En primer lugar, debemos tener en cuenta que la huella dactilar es un dato personal que, al tratarse de información biométrica, se encuentra dentro de las categorías especiales de datos cuyo tratamiento, por regla general, se encuentra prohibido. Dicha prohibición no será de aplicación cuando se apliquen alguno de los supuestos contemplados en la normativa. Entre estos supuestos, los que pueden resultar de aplicación al caso concreto analizado, están los siguientes:
- El interesado presta su consentimiento explícito para el tratamiento de sus datos.
- El tratamiento es necesario para el cumplimiento de obligaciones y el ejercicio de derechos específicos del responsable del tratamiento o del interesado en el ámbito del Derecho laboral y de la seguridad y protección social.
El consentimiento como base jurídica
Si tenemos en cuenta la relación existente entre el trabajador y el empleador, nos encontramos con la dificultad de poder demostrar que la prestación del consentimiento se ha efectuado de forma libre, ya que se puede considerar que el mismo ha sido prestado en un contexto de «desequilibro claro entre el interesado y el responsable del tratamiento». Además, añade el Grupo de Trabajo del Artículo 29, que para considerar que el consentimiento es base legal suficiente, es necesario que los trabajadores puedan negarse a dicho tratamiento sin que existan consecuencias negativas para los mismos. También es importante que se le otorgue a los trabajadores el derecho a revocar dicho consentimiento sin que esto les afecte de modo alguno.
Por tanto, el consentimiento sólo sería válido como base legal para este tratamiento cuando el trabajador disponga de otros mecanismos de control de acceso alternativos al uso de la huella y pueda dar su consentimiento libre si quiere utilizar este tipo de mecanismo de manera voluntaria.
El cumplimiento de obligaciones y el ejercicio de derechos como base jurídica
Con respecto a esta base jurídica, es importante delimitar la finalidad del tratamiento con el fin de verificar si dicha finalidad es acorde con el cumplimiento de obligaciones o el ejercicio de derechos en el ámbito del Derecho laboral y de la seguridad y protección social.
Pongamos un ejemplo: Cuando una organización recaba las huellas dactilares de sus trabajadores con la finalidad de controlar y registrar la jornada laboral de los mismos, dicho tratamiento se puede amparar en el cumplimiento de una obligación legal impuesta por la legislación laboral vigente, en concreto, en lo dispuesto en el artículo 34.9 del Estatuto de los trabajadores, por el cual, “La empresa garantizará el registro diario de jornada, que deberá incluir el horario concreto de inicio y finalización de la jornada de trabajo de cada persona trabajadora, sin perjuicio de la flexibilidad horaria que se establece en este artículo”.
En ese sentido, hay que tener en cuenta que la Agencia Española de Protección de Datos considera que el uso de las tecnologías biometricas pueden resultar altamente intrusivas para los derechos y libertades de los interesados, por lo que aún teniendo una base jurídica que legitime el tratamiento, es necesario probar que la huella dactilar es la opción más viable para cumplir con la finalidad perseguida. Por ello se debe evaluar el impacto del tratamiento y si es posible la utilización de sistemas alternativos de identificación, como pueden ser las tarjetas por aproximación y los códigos numéricos. De la valoración del impacto podría resultar que, estos medios, a pesar de ser menos intrusivos para los interesados, son más ineficaces pudiendo producirse fraudes en el registro de jornada como puede ser la suplantación de identidad al existir riesgo de robo, extravío, o intercambio de estas credenciales. Por tanto, si de la evaluación de impacto resultase que existe una proporcionalidad en el tratamiento la finalidad buscada y que las medidas de seguridad aplicadas para el tratamiento son adecuadas, esta base legal sería adecuada para el tratamiento. En cualquier caso, lo que es fundamental es realizar dicha evaluación de impacto para ver cuáles son las conclusiones al respecto.
