Resolución de la AEPD por uso de técnicas de reconocimiento facial en el registro de la jornada laboral

Resolución original analizada: https://www.aepd.es/es/documento/ps-00218-2021.pdf

Analizamos una reciente resolución de un procedimiento sancionador (PS/00218/2021) contra una Entidad Urbanística, por el uso de técnicas de reconocimiento facial en un sistema de registro de la jornada laboral, y lo que pueda implicar respecto a este mismo tipo de sistemas con uso de la huella dactilar.

La AEPD sanciona a la Entidad (apercibimiento por tratarse de una entidad dependiente de la Consejería de Medio Ambiente, Vivienda y Agricultura, por tanto, de Derecho Público) por implantar un sistema de registro diario de jornada laboral de las personas trabajadoras a través de técnicas de reconocimiento facial, por infracción de dos artículos:

1. Incumplimiento del artículo 9.2.b) RGPD

La base jurídica que legitima este tratamiento de datos personales que supone la implantación del sistema de reconocimiento facial para el registro de la jornada laboral seria la obligación legal del registro horario de la jornada laboral para dar cumplimiento al RDL 8/2019, de medidas urgentes de protección social y de lucha contra la precariedad laboral (art. 6.1 c) RGPD).

La Entidad Urbanística, incluye en el registro de esta actividad de tratamiento para registro diario de la jornada laboral cuatro bases jurídicas del artículo 6.1. del RGPD, según la reclamada el tratamiento es necesario:

• para la ejecución del contrato de trabajo con las personas trabajadoras (art. 6.1 b);
• para el cumplimiento de una obligación legal de la entidad (art. 6.1 c);
• para satisfacer el interés legítimo de la organización de controlar a las personas trabajadoras (art. 6.1 f); y
• para el cumplimiento a través del personal de las funciones de interés público que tienen encomendadas (art. 6.1 e).

Además, al tratarse de datos de categoría especial (dato biométrico) la excepción del art. 9.2 para el tratamiento de este tipo de datos, en principio y como en el caso de la huella dactilar (dato biométrico igual que la imagen facial) sería el apartado b) ya que el tratamiento sería necesario para el cumplimiento de obligaciones del RT en el ámbito del Derecho laboral, en la medida en que así lo autoriza el RDL 8/2019.

Sin embargo, la AEPD determina en la resolución del PS que la causa de legitimación para llevar a cabo el control horario de la jornada laboral diaria sólo alcanza a la obligación de llevarlo a cabo, pero no a realizarlo utilizando datos biométricos y su uso, sin causa de excepción para el tratamiento, supone la infracción del artículo 9.2.b) del RGPD.

La reclamada, indica otros apartados del artículo 9.2 del RGPD, pero según la AEPD ninguno de ellos alcanza a levantar la presunción de la prohibición del tratamiento de datos biométricos, por:

• Artículo 9.2.g): “tratamiento es necesario por razones de un interés público esencial”, y en este caso, no hay ninguna norma que prevea la declaración de interés público esencial en el tratamiento de los datos de imágenes faciales para el registro laboral, ni las garantías que debería llevar con esa declaración.
• Artículo 9.2.h): “tratamiento es necesario para fines de medicina preventiva o laboral”, que no guarda relación alguna con la instalación del dispositivo para los registros, dentro de un contexto de pandemia en el que no se suspende el derecho de protección de datos.

2. Incumplimiento del artículo 35 RGPD:

Infringe el artículo 35 al no existir EIPD vinculada al tratamiento de reconocimiento facial de la que deriven la adopción de medidas y garantías específicas.

CONCLUSIÓN:

Lo relevante de esta resolución es la determinación de la excepción del art. 9.2 RGPD que levantaría la prohibición del uso en este caso de la huella dactilar en los sistemas de registro horario, dado que no podría ser tampoco el 9.2.b) dado que lo mismo que en el caso del reconocimiento facial la obligación legal es de llevar a cabo el registro pero no a realizarlo utilizando la huella dactilar (solo será aplicable la excepción del apartado b) entonces en los casos que una ley estipule que el tratamiento se lleve a cabo con datos biométricos, por ejemplo el RD 70/2019 que modifica RD 1032/2007 que establece que los centros de formación de conductores deben disponer, entre otros requisitos, de un sistema de control de acceso biométrico).

En el caso del Registro de la Jornada Laboral, la falta de esa excepción del artículo 9.2.b), y las de los apartados g) y h) descartados también por la AEPD en esta misma resolución (página 27), y dada la implanteabilidad del resto de apartados del art. 9.2 (c, d, e, f, i y j), solo cabría salvar la prohibición de tratar ese dato de categoría especial que suponen los datos biométricos (huella dactilar, imagen facial, iris del ojo,…) en estos sistemas, solicitando el consentimiento explícito a la persona trabajadora (artículo 9.2.a), pero en este caso concreto dado que existiría un desequilibro claro entre el interesado (persona trabajadora) y el responsable del tratamiento (empleador/a), habría que dar otras opciones a la persona trabajadora para que se considere el consentimiento prestado libremente, y en ese caso:

• ¿Debería entonces la entidad empleadora contar con más de un sistema de registro de la jornada laboral, para ofrecer esa posibilidad, de optar por una (con dato biométrico) u otra fórmula (sin dato biométrico)?

Por tanto, del análisis realizado, y esperando próximas resoluciones de la AEPD, en las que se pronuncie en estos casos de uso de datos biométricos de categoría especial para sistemas de Registro de la Jornada Laboral a través de huella digital, sería recomendable llevar a cabo esta obligación legal que supone este Registro a través de sistemas que no requieran el uso de datos biométricos.