El procesamiento de los datos biométricos (huella, rostro, voz, entre otros) de los trabajadores en el lugar de trabajo sigue siendo una cuestión de actualidad laboral. Si bien este asunto ha sido analizado en entradas previas en las que hemos explicado las novedades jurídicas que limitan su uso por parte de las empresas, han surgido cuestiones nuevas que nos animan a este post.

Conviene recordar que algunos de estos datos biométricos se han considerado como el “plutonio de la IA» (Luke Stark de Microsoft Research), pues si se procesan con IA pueden producirse riesgos graves para los derechos fundamentales de las personas empleadas (intimidad, protección de datos de carácter personal, discriminación, entre otros). Por ejemplo, en sistemas de reconocimiento facial se pueden tratar datos que revelan el origen racial y también se puede extraer información de salud, problemas físicos o psicológicos como en el caso de la voz, incluso algunos sistemas de identificación mediante huella dactilar permiten el registro de parámetros como la temperatura o la presión sanguínea. A lo que se suman factores como que la tecnología ofertada en el mercado suele recopilar más información de la que realmente es necesaria para la finalidad del tratamiento o con mucho más detalle.

En este punto, se han localizado algunos convenios colectivos que han regulado recientemente este asunto. Al respecto, cabe plantearse algunos interrogantes: ¿con qué finalidad se pacta? ¿hay algunos límites para la negociación cuando abordan esta realidad?

El primer grupo de convenios colectivos hace referencia a la biometría pero no prevé su uso como sistema de control horario. En estos casos, si la empresa pretendiera procesar datos biométricos de los trabajadores para el control horario, aplicaríamos el criterio general establecido por la Agencia Española Española de Protección de Datos en noviembre de 2023. Conforme a este criterio, en la actual normativa legal española no se contiene autorización suficientemente específica alguna para considerar necesario el tratamiento de datos biométricos con la finalidad de un control horario de la jornada de trabajo. Los artículos 20.3 y 34.9 del ET no constituyen una base legal para autorizar este uso en las empresas. En definitiva, la empresa no tiene legitimación para este uso y su tratamiento supondría un incumplimiento laboral. Como ejemplos cabe citar el XXI Convenio colectivo de la Industria Química (artículo 8) o el XXV Convenio colectivo de la Banca (artículo 80).

En segundo lugar, encontramos convenios colectivos que pactan al control biométrico como sistema de registro horario. Ahora bien, incorporan alguna garantía (por ejemplo, el consentimiento de la persona trabajadora). Una muestra es el artículo 11 del Convenio colectivo de la Industria, la Tecnología y los Servicios del Sector del Metal de la provincia de Huesca, que también permite el reconocimiento facial: «El sistema de registro de jornada será preferentemente de tipo electrónico (app móvil, fichero electrónico, etc.). Debiendo fichar la persona trabajadora mediante huella dactilar, reconocimiento facial, o cualquier otro medio, que garantice indubitadamente la identificación de la persona, previo consentimiento de la misma. En los casos en que esta posibilidad de registro electrónico fuera inviable, de forma subsidiaria se firmara en soporte papel».

Sobre este tipo de cláusulas debemos recordar que la Agencia de Protección de Datos ha concluido que, en un tratamiento de registro de jornada implementado con técnicas biométricas, el consentimiento de la persona empleada no puede levantar la prohibición del tratamiento, ni ser una base para determinar la licitud, al existir de forma general una situación de desequilibrio entre la persona trabajadora y la empresa que es la responsable del tratamiento.

Observamos una tercera categoría de normas convencionales donde se introducen los dispositivos biométricos como sistemas de registro horario sin exigir la aceptación del trabajador. Una manifestación es el Convenio Colectivo de la empresa Mercadona cuyo artículo 16 indica: «La Empresa tiene implantados dispositivos biométricos a partir de la huella dactilar para garantizar el registro diario de la jornada. Este tratamiento de datos de carácter personal de los trabajadores se realiza cumpliendo con las previsiones de la normativa en vigor y se han adoptado las medidas adecuadas de tipo técnico, organizativo y procedimental en garantía del respeto de los derechos fundamentales y de los intereses del trabajador/a relacionadas en la Guía de la AEPD «La Protección de Datos en las Relaciones Laborales», apartado 4.6. En cualquier caso, las medidas implementadas se revisarán y actualizarán cuando sea necesario».

Hay que advertir que este tipo de pactos nos plantea algunas dudas de legalidad. Si aplicamos el criterio de la Agencia de Protección de Datos en el caso de que el convenio colectivo incluyera el registro horario basado en los datos biométricos de la persona trabajadora, se debería justificar la necesidad de este tratamiento y por qué no son adecuados los sistemas existentes como tarjetas, certificados, claves, sistemas contact-less, etc.

A lo anterior, cabe añadir el argumento expuesto en la Sentencia del Tribunal de Justicia de la Unión Europea de 19.12.2024 (Asunto C-65/23, K GmbH). En esta Sentencia comentada en el Blog se hace una especial alusión a la protección reforzada de los datos biométricos prevista en el Reglamento (UE) 2016/679 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (RGPD) y se explica que esta protección no puede ser derogada por el convenio colectivo, pues esto podría suponer una injerencia especialmente grave en los principios fundamentales. Conforme al criterio judicial, podemos entender que el convenio colectivo no podría introducir nuevos tratamientos de los datos de los trabajadores que no estuvieran previstos en el RGPD ni tampoco dejar de aplicar los límites y garantías que fija la normativa comunitaria. Por ejemplo, no sería lícito que el convenio colectivo autorizara el tratamiento de datos biométricos de las personas trabajadoras para el control horario (tratamiento no previsto en el RGPD ni en la legislación española), ni siquiera, aunque se pactaran garantías adicionales.

Como conclusión final, en nuestra opinión, sería deseable que este tipo de cláusulas de naturaleza regresiva (grupos 2 y 3) fueran objeto de una revisión más profunda por parte de los negociadores en la medida que podrían ser replicadas por otros convenios colectivos y comenzar una senda de desprotección para los trabajadores.