Como es sabido, los sistemas biométricos y el tratamiento de los datos obtenidos a partir de ellos están evolucionando muy rápidamente. Los nuevos sistemas han aumentado el detalle de la información recogida y permiten la posibilidad de recabar información sin cooperación de la persona, a veces sin ser consciente de ello. El desarrollo de la inteligencia artificial además viene a hacer más compleja la cuestión, pues permite inferir información adicional sobre la persona.

Como consecuencia de ello se han producido cambios en el contexto normativo, social y tecnológico, incluso en un período corto, que hacen necesario plantearse los límites al tratamiento de datos biométricos La Agencia Española de Protección de Datos ha actualizado en diciembre de 2025 su guía ‘Protección de datos en las relaciones laborales’, como instrumento práctico de apoyo al cumplimiento normativo por empresas y organizaciones públicas y privadas, con vocación de servir de referencia para aplicar criterios y orientaciones en el tratamiento de datos en el empleo.

La Agencia ha reiterado su enfoque de alto riesgo y exigencia de evaluación de impacto, como muestra la prohibición del reconocimiento facial en las empresas por entender se produce infracción de los artículos 9 y 35 del Reglamento General de Protección de Datos, entre otros extremos, al existir alternativas menos intrusivas.

El marco para el uso de tecnologías biométricas en el ámbito laboral se regula principalmente por el Reglamento General de Protección de Datos, considerando los datos biométricos como categoría especial de datos personales. A nivel nacional nos encontramos la Ley Orgánica 3/2018 de Protección de datos personales y garantía de los derechos digitales, que viene a realizar la transposición del Reglamento europeo a la normativa nacional.

A partir de las directrices publicadas por el Consejo Europeo de Protección de Datos de 26 de abril de 2023, precisamente la Agencia revisó su interpretación, porque conforme a estas directrices tanto la identificación biométrica como la autenticación biométrica son procesos que implican el tratamiento de categorías especiales de datos.

Respecto al uso de esta tecnología como medio de control de la jornada laboral, la Agencia establece un criterio restrictivo de los sistemas biométricos con dichos fines. La utilización a priori no se presume justificada y solo se podrá admitir si se cumplen condiciones muy estrictas dentro del marco normativo establecido.

En suma, el principio de proporcionalidad es clave para la toma de decisiones respecto a su implementación. De acuerdo con el artículo 5.1.c del Reglamento General de Protección de Datos, el tratamiento de datos debe ser adecuado, pertinente y limitado a lo necesario. Por tanto, el uso de sistemas biométricos solo será legítimo si no existe una alternativa menos intrusiva que permita alcanzar los objetivos.

Por otro lado, la tendencia jurisprudencial es altamente restrictiva, obligando a las empresas a migrar del control biométrico a métodos de control de presencia menos intrusivos (tarjetas NFC, aplicaciones móviles, códigos), salvo en entornos muy específicos de seguridad muy justificada.

Esto supone que los criterios establecidos se refuerzan y las empresas deberán revisar la evaluación de impacto en su día realizada, con objeto de acreditar que el uso de estas herramientas pasa el juicio de idoneidad, necesidad y proporcionalidad del tratamiento, y las medidas técnicas organizativas jurídicas hasta ahora implantadas deberán revisarse al objeto de ser reforzadas.

En resumen, en relación con el tratamiento de control de presencia mediante técnicas biométricas de identificación o autenticación, los responsables del tratamiento han de tener en cuenta que:

• La utilización de tecnologías biométricas de identificación y autenticación en el control de presencia supone un tratamiento de alto riesgo que incluye categorías especiales de datos
• En la implementación del tratamiento de control de presencia hay que cumplir los principios de minimización y de protección de datos desde el diseño y, por defecto, utilizando las medidas alternativas equivalentes menos intrusivas y que traten los menos datos adicionales
• Es necesario que exista una circunstancia para levantar la prohibición de tratar las categorías especiales de datos y, además, una condición que legitime el tratamiento

Así, en los últimos dos años, la Agencia ha iniciado e instruido procedimientos sancionadores, derivando de ellos la imposición de multas significativas a organizaciones y empresas que adoptaron los sistemas de control de la jornada laboral basado en estos sistemas con huella dactilar o reconocimiento facial sin contar con la base jurídica suficiente ni con la realización de una evaluación de impacto en protección de datos, o sin facilitar alternativas menos intrusivas.