Resolución sancionadora de la AEPD por uso de datos biométricos para registro de jornada laboral

La Agencia Española de Protección de Datos (AEPD) ha dictado una nueva resolución, imponiendo una multa de 365.000 euros por el uso de datos biométricos con fines de registro de jornada laboral, por infracción de los artículos 13 (incumplimiento del deber de información), 32 (falta de adopción de medidas de seguridad adecuadas) y 35 (Evaluación de Impacto en materia de protección de datos insuficiente) del RGPD.

Se trata de la primera resolución que sale a la luz tras la publicación de la controvertida “Guía sobre tratamientos de control de presencia mediante sistemas biométricos” publicada por la AEPD en noviembre de 2023 siendo, por tanto, una resolución muy esperada.

Entre los principales criterios interpretativos, por no decir el único, que la AEPD ratifica respecto a la Guía es que los sistemas de autenticación/identificación constituyen un tratamiento de categorías especiales de datos personales – criterio que, por otra parte, ya se entendía superado tras las Directrices 05/2022, del Comité Europeo de Protección de Datos (CEPD), sobre Tecnologías de Reconocimiento facial-.

Al margen de lo anterior, lo cierto es que lejos de confirmar los criterios interpretativos manifestados en la Guía, en la resolución, la AEPD ni siquiera entra a analizar si la base de legitimación sería adecuada a la finalidad pretendida y tampoco clarifica si el tratamiento sería viable en los términos propuestos por la entidad.

En definitiva, es muy reseñable el hecho de que la AEPD huya de analizar una de las principales cuestiones suscitadas tras la publicación de la Guía, esto es, la legitimidad del tratamiento de datos biométricos, y opte por sancionar por otras cuestiones relativas al deber de información, la aplicación de medidas de seguridad y la validez de la evaluación de impacto realizada.

Descarga la nota completa más abajo.