométricos

El artículo 9.2.b) del RGPD, levanta la prohibición del tratamiento de categorías especiales cuando “el tratamiento es necesario para el cumplimiento de obligaciones y el ejercicio de derechos específicos del responsable del tratamiento o del interesado en el ámbito del Derecho laboral y de la seguridad y protección social,  o un convenio colectivo con arreglo al Derecho de los Estados miembros que establezca garantías adecuadas del respeto de los derechos fundamentales y de los intereses del interesado”.

Y al respecto, para levantar la prohibición, la AEPD analiza dos cuestiones: la previsión legal y la necesidad del tratamiento.

En cuanto a la previsión legal, la Agencia señala que la normativa legal actual en España no incluye una autorización lo suficientemente específica que justifique la necesidad de tratar datos biométricos con el propósito de llevar a cabo un control horario de la jornada laboral.

No obstante, la habilitación legal del artículo 9.2.b) del RGPD establece una alternativa, a la que ya hacía mención el Dictamen 2/2022 de la Autoridad Catalana de Protección de Datos y, citado por la propia Agencia en su guía: la previsión de dicha habilitación en el ámbito de un convenio colectivo, siempre que establezca las garantías adecuadas del respeto de los derechos fundamentales y de los intereses del interesado.

Siguiendo con el análisis del artículo 9.2 b), la AEPD hace una interpretación, a nuestro criterio excesivamente amplia, del ejercicio que debe llevarse a cabo antes de implementar cualquier sistema, en cuanto a la necesidad de dicho tratamiento para la consecución de la finalidad pretendida, en el sentido de que no haya otro medio igual de eficaz y menos intrusivo. Ejercicio que recae en el responsable del tratamiento, que tiene la obligación de justificar por qué ya no es factible utilizar los sistemas de registro de presencia que se empleaban hasta ese momento. Además, debe fundamentar por qué el uso de otros sistemas existentes, como tarjetas, claves, sistemas contact-less, etc., que evitan el tratamiento de categorías especiales de datos, no resulta adecuado.

En definitiva, cuestiona la necesidad de la implantación del tratamiento de datos biométricos, al existir otros medios alternativos que, en ocasiones complementándose con intervención humana, puedan razonablemente lograr la finalidad pretendida, evitando que el responsable se ampare únicamente en tendencias tecnológicas.

El artículo 9.2.a) del RGPD, levanta la prohibición del tratamiento de categorías especiales cuando el interesado dio su consentimiento explícito para el tratamiento de dichos datos personales. En este supuesto para levantar la prohibición, la AEPD, además de analizar el consentimiento en el entorno laboral, vuelve a hacer hincapié en el concepto necesidad con una interpretación restrictiva de su acepción.

De acuerdo con las Directrices 5/2020 sobre el consentimiento en el contexto del RGPD del EDPB, en general, en las relaciones laborales existe un desequilibrio de poder entre el empleado y el empleador, lo que impide que el consentimiento se otorgue de manera libre y, por lo tanto, no resulta ser una base jurídica idónea. Sin embargo, el propio EDPB deja abierta la posibilidad de que los empleadores utilicen el consentimiento como base jurídica para el tratamiento de datos de sus empleados, siempre y cuando puedan demostrar que dicho consentimiento se ha otorgado de manera libre. Así las cosas, según el EDPB, los empleados solo pueden otorgar su consentimiento libre en circunstancias excepcionales, donde la decisión de dar o no ese consentimiento no conlleve consecuencias adversas.

La Agencia asume tal criterio, al afirmar que, en situaciones donde haya opciones realmente equivalentes y disponibles para todos los trabajadores, se podría analizar la validez del consentimiento, siempre y cuando se cumplan los requisitos establecidos en el artículo 4.11 del RGPD y las demás condiciones requeridas por la normativa.

No obstante, en una suerte de exigencia de la cuadratura del círculo para la AEPD, la propia existencia de estos “tratamientos/opciones equivalentes” que impliquen menor riesgo para los derechos y libertades de las personas cuyos datos personales se van a tratar, comporta que el tratamiento de datos biométricos deja de ser necesario.

Al sostener la Agencia que de existir alternativas/opciones menos intrusivas ya no es necesario el uso de sistemas biométricos, se está asociando el término “necesidad” a la existencia de una “alternativa” o “tratamientos/opciones equivalentes”. Esto constituye un cambio, más que discutible, respecto a la práctica convencional de recoger el consentimiento proporcionando una opción en lugar de otra (por ejemplo, permitir que el empleado elija entre registrar su jornada mediante huella dactilar o código PIN/tarjeta).

Uno de los requisitos esenciales para que un consentimiento sea válido según el RGPD es que sea "libre". Y es que, según las Directrices 5/2020 sobre el consentimiento en el sentido del RGPD del EDPB, “libre” implica que “los interesados deben tener una elección y un control real”.

Es por ello que, para garantizar la existencia de un consentimiento y la viabilidad de elegir, resulta necesario ofrecer diversas opciones o alternativas al interesado. Aunque algunas de estas opciones o alternativas equivalentes pueden ser percibidas como menos intrusivas que otras (como, por ejemplo, pagar en efectivo frente al pago con tarjeta de crédito), no implicando automáticamente que las demás opciones o alternativas deban considerarse como innecesarias.