Fichar con huella o reconocimiento facial: ¿es legal? Requisitos y alternativas

Otros artículos sobre este tema.

• ArtículoRegistro de jornada: qué debe recoger, quién puede verlo y qué pasa si no existeToda empresa tiene que registrar cada día la hora de entrada y de salida de cada persona trabajadora, guardar esos registros cuatro años y tenerlos a disposición de la plantilla, de su representación y de la Inspección de Trabajo. No llevarlo es una infracción grave, multada con 751 a 7.500 euros. En un juicio de horas extraordinarias, la falta de registro perjudica a la empresa, aunque no basta por sí sola si el horario era fijo y conocido.
• Artículo¿Cómo puede la empresa controlar a los trabajadores? Límites y medidas legalesLa empresa puede vigilar que se cumplan las obligaciones laborales con cámaras, revisión de medios digitales, GPS, detectives o registros, pero siempre respetando la dignidad y la intimidad. Cada medida debe ser idónea, necesaria y proporcionada, y en casi todas hay que informar antes a la plantilla.
• ArtículoIntimidad y propia imagen en el trabajo: tu foto, tu salud y tus datosLa empresa solo puede usar tu imagen sin preguntarte cuando tu trabajo, por su propia naturaleza, consiste en aparecer ante el público o ante una cámara; para publicidad, web o redes necesita tu consentimiento, y puedes retirarlo. Tus datos de salud y tus datos personales no pueden difundirse entre la plantilla sin necesidad, y lo que haces fuera del trabajo solo le importa si repercute en él.
• ArtículoAlgoritmos e inteligencia artificial en el trabajo: tus derechos y los del comitéSi la empresa usa algoritmos o inteligencia artificial para tomar decisiones que afectan a las condiciones de trabajo o al empleo, el comité tiene derecho a conocer sus parámetros, reglas e instrucciones. Además, tienes derecho a no ser objeto de decisiones basadas únicamente en un tratamiento automatizado que te afecten significativamente, salvo excepciones con garantías, y a que te expliquen la lógica aplicada. El Reglamento europeo de inteligencia artificial añade obligaciones para los sistemas de alto riesgo usados en el empleo.

Modelos de escritos para este caso, listos para descargar en Word y completar.

• DocumentoSolicitud de documentos e información a la empresa: nóminas, registro de jornada, contrato y másPara pedir por escrito a la empresa los documentos y datos que necesitas (nóminas, registro de jornada, contrato, carta y expediente de despido o sanción, grabaciones, protocolos, evaluación de riesgos, certificados…) y que conste que los pediste.El escrito que propone esta guía
• DocumentoSolicitud a la empresa de supresión de datos personales: salud, datos difundidos o huella para ficharPara pedir a la empresa que borre los datos tuyos que no necesita o que no puede tener (diagnósticos, antecedentes, huella o rostro), que retire los que ha difundido y que no lo repita, dejando constancia de la fecha.El escrito que propone esta guía
• DocumentoReclamación ante la Agencia Española de Protección de Datos contra la empresa: cámaras, audio, huella o datosPara pedir a la Agencia Española de Protección de Datos que investigue y, en su caso, sancione a tu empresa por cámaras ilegales, grabación de sonido, fichaje con huella o reconocimiento facial, difusión de tus datos o por no contestar a tu derecho de acceso.El escrito que propone esta guía
• DocumentoEscrito del comité exigiendo consulta e informe previo sobre un sistema de control: cámaras, GPS o huellaPara que el comité o los delegados/as exijan por escrito a la empresa la información y la consulta previas a implantar o cambiar un sistema de control (cámaras, GPS, fichaje con huella, normas de uso del ordenador) y puedan emitir su informe antes de que se aplique.El escrito que propone esta guía
• DocumentoSolicitud de acceso a tus datos personales en la empresa: grabaciones, GPS, correo y datos de saludPara pedir a la empresa copia de los datos personales que tiene sobre ti (imágenes de las cámaras, registros de ubicación, lo que sacó de tu correo u ordenador) y saber para qué los usa, cuánto los guarda y a quién se los ha dado.

Normas y preceptos aplicables. Despliega cada uno para leer su texto.

• Artículos 9.1 y 9.2 b)Reglamento (UE) 2016/679, General de Protección de DatosProhíbe tratar datos biométricos dirigidos a identificar a una persona, salvo excepciones como la necesidad en el ámbito laboral autorizada por la ley o el convenio con garantías.Cambio reciente: Aplicable desde el 25 de mayo de 2018 (texto original del Diario Oficial; correcciones de errores de 2018 y 2021).

