Biometría en controlde accesos: qué permite (y qué no) la AEPD
La huella dactilar y el reconocimiento facial se venden como la forma más cómoda de identificar a una persona: no se pierde, no se presta, no se olvida en casa. Esa comodidad ha hecho que muchas empresas planteen sustituir la tarjeta de acceso por un lector biométrico sin pasar antes por la pregunta que de verdad importa, que no es si la tecnología funciona bien, sino si está permitido usarla.
Desde noviembre de 2023, cuando la Agencia Española de Protección de Datos (AEPD) publicó su guía sobre tratamientos de control de presencia mediante sistemas biométricos, la respuesta a esa pregunta se ha vuelto bastante más estricta de lo que muchos proveedores todavía cuentan en sus propuestas comerciales. La guía no prohíbe la biometría de forma expresa, pero deja tan poco margen de maniobra que en la práctica equivale a una prohibición para la mayoría de proyectos de control de acceso.
Huella o rostro: siempre categoría especial de datos
El artículo 9.1 del RGPD prohíbe, con carácter general, tratar datos biométricos dirigidos a identificar de forma unívoca a una persona física. La AEPD ha aclarado un matiz que muchos proyectos pasan por alto: da igual que el sistema identifique a una persona comparándola contra toda una base de datos (uno contra varios) o que solo autentique una identidad ya reclamada, comparando contra un único patrón (uno contra uno). Siguiendo el criterio del Comité Europeo de Protección de Datos, ambas operaciones tratan datos biométricos y ambas quedan sujetas a la misma prohibición general, que solo se levanta si concurre alguna de las excepciones tasadas del artículo 9.2.
Esto supersede una interpretación anterior de la propia AEPD, de 2021, que dejaba la autenticación fuera de las categorías especiales. Cualquier proyecto que se apoye en ese criterio antiguo está trabajando con una base legal que ya no sostiene la Agencia.
La categoría no se limita a la huella y al rostro. Cualquier característica física, fisiológica o conductual que un tratamiento técnico convierta en un identificador único entra en el mismo régimen: la geometría de la mano, el patrón de voz o incluso la forma de caminar, si el sistema los procesa para reconocer a una persona concreta. El matiz importante está en el propio RGPD, en su considerando 51: una fotografía normal no es, por sí sola, un dato biométrico; se convierte en uno solo cuando un tratamiento técnico específico la transforma en una plantilla capaz de identificar a alguien de forma unívoca.
El motivo por el que el fichaje con huella se quedó sin base legal
Para levantar la prohibición en un control de acceso o un registro de jornada con fines laborales, la vía más citada es el artículo 9.2.b del RGPD: que exista una norma con rango de ley que autorice ese tratamiento en el ámbito laboral. El problema es que el Estatuto de los Trabajadores, en sus artículos 20.3 y 34.9, habilita al empresario a vigilar el cumplimiento de las obligaciones laborales y a garantizar el registro de jornada, pero no llega a autorizar de forma específica el uso de datos biométricos para conseguirlo.
El Tribunal Constitucional ya fijó el criterio de fondo en su sentencia 76/2019: una ley que restringe un derecho fundamental tiene que ser previsible y detallada, no una habilitación genérica que deje en manos de quien la aplica decidir hasta dónde llega. El Consejo de Transparencia y Protección de Datos llegó a la misma conclusión al analizar el caso de un ayuntamiento que quiso implantar huella o reconocimiento facial para el control horario de su personal: la normativa actual no contiene esa autorización específica, ni para el personal laboral ni para el funcionarial.
El resultado práctico ya se ve en resoluciones sancionadoras reales, según el análisis de Cuatrecasas sobre las resoluciones de la AEPD: un gimnasio sancionado por exigir la huella dactilar sin ofrecer alternativa a quien se negaba, y una instalación deportiva sancionada por instalar un sistema de huella en sus tornos de acceso sin acreditar ninguna excepción del artículo 9.2 ni haber superado una evaluación de impacto. En ambos casos el problema de fondo no fue la tecnología en sí, sino la ausencia de un análisis previo que demostrara la necesidad del tratamiento frente a alternativas menos invasivas, un análisis que rara vez aparece en la propuesta comercial de un proveedor de control de acceso.
Por qué el consentimiento tampoco resuelve el problema en el trabajo
Ante la dificultad de encontrar una norma con rango de ley, la alternativa que se plantea es el consentimiento explícito (artículo 9.2.a). Aquí aparece un segundo obstáculo. Las directrices del Comité Europeo de Protección de Datos sobre el consentimiento parten de que, en una relación laboral, existe casi siempre un desequilibrio de poder que hace muy difícil considerar libre el consentimiento del trabajador: es poco probable que alguien se sienta en condiciones de negarse a lo que le pide su empresa sin temer alguna consecuencia.
