Hace unos días, la Agencia Española de Protección de Datos (en adelante, AEPD) publicó un nuevo informe sobre el tratamiento de datos biométricos. El informe es especialmente interesante, pues se refiere al control biométrico para el acceso a las instalaciones de las dependencias de la Guardia Civil, afectando a visitantes, residentes que se encuentran dentro del recinto y también a trabajadores.
En España no contamos aún con una norma que regule el uso de esta tipología de datos en el ámbito laboral y, por ello, aplicamos la regla general de la prohibición recogida en el Reglamento (UE) 2016/679 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (RGPD). A su vez, la AEPD concluyó en la Guía sobre Tratamientos de Control de Presencia mediante Sistemas Biométricos de noviembre de 2023 que en la actual normativa legal española no se contiene autorización suficientemente específica alguna para considerar necesario el tratamiento de datos biométricos con la finalidad de un control horario de la jornada de trabajo.
La razón es que este tipo de tratamiento de datos es de alto riesgo, pues incluye categorías especiales de datos, entre ellos, datos de salud. Por ejemplo, en los sistemas basados en el reconocimiento facial se pueden tratar datos que revelan el origen racial y también se puede extraer información de salud, problemas físicos o psicológicos como en el caso de la voz, incluso algunos sistemas de identificación mediante huella dactilar permiten el registro de parámetros como la temperatura o la presión sanguínea.
Hay que advertir que de la lectura del informe de 2025 no se identifica la tipología de datos biométricos (huella dactilar, voz, rostro, entre otros). No obstante, a juicio de la AEPD, el tratamiento proyectado cuenta con la base legal y regulación suficiente, es idóneo, necesario y cumple el principio de proporcionalidad en sentido estricto.
Veamos cuáles fueron los argumentos que legitiman el tratamiento biométrico en el caso concreto:
–Delimitación entre identificación y autenticación: Es un aspecto muy relevante en el informe la delimitación entre identificación (consiste en determinar la identidad de una persona comparando sus datos biométricos, por ejemplo, una huella dactilar o un patrón facial, con los datos de un conjunto amplio de personas almacenadas en una base de datos) y la autenticación biométrica (se basa en confirmar que una persona es quien dice ser, comparando sus datos biométricos con una plantilla única previamente vinculada a su identidad).
Precisamente, la consulta formulada se refiere a un sistema de autenticación sin creación de base de datos centralizada, basado en información biométrica, con generación biométrica en el tótem de recogida de datos, y la plantilla biométrica conservada por el usuario.
Explica la Agencia española: «En consecuencia, la distinción entre identificación o autenticación y especialmente de los elementos concretos de estos tratamientos tanto por sus fines como especialmente por los medios son elementos esenciales para determinar la proporcionalidad del tratamiento, la necesidad de realizar una evaluación de impacto y la aplicabilidad de excepciones al tratamiento de datos biométricos, especialmente en ámbitos como el laboral, la seguridad pública o la prestación de servicios digitales».
En noviembre de 2023 la Agencia concluyó que el tratamiento de datos biométricos, tanto para identificación como para autenticación, supone un tratamiento de alto riesgo que incluye categorías especiales de datos. Ahora bien, en este nuevo informe de 2025 afirma que, sin perjuicio de que la autenticación y la identificación supongan un tratamiento de datos especialmente protegidos, el riesgo para los derechos del interesado será menor en el caso de la autenticación.
–Base legal y regulación suficiente: argumenta la AEPD que el sistema biométrico que se analiza se enmarca en un contexto especialmente sensible y regulado como es el de la protección de edificios e instalaciones concretos de la Guardia Civil y que la base legal es la Ley Orgánica 2/1986, de 13 de marzo, de Fuerzas y Cuerpos de Seguridad. El artículo 11 de esta Ley dispone en su apartado primero que “Las Fuerzas y Cuerpos de Seguridad del Estado tienen como misión proteger el libre ejercicio de los derechos y libertades y garantizar la seguridad ciudadana mediante el desempeño de las siguientes funciones:” y «c) Vigilar y proteger los edificios e instalaciones públicos que lo requieran.” También, con carácter más genérico “f) Prevenir la comisión de actos delictivos».
Precisamente, en marzo de 2025 en la resolución n. 10138981 la Agencia Italiana de Protección de Datos (Il Garante per le protezione dei dati personali, GPDP) ha recordado que, de conformidad con el RGPD y el Código de Protección de Datos italiano, el uso de datos biométricos en el lugar de trabajo requiere una disposición legal clara y garantías específicas para los derechos de los interesados. Por este motivo, ha sancionado a un Instituto por implementar un sistema de control del acceso para los trabajadores basado en la huella dactilar para detectar la presencia en la oficina y prevenir daños y vandalismo.
–Idoneidad: El tratamiento sería idóneo (esto es, serviría para) la finalidad pretendida, que es garantizar el control de accesos para conferir una intensa seguridad, que es la necesaria para el acceso a las concretas instalaciones del ámbito de las Fuerzas y Cuerpos de Seguridad, algunas de las cuales incluso pueden albergar información clasificada o ser consideradas infraestructuras básicas, lo que en su caso refuerza el fundamento de necesidad reforzada que exige el artículo 13.1 a) Ley Orgánica 7/2021, de 26 de mayo, de protección de datos personales tratados para fines de prevención, detección, investigación y enjuiciamiento de infracciones penales y de ejecución de sanciones penales, o en términos del artículo 9.2.g del RGPD, el interés público esencial.
–Necesidad: El sistema de identificación biométrica está diseñado para ser apropiado al fin perseguido, ya que el tratamiento biométrico permite verificar con mayor fiabilidad que otros mecanismos quién accede a los espacios protegidos, evita suplantaciones de identidad y permite restringir accesos no autorizados.
Desde nuestra opinión, la necesidad de la medida quedaría justificada por ejemplo por la materia clasificada ubicada en parte de las instalaciones pero no tendría por qué aplicarse a todo el recinto.
Conviene subrayar que la Autoridad francesa de protección de datos (Commission Nationale de l’Informatique et des Libertés, CNIL) ha concluido en la decisión de julio de 2025 que el uso de cámaras aumentadas para predecir la edad de un cliente y así detectar y prevenir la venta de alcohol o tabaco a los menores es desproporcionado e innecesario. Estas cámaras utilizan algoritmos basados en inteligencia artificial para escanear los rasgos faciales y estimar si una persona es menor de edad o adulta. Se explica entre los motivos que conducen a esta resolución que estas cámaras graban a todas las personas, incluso a aquellas que son claramente mayores de edad.
–Proporcionalidad en sentido estricto: También se exige la proporcionalidad en sentido estricto, que implica valorar si los perjuicios causados por la medida son desproporcionados respecto al objetivo perseguido. Sobre este punto, se explica que el sistema en cuestión incorpora numerosas garantías técnicas y organizativas que minimizan el impacto sobre los derechos de los interesados.
Como conclusión final, pensamos que sería deseable que hubiera un marco legal claro y estable sobre el uso de los datos biométricos de los trabajadores en nuestro país, pues su tratamiento puede suponer un riesgo de vulnerabilidad extrema al afectar a la propia identidad de la persona trabajadora como persona física. Partiendo de tal premisa, desde nuestro punto de vista, hasta que no se apruebe dicha regulación parece más aconsejable el criterio fijado por la Agencia en noviembre de 2023 por ser más garantista y restringir la aplicación de las excepciones a los supuestos estrictamente necesarios.