  Texto de los apartados citadosTexto consolidado vigente desde el 4 de mayo de 2016

  1. Quedan prohibidos el tratamiento de datos personales que revelen el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical, y el tratamiento de datos genéticos, datos biométricos dirigidos a identificar de manera unívoca a una persona física, datos relativos a la salud o datos relativos a la vida sexual o la orientación sexual de una persona física.

  2. El apartado 1 no será de aplicación cuando concurra una de las circunstancias siguientes:

  b) el tratamiento es necesario para el cumplimiento de obligaciones y el ejercicio de derechos específicos del responsable del tratamiento o del interesado en el ámbito del Derecho laboral y de la seguridad y protección social, en la medida en que así lo autorice el Derecho de la Unión o de los Estados miembros o un convenio colectivo con arreglo al Derecho de los Estados miembros que establezca garantías adecuadas del respeto de los derechos fundamentales y de los intereses del interesado;

• Artículo 35Reglamento (UE) 2016/679, General de Protección de DatosObliga a hacer una evaluación de impacto antes de tratamientos de alto riesgo, como los de categorías especiales de datos o con nuevas tecnologías.

  Texto del artículoTexto consolidado vigente desde el 4 de mayo de 2016

  Artículo 35. Evaluación de impacto relativa a la protección de datos.

  1. Cuando sea probable que un tipo de tratamiento, en particular si utiliza nuevas tecnologías, por su naturaleza, alcance, contexto o fines, entrañe un alto riesgo para los derechos y libertades de las personas físicas, el responsable del tratamiento realizará, antes del tratamiento, una evaluación del impacto de las operaciones de tratamiento en la protección de datos personales. Una única evaluación podrá abordar una serie de operaciones de tratamiento similares que entrañen altos riesgos similares.

  2. El responsable del tratamiento recabará el asesoramiento del delegado de protección de datos, si ha sido nombrado, al realizar la evaluación de impacto relativa a la protección de datos.

  3. La evaluación de impacto relativa a la protección de los datos a que se refiere el apartado 1 se requerirá en particular en caso de:

  a) evaluación sistemática y exhaustiva de aspectos personales de personas físicas que se base en un tratamiento automatizado, como la elaboración de perfiles, y sobre cuya base se tomen decisiones que produzcan efectos jurídicos para las personas físicas o que les afecten significativamente de modo similar;

  b) tratamiento a gran escala de las categorías especiales de datos a que se refiere el artículo 9, apartado 1, o de los datos personales relativos a condenas e infracciones penales a que se refiere el artículo 10, o

  c) observación sistemática a gran escala de una zona de acceso público.

  4. La autoridad de control establecerá y publicará una lista de los tipos de operaciones de tratamiento que requieran una evaluación de impacto relativa a la protección de datos de conformidad con el apartado 1. La autoridad de control comunicará esas listas al Comité a que se refiere el artículo 68.

  5. La autoridad de control podrá asimismo establecer y publicar la lista de los tipos de tratamiento que no requieren evaluaciones de impacto relativas a la protección de datos. La autoridad de control comunicará esas listas al Comité.

  6. Antes de adoptar las listas a que se refieren los apartados 4 y 5, la autoridad de control competente aplicará el mecanismo de coherencia contemplado en el artículo 63 si esas listas incluyen actividades de tratamiento que guarden relación con la oferta de bienes o servicios a interesados o con la observación del comportamiento de estos en varios Estados miembros, o actividades de tratamiento que puedan afectar sustancialmente a la libre circulación de datos personales en la Unión.

  7. La evaluación deberá incluir como mínimo:

  a) una descripción sistemática de las operaciones de tratamiento previstas y de los fines del tratamiento, inclusive, cuando proceda, el interés legítimo perseguido por el responsable del tratamiento;

  b) una evaluación de la necesidad y la proporcionalidad de las operaciones de tratamiento con respecto a su finalidad;

  c) una evaluación de los riesgos para los derechos y libertades de los interesados a que se refiere el apartado 1, y

  d) las medidas previstas para afrontar los riesgos, incluidas garantías, medidas de seguridad y mecanismos que garanticen la protección de datos personales, y a demostrar la conformidad con el presente Reglamento, teniendo en cuenta los derechos e intereses legítimos de los interesados y de otras personas afectadas.

