El tratamiento de los datos biométricos de trabajadores por parte del empresario no puede ser utilizada para registrar el horario laboral. El empresario desarrolla en manera legal los datos biométricos de sus trabajadores, utilizando las condiciones especificadas en el GDPR y la legislación aplicable.
Los datos biométricos son parte de una categoría particular de datos que es delicada y sujeta a una protección particular. Estás tipologías de datos puede ser desarrollada solamente en condiciones extraordinarias (artículo 9 apartado 2 del GDPR). Por ejemplo, si el sujeto interesado expresa su consentimiento o el tratamiento de los datos de la persona que los ha hecho públicos.
Sin embargo, estas situaciones no incluyen el tratamiento de datos personales, en particular los datos biométricos, para grabar la presencia del empleado en el lugar de trabajo.
Para que el tratamiento de esta categoría de datos en ámbito de trabajo sea legal, el GDPR indica las condiciones que tienen que ser cumplidas (artículo 9 apartado 2 letra b). El punto es que el tratamiento de este tipo de datos es necesario para cumplir con las obligaciones y ejercer derechos especiales por parte del trabajador o empresario. Además, la base para el procesamiento debe ser una disposición legal que regule explícitamente la posibilidad de procesar datos confidenciales para fines específicos y proporcione salvaguardas apropiadas para los derechos e intereses del interesado.
En cuanto al sector del empleo, el procesamiento de datos biométricos está regulado por la legislación laboral. No proporcionan una base legal para el procesamiento por parte del empresario de los datos biométricos de los trabajadores con el fin de registrar el tiempo de trabajo. De conformidad con el art. 22¹ᵇ del Código del Trabajo, se pueden procesar categorías especiales de datos, incluidos datos biométricos (Artículo 9, apartado 1 del GDPR):
– con el consentimiento del solicitante de empleo o de un empleado sólo si su transferencia se realiza por iniciativa de esas personas,
– cuando es necesario proporcionar dichos datos debido al control de acceso a información particularmente importante, cuya divulgación puede exponer al empresario a daños o acceso a habitaciones que requieren protección especial.
Esto significa que hay dos situaciones en las que un empleador puede procesar legalmente datos en una categoría particular.
La primera es la situación en la que el trabajador o el solicitante de empleo solo da su consentimiento para el procesamiento de sus datos biométricos. En este punto, debe recordarse que este consentimiento, según lo requerido por el GDPR, debe ser voluntario, informado, y el empleado tiene el derecho de revocarlo en cualquier momento sin consecuencias negativas para él. Sin embargo, el consentimiento no debe constituir una base legal importante para el procesamiento de datos personales en una situación en la que exista un desequilibrio claro entre el interesado y el controlador. Mientras tanto, hay un desequilibrio en estas dos entidades en la relación empresario-empleado.
Sin embargo, debe enfatizarse que el procesamiento de datos de categorías particulares debe llevarse a cabo no solo con el consentimiento del empleado o solicitante de empleo, sino principalmente por iniciativa de estas personas.
La segunda situación incluye el tratamiento de datos biométricos, que resulta únicamente de la necesidad de proporcionar control de acceso a información particularmente importante, cuya divulgación puede exponer al empresario a daños o acceso a locales en el lugar de trabajo que requieren protección especial.
Por lo tanto, el empresario, al usar los datos biométricos del empleado para registrar el tiempo de trabajo, violaría los principios establecidos en el GDPR (Artículo 5, párrafo 1). En particular, procesaría datos contra el principio de licitud, lealtad y transparencia (punto a), limitación de la finalidad (punto b) y minimización de datos (punto c) porque no podría mostrar por qué y sobre qué base legal procesa los datos biométricos de los empleados para fines relacionados con verificar su presencia en el trabajo.
Cabe señalar que el empresario puede registrar el tiempo de trabajo utilizando herramientas distintas al uso de tecnologías modernas que procesan los datos biométricos de los empleados. Esto se puede lograr mediante, por ejemplo, listas de asistencia o identificaciones individuales o tarjetas de acceso.
FUENTE: AUTORITA’ PER LA PROTEZIONE DEI DATI DELLA POLONIA – UODO