RGPD e fichaxe: biometría, xeolocalización e datos do persoal

A base xurídica: unha obriga legal

Rexistrar a xornada supón tratar datos persoais: o nome da persoa traballadora, o seu DNI, a que hora entra e sae, ás veces desde onde ficha. Segundo o Regulamento xeral de protección de datos (RGPD), todo tratamento precisa unha base xurídica, e aquí está clara: é o cumprimento dunha obriga legal (artigo 6.1.c do RGPD), a do artigo 34.9 do Estatuto dos traballadores. Así o entende tamén a Axencia Española de Protección de Datos (AEPD) na súa guía sobre protección de datos nas relacións laborais.

Consecuencias prácticas:

• Non fai falta pedir o consentimento da persoa traballadora para rexistrar a súa xornada. Tampouco pode negarse a que se rexistre.
• Só se poden tratar os datos necesarios para esa finalidade (minimización). Usalos para outra cousa, como avaliar o rendemento, requiriría a súa propia base xurídica e a súa propia información.
• O sistema debe ter medidas de seguridade axeitadas: acceso restrinxido, rexistro de quen consulta que, copias de seguridade.
• Se contratas un programa na nube, o provedor é o teu encargado do tratamento e precisas un contrato con el.

Informar a persoa traballadora

Aínda que non se pida consentimento, si hai que informar (artigo 13 do RGPD) de forma clara e accesible, antes de comezar: quen é o responsable, para que se usan os datos, a base xurídica, canto tempo se conservan, quen pode acceder (representantes, Inspección, xestoría, provedor), se se usa a localización e como exercer os dereitos de acceso, rectificación etc. A falta de información foi a maior das multas nun dos casos que vemos máis abaixo.

Se hai representantes legais, lembra ademais que o sistema de rexistro se organiza mediante negociación ou logo de consultalos (mira obrigas do rexistro horario).

Biometría: mellor non

A Guía sobre tratamientos de control de presencia mediante sistemas biométricos da AEPD (novembro de 2023) cambiou o criterio que moitos aplicaban. As súas conclusións principais:

• Os sistemas de pegada dactilar, cara, iris ou similares tratan datos de categoría especial (artigo 9 do RGPD), tanto se identifican como se só autentican a persoa.
• Para usalos no rexistro de xornada precísase unha norma con rango de lei que o autorice especificamente; a obriga xenérica do artigo 34.9 non abonda.
• O consentimento non serve no ámbito laboral, polo desequilibrio entre empresa e persoal.
• Antes de calquera tratamento biométrico é obrigatoria unha avaliación de impacto que supere o xuízo de idoneidade, necesidade e proporcionalidade.

Sancións da AEPD

A AEPD aplicou este criterio en procedementos sancionadores. Dous exemplos publicados na súa web:

Nos dous casos a AEPD ditou ademais ordes para corrixir a situación. As contías dependen de cada caso; o importante é o criterio: fichar con biometría expón hoxe a empresa a un risco alto sen unha vantaxe que non se poida conseguir doutro xeito. Alternativas en como escoller un lector de fichaxe.

Xeolocalización: con cautela

O artigo 90 da Lei orgánica 3/2018 (LOPDGDD) permítelle á empresa tratar datos de xeolocalización para exercer as súas funcións de control, dentro do seu marco legal, sempre que informe antes, de forma expresa, clara e inequívoca, o persoal e, se é o caso, os seus representantes, sobre a existencia e as características destes dispositivos e sobre como exercer os seus dereitos.

Para o rexistro de xornada, o prudente é:

• non usar a localización se non achega nada (nunha oficina con terminal non fai falta);
• se se usa, tomala só no instante de fichar, non de forma continua;
• nunca seguir a persoa fóra da súa xornada, nas súas pausas ou no seu domicilio;
• gardar só o necesario (por exemplo, se estaba dentro do radio do centro) e durante o tempo xusto.

Na tramitación do real decreto de rexistro dixital formulouse precisamente este punto: entre as achegas que resume o ditame do Consello de Estado figura a de limitar a xeolocalización aos casos imprescindibles pola natureza da actividade e ao tempo de traballo efectivo. No teletraballo hai razóns adicionais para non usala: vémolo en teletraballo e rexistro.

Canto tempo se gardan

O Estatuto fixa catro anos. Pasado ese prazo, se non hai un motivo para conservalos (un litixio ou unha inspección en curso), o correcto é suprimilos ou bloquealos segundo a normativa de protección de datos. Conservalos indefinidamente «por se acaso» tampouco cumpre o RGPD.

Quen pode ver os rexistros

• A persoa traballadora, os seus, en calquera momento.
• Os representantes legais: o artigo 34.9 di que os rexistros permanecen á súa disposición. Convén un acceso de consulta limitado e que quede constancia de cada acceso.
• A Inspección de Traballo, cando o pida.
• Dentro da empresa, só quen o necesite: recursos humanos, o encargado do seu equipo, a xestoría.

Desconexión dixital

O artigo 88 da LOPDGDD recoñece o dereito a non responder comunicacións fóra do tempo de traballo, e obriga a empresa a elaborar unha política interna, logo de oír os representantes. Aplicado á fichaxe: os avisos e recordatorios da app non deberían chegar fóra do horario, agás que a propia persoa os active.

Como o fai MiFicha

MiFicha non usa biometría: fíchase cun QR dinámico do móbil, unha tarxeta, un PIN ou a web. A xeolocalización é opcional: actívaa a empresa, tómase só no momento de fichar, a app avisa a persoa traballadora e nunca hai seguimento continuo. Os representantes e a Inspección teñen accesos de só lectura, e cada consulta queda rexistrada. Os datos consérvanse catro anos e despois suprímense automaticamente (agás que a empresa indique un motivo para conservalos). Os recordatorios respectan o horario. Para a empresa, MiFicha inclúe modelos de texto de información ao persoal e de rexistro de actividades de tratamento, e na nube asinamos o contrato de encargado do tratamento. Son modelos de partida: revísaos co teu asesor.