  8. El cumplimiento de los códigos de conducta aprobados a que se refiere el artículo 40 por los responsables o encargados correspondientes se tendrá debidamente en cuenta al evaluar las repercusiones de las operaciones de tratamiento realizadas por dichos responsables o encargados, en particular a efectos de la evaluación de impacto relativa a la protección de datos.

  9. Cuando proceda, el responsable recabará la opinión de los interesados o de sus representantes en relación con el tratamiento previsto, sin perjuicio de la protección de intereses públicos o comerciales o de la seguridad de las operaciones de tratamiento.

  10. Cuando el tratamiento de conformidad con el artículo 6, apartado 1, letras c) o e), tenga su base jurídica en el Derecho de la Unión o en el Derecho del Estado miembro que se aplique al responsable del tratamiento, tal Derecho regule la operación específica de tratamiento o conjunto de operaciones en cuestión, y ya se haya realizado una evaluación de impacto relativa a la protección de datos como parte de una evaluación de impacto general en el contexto de la adopción de dicha base jurídica, los apartados 1 a 7 no serán de aplicación excepto si los Estados miembros consideran necesario proceder a dicha evaluación previa a las actividades de tratamiento.

  11. En caso necesario, el responsable examinará si el tratamiento es conforme con la evaluación de impacto relativa a la protección de datos, al menos cuando exista un cambio del riesgo que representen las operaciones de tratamiento.

• Artículo 34.9Estatuto de los TrabajadoresObliga a la empresa a garantizar el registro diario de jornada y remite su organización a la negociación colectiva o a la decisión empresarial previa consulta con la representación.Cambio reciente: Añadido por el Real Decreto-ley 8/2019, aplicable desde el 12 de mayo de 2019.

  Texto del apartado citadoTexto consolidado vigente desde el 30 de junio de 2023

  9. La empresa garantizará el registro diario de jornada, que deberá incluir el horario concreto de inicio y finalización de la jornada de trabajo de cada persona trabajadora, sin perjuicio de la flexibilidad horaria que se establece en este artículo.

  Mediante negociación colectiva o acuerdo de empresa o, en su defecto, decisión del empresario previa consulta con los representantes legales de los trabajadores en la empresa, se organizará y documentará este registro de jornada.

  La empresa conservará los registros a que se refiere este precepto durante cuatro años y permanecerán a disposición de las personas trabajadoras, de sus representantes legales y de la Inspección de Trabajo y Seguridad Social.

  Ver el artículo 34 completo

• Artículo 64.5 f)Estatuto de los TrabajadoresExige el informe previo del comité antes de implantar sistemas de control del trabajo.Cambio reciente: El artículo 64 fue modificado por el Real Decreto-ley 8/2024 (apartado 4 e), vigente desde el 30 de noviembre de 2024); el apartado 5 f) no ha cambiado.

  Texto del apartado citadoTexto consolidado vigente desde el 30 de noviembre de 2024

  5. El comité de empresa tendrá derecho a ser informado y consultado sobre la situación y estructura del empleo en la empresa o en el centro de trabajo, así como a ser informado trimestralmente sobre la evolución probable del mismo, incluyendo la consulta cuando se prevean cambios al respecto.

  f) La implantación y revisión de sistemas de organización y control del trabajo, estudios de tiempos, establecimiento de sistemas de primas e incentivos y valoración de puestos de trabajo.

  Ver el artículo 64 completo

• Artículo 20.3Estatuto de los TrabajadoresAmpara el control de la actividad laboral con respeto a la dignidad.

  Texto del apartado citadoTexto consolidado vigente desde el 13 de noviembre de 2015

  3. El empresario podrá adoptar las medidas que estime más oportunas de vigilancia y control para verificar el cumplimiento por el trabajador de sus obligaciones y deberes laborales, guardando en su adopción y aplicación la consideración debida a su dignidad y teniendo en cuenta, en su caso, la capacidad real de los trabajadores con discapacidad.

  Ver el artículo 20 completo

• Artículos 18.1 y 18.4Constitución EspañolaProtege la intimidad y los datos personales.

  Texto de los apartados citadosTexto consolidado vigente desde el 29 de diciembre de 1978

  1. Se garantiza el derecho al honor, a la intimidad personal y familiar y a la propia imagen.

  4. La ley limitará el uso de la informática para garantizar el honor y la intimidad personal y familiar de los ciudadanos y el pleno ejercicio de sus derechos.

Lo que han dicho los tribunales sobre cada una de las cuestiones de este artículo.