Se presenta reclamación en oposición a la implementación de un sistema de control presencial de los trabajadores a través de un sistema biométrico de huella digital en las dependencias de la empresa, mediante terminales que incorporan lectores para la captura de la huella dactilar de cada empleado.

La reclamada acredita haber consultado a la representación sindical el 13 de noviembre de 2017, antes del uso del sistema de huella dactilar e individualmente a los empleados, desde 22 de enero de 2018, de conformidad con lo establecido en la Ley Orgánica de Protección de Datos de carácter personal 15/1999, de 13 de diciembre.

Los motivos por los que la reclamada prefiere el uso de la huella sobre la tarjeta, son que evita casos que se han dado de dar la tarjeta entre empleados para fichar por el titular, y que se produce una identificación inequívoca del empleado, evitando la suplantación al dificultar la reproducción de la huella por un tercero. La finalidad del registro de huella dactilar es el control horario o de jornada, de conformidad con el art. 34.9 ET.

La reclamada disponía del documento de análisis de riesgos de actividades de tratamiento, realizado el 8 de abril de 2019, figurando el resultado de la actividad de “escaso riesgo”, con resultado de que no era preciso realizar una evaluación de impacto en protección de datos (EIPD).

Señala la AEPD que los datos biométricos presentan la particularidad de ser producidos por el propio cuerpo y lo caracterizan definitivamente. Por lo tanto, son únicos, permanentes en el tiempo y la persona no puede ser liberada de él, no se pueden cambiar en caso de compromiso, pérdida o intrusión en el sistema etc.

Por tanto, tratándose de datos de carácter personal de categoría especial, existía la obligación de disponer de una Evaluación de Impacto en la Protección de los Datos Personales (EIPD), con lo que se incumplió el art. 35 RGPD.

En desarrollo del párrafo 4, la directora de la AEPD publicó una lista orientativa de tipos de tratamiento que requieren una evaluación de impacto relativa a la protección de datos , indicándose que: “En el momento de analizar tratamientos de datos será necesario realizar una EIPD en la mayoría de los casos en los que dicho tratamiento cumpla con dos o más criterios de la lista expuesta a continuación, salvo que el tratamiento se encuentre en la lista de tratamientos que no requieren EIPD a la que se refiere en art. 35.5 RGPD.”

La EIPD es un paso necesario para el tratamiento de datos, no siendo el único exigible, es un presupuesto al que se debe añadir el resto de los requisitos legales para el tratamiento, base legitimadora y respeto de los principios fundamentales del tratamiento de datos previsto en el art. 5 RGPD.

Y en el presente caso, de la documentación obrante en el expediente y tal como se infiere de los hechos probados, no existen evidencias de la realización de la evaluación de impacto de protección de datos.

Resolución AEPD PS/00050/2021