Posted on 14 diciembre, 202314 diciembre, 2023 by Iurislab

Un juzgado ha declarado que el uso de la imagen de los trabajadores para realizar el control de la jornada a través de un sistema de registro biométrico, requiere la información previa y el consentimiento expreso de los trabajadores. De no ser así, se entiende vulnerado su derecho a la intimidad y a la propia imagen.

Sistema de reconocimiento facial

Se plantea si la fotografía tomada por la empresa a un trabajador puede utilizarse como sistema de control de reconocimiento facial para el registro de entrada y salida de su puesto de trabajo, cuando no ha mediado consentimiento expreso para ello.

El caso es el de un trabajador que firma el consentimiento de uso de derechos de imagen para fines promocionales o publicitarios de la empresa (página web, redes sociales, campañas, revistas, etc.), y con ese objetivo se le toma una fotografía que la empresa utiliza para registrar su entrada y salida en el puesto de trabajo. Denuncia que no ha sido informado al respecto y no ha dado su consentimiento para ello; que la empresa no realizó la requerida evaluación de impacto de datos biométricos; que existe desproporción entre la sensibilidad de la información captada y su necesidad práctica, y que no se le ofrecieron otras opciones sobre el modo de fichaje (por ejemplo, con tarjeta).

Se reclama en primer orden frente a la AEPD que sanciona a la empresa con un pago económico, además de emplazarle a limitar temporal o definitivamente el tratamiento del sistema de reconocimiento facial con objeto de control laboral mientras no disponga de una evaluación de impacto de protección de datos de tratamiento válida, que tenga en cuenta los riesgos para los derechos y libertades de los empleados.

El trabajador ejercita asimismo la acción especial de tutela de derecho en vía judicial, invocando una vulneración del derecho a la intimidad y a la propia imagen; derecho que puede ser objeto de tutela cuando se trata del poder de vigilancia y control del empresario. El tribunal razona que, si el interesado no tiene conocimiento del tratamiento de imágenes a efectos del reconocimiento facial, no puede dar un consentimiento informado. El uso de un sistema biométrico plantea analizar la proporcionalidad de cada categoría de datos tratados (AEPD Dictamen 3/2012). Debe analizarse si el sistema es esencial para satisfacer la necesidad identificada; la probabilidad de que el sistema sea eficaz para responder dicha necesidad según las características específicas de la tecnología biométrica que se va a utilizar; si la pérdida de intimidad resultante es proporcional a los beneficios esperados, y si un medio menos invasivo de la intimidad alcanzaría el fin deseado.

El juzgado estima la demanda y declara vulnerado el mismo ya que el trabajador no dio su consentimiento expreso para que su imagen pudiera ser usada para fichar, que la empresa no le dio otras opciones para realizar el citado control (posibilidad de fichar con tarjeta), y no se realizó la obligada evaluación de impacto en protección de datos.

Registro de jornada y protección de datos

Las empresas están obligadas a registrar la jornada de trabajo de sus empleados. Dado que esta nueva obligación tiene implicaciones en materia de protección de datos, vea cómo debe actuar. ¿Qué sistema puedo utilizar?

Registro. Respecto a la forma de cumplir con esta nueva obligación de registro de jornada, recuerde lo siguiente:

• Su convenio o un acuerdo de empresa con los representantes de los trabajadores pueden indicar cómo documentar este registro.
• En su defecto, usted puede decidir de forma unilateral cómo cumplir con esta obligación (registro con tarjeta de empleado, registro biométrico –huella dactilar–, programas informáticos instalados en el ordenador del trabajador o aplicaciones móviles instaladas en su móvil, sistemas manuales…).
• Si su empresa cuenta con representantes de los trabajadores, debe consultarles cómo implantar el registro, aunque no tiene la obligación de alcanzar ningún acuerdo.

Implicaciones. El uso de estos sistemas de registro de jornada tiene repercusiones en materia de protección de datos personales. ¡Atención! Esto es debido a que su empresa va a realizar un tratamiento de los datos de sus trabajadores con una finalidad distinta a la inicialmente prevista (además, tendrá que conservar el registro de jornada y comunicar los datos a las autoridades competentes –por ejemplo, a la Inspección de Trabajo– si así se lo solicitan).

¿Qué debe hacer?