Para salvar esa objeción, la única salida es ofrecer una alternativa realmente equivalente y sin coste para quien no quiera dar su dato biométrico. Y aquí conviene ser exigente con la palabra equivalente: si el proceso con tarjeta es más lento que el biométrico, exige pedir una autorización especial o genera cualquier trato distinto para quien la usa, esa alternativa deja de ser equivalente y el consentimiento vuelve a quedar en entredicho.
Ahí se cierra el círculo. Si la alternativa existe y funciona igual de bien, entonces el tratamiento biométrico deja de ser necesario, que es otro de los requisitos que hay que superar de forma independiente del consentimiento. En la práctica, muy pocos proyectos de control de acceso laboral consiguen sostenerse en esta vía.
Fuera del entorno laboral el criterio no cambia gran cosa
Para el control de acceso de clientes o visitas, sin relación laboral de por medio, el razonamiento es parecido. Es habitual, por ejemplo, que un club deportivo o un espacio de coworking plantee la huella o el rostro como forma de acceso de sus socios. La ejecución de un contrato no figura entre las excepciones del artículo 9.2, así que tampoco sirve como base para levantar la prohibición, por mucho que el socio haya firmado un contrato de membresía. Sigue haciendo falta demostrar la necesidad del tratamiento biométrico frente a alternativas menos intrusivas, y ofrecer una opción equivalente sin ninguna consecuencia negativa para quien la elija.
Si aun así se decide instalar biometría
Cuando, tras ese análisis, un proyecto concreto sí encuentra una base legal sólida, la AEPD fija un suelo de medidas mínimas que no son opcionales: evaluación de impacto con triple juicio de idoneidad, necesidad y proporcionalidad estricta antes de empezar; plantilla biométrica cifrada y, preferiblemente, bajo control del propio dispositivo del usuario y no en un almacenamiento centralizado; mecanismo para revocar el vínculo entre la plantilla y la persona; borrado automático cuando el dato deje de servir a su finalidad; e información expresa a los afectados sobre el tratamiento y sus riesgos, incluyendo, cuando hay plantilla implicada, las garantías recogidas en convenio colectivo que exige el artículo 91 de la LOPDGDD.
Las alternativas que sí encajan sin renunciar a la trazabilidad
La buena noticia es que ninguna de estas restricciones obliga a volver al cuaderno en la garita. Los sistemas de control de accesos de Ironsys combinan varias credenciales que registran entradas y salidas con el mismo nivel de detalle que un lector biométrico, sin tratar en ningún momento categoría especial de datos:
| Credencial | Qué registra | Riesgo RGPD |
|---|---|---|
| Tarjeta o tag de proximidad | Entrada y salida asociadas al identificador físico de la tarjeta | Bajo: dato ordinario, no categoría especial |
| Credencial en el móvil | Entrada y salida asociadas al dispositivo autenticado del usuario | Bajo: exige gestionar el alta y baja del dispositivo |
| Código QR dinámico | Entrada puntual con validez temporal limitada | Bajo: especialmente útil para visitas y personal temporal |
| RFID de largo alcance | Entrada y salida asociadas a la credencial detectada a distancia, sin contacto | Bajo: dato ordinario, útil para accesos vehiculares o de alto tránsito |
La pregunta que de verdad mueve el proyecto
La biometría no es una mala tecnología. Es una tecnología que exige una base legal que casi nunca está donde se busca, y ese desajuste es el que hay que resolver antes de firmar nada. La pregunta que de verdad mueve el proyecto no es técnica, es de diseño: ¿qué necesitamos registrar realmente, y hace falta identificar a alguien de forma unívoca para conseguirlo, o basta con acreditar que alguien autorizado ha pasado por ahí? La mayoría de los controles de acceso solo necesitan lo segundo. Y ahí es donde una credencial convencional, bien planteada, resuelve el problema sin abrir ningún expediente de cumplimiento.
Esta es la primera de tres entradas de octubre sobre datos personales y cumplimiento en la gestión de personas. En la próxima entrada veremos qué exige la normativa cuando la cámara no solo abre una puerta, sino que además analiza a la plantilla para detectar riesgos laborales, y cerraremos el hilo con control de aforo y mapas de calor.
Si tienes en marcha, o en duda, un proyecto de control de accesos que iba a apoyarse en biometría, cuéntanos tu caso y lo revisamos contigo.