RGPD y cerraduras biométricas en empresas: obligaciones legales que no puedes ignorar

Instalar una cerradura de huella dactilar en tu empresa sin cumplir el RGPD puede costar una sanción de hasta 20 millones de euros o el 4% de la facturación global.

Los datos biométricos —huellas dactilares, patrones de reconocimiento facial, geometría de la mano— son datos de categoría especial según el artículo 9 del Reglamento General de Protección de Datos (RGPD). Esto significa que su tratamiento está sujeto a restricciones adicionales respecto al resto de datos personales, y que instalar un sistema de control de acceso biométrico en una empresa sin las garantías adecuadas expone al responsable a sanciones significativas.

Cuándo está permitido el uso de biometría para control de acceso

El RGPD permite el tratamiento de datos biométricos para control de acceso en el ámbito laboral solo cuando se cumple alguna de estas condiciones: consentimiento explícito e informado del trabajador (aunque la AEPD advierte que el desequilibrio de poder en la relación laboral puede comprometer la validez de este consentimiento) o necesidad sustancial en términos de seguridad que no pueda cubrirse con medidas menos intrusivas.

La Agencia Española de Protección de Datos (AEPD) ha sancionado a varias empresas por instalar lectores de huella dactilar simplemente por comodidad o para control de asistencia, sin que existiera una necesidad proporcional.

Obligaciones formales

Si la instalación está justificada, las obligaciones incluyen: realizar una Evaluación de Impacto (EIPD) previa a la instalación; informar a los trabajadores o usuarios mediante cláusula específica; nombrar o consultar al Delegado de Protección de Datos (si la empresa está obligada a tenerlo); establecer plazos de conservación y procedimiento de supresión de datos; y documentar todo el proceso en el Registro de Actividades de Tratamiento.