Tratamiento. Pues bien, su empresa está legitimada para realizar este nuevo tratamiento, sin necesidad de que los afectados lo autoricen expresamente. ¡Atención! En todo caso:

• Información. Informe a su plantilla del nuevo tratamiento de sus datos y de las características del sistema implantado para el registro de la jornada. Apunte. Hágalo por escrito, para dejar constancia (por ejemplo, entregando una circular).
• Registro. Incluya este nuevo tratamiento de datos en su registro de “actividades de tratamiento”. Apunte. Es aconsejable que lleve un registro en el que consten todos los tratamientos de datos personales que lleva a cabo su empresa (en algunos casos llevar ese registro es obligado, como por ejemplo en las empresas con más de 250 trabajadores).
• Riesgo. Asimismo, verifique que el sistema utilizado no implica una intromisión excesiva en la privacidad de sus empleados. Así, si es un sistema de huella digital, verifique que no se hace una copia de la huella completa, y que la información de la huella se almacena de forma encriptada o con otras medidas de seguridad adecuadas.

Contrato. Es probable que el sistema de registro de jornada implantado en su empresa comporte que un tercero ajeno tenga acceso a los datos de sus trabajadores (por ejemplo, el proveedor del sistema de huella digital). Apunte. Pues bien, en ese caso es necesario que su empresa y ese tercero formalicen por escrito un contrato de “encargado del tratamiento” en el que se incluyan las menciones que exige la ley para este tipo de contratos (que el proveedor no utilizará los datos con un fin distinto al establecido en el contrato, que no los comunicará a otras personas, que los devolverá cuando finalice el servicio, etc.). Si la implantación de este sistema comporta que un tercero acceda a los datos personales de sus empleados (por ejemplo, el proveedor del sistema de fichaje), no olvide firmar con él un contrato de “encargado del tratamiento”.

Tratamiento de datos personales por la empresa

La empresa está legitimada para efectuar el tratamiento de datos personales de sus empleados, sin su consentimiento, cuando los datos sean necesarios para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales. Por el contrario, se requiere consentimiento del trabajador si los datos no son necesarios para la prestación de servicios; por ejemplo, cuenta de correo electrónico personal, teléfono del domicilio, etc. (RGPD art.6.1.b y 88).

Está prohibido el tratamiento de datos personales que revelen el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical; datos genéticos, datos biométricos dirigidos a identificar de manera unívoca a una persona física, datos relativos a la salud o datos relativos a la vida sexual o la orientación sexual de una persona física. Como excepción, dichos datos especialmente protegidos pueden ser tratados (RGPD art.9):

• Si el trabajador da su consentimiento explícito.
• Cuando sea necesario en el ámbito del derecho laboral y de la seguridad y protección social.

Requieren firma del trabajador ​

Cláusula de información	Contiene las obligaciones de los trabajadores, sus funciones y el uso adecuado de las instalaciones y bienes que la empresa ponga a su disposición. Se puede sustituir la firma por su colocación en el tablón de anuncios si la empresa tiene muchos trabajadores y la firma individual puede conllevar perjuicios o costes elevados.
Compromiso de confidencialidad	Compromiso de no revelar información a la que tenga acceso a través de sus actividades profesionales. La negativa del empleado debe constar por escrito reflejando los motivos adjuntando un recibí de que se ha entregado la documentación.
Publicación y grabación de imágenes	La utilización de las imágenes grabadas por la empresa para publicarlas en la página web o en comunicaciones requiere el consentimiento expreso del trabajador.

No requiere consentimiento pero sí información

Control de recursos informáticos	Hay que informar al trabajador que los recursos informáticos que se han puesto a disposición por parte de la empresa para desempeñar su actividad laboral pueden ser monitorizados para comprobar que se está cumpliendo con las obligaciones laborales, y que no se estén usando con fines personales o privados.
Geolocalización	Con carácter previo, los empresarios deben informar de forma expresa, clara e inequívoca acerca de la existencia y características de estos dispositivos: • Su existencia. • Cuándo se implantará y que esta permite obtener información geográfica de los trabajadores durante la jornada laboral. • Los derechos de acceso, rectificación y cancelación. • Que estos datos formarán parte del Fichero de Personal de la empresa para gestionar la relación laboral existente. • Si se van a ceder o no estos datos a terceros.
Sistemas de videovigilancia	Se debe informar a los trabajadores de la realización de las grabaciones y del uso que se va a hacer de​ ellas. Los sistemas de videovigilancia como medio de control laboral deben estar señalizados con el preceptivo cartel informativo. Está prohibida la instalación de cámaras en zonas de ocio y descanso de los trabajadores. Por ejemplo, en comedores, salas de descanso, vestuarios y aseos.

Fuente: LEFEBVRE