La Autoridad de Protección de Datos de Cataluña (APDCAT) se ha pronunciado en una consulta sobre la base de legitimación para el registro de la jornada laboral a través de huella dactilar o reconocimiento facial, ya que, si en la práctica no hay base jurídica que legitime dicho tratamiento, no comprenden la necesidad de realizar una evaluación de impacto en la protección de los datos personales (EIPD).
La APDCAT hace referencia al dictamen CNS 2/2022 en el que ya vino a valorar el uso de sistemas de reconocimiento facial para el registro de la jornada por parte de un ayuntamiento, que finalmente declara que no se puede basar en la aplicación de una norma con rango de ley. Sin embargo, el FJ IV del dictamen CNS 2/2022 analiza la posibilidad de recurrir a la base jurídica del consentimiento, el cual tiene que reunir determinadas circunstancias las cuales, a priori, no se daban en el supuesto de que se planteó.
El dictamen recuerda que no se considera válido el consentimiento como base jurídica legitimadora de los tratamientos llevados a cabo por las administraciones públicas o los empresarios para el control en el entorno laboral, debido al desequilibrio de poder que acostumbra a producirse entre las relaciones de aquellos con los interesados, que impide que el consentimiento pueda considerarse libre.
Pese a ello, la APDCAT concluye en la presente consulta que “el consentimiento puede ser una base jurídica habilitante del tratamiento de datos biométricos con finalidad de control horario siempre que este constituya una manifestación de voluntad libre, específica, informada e inequívoca por parte del interesado de aceptar el tratamiento (…).
En cualquier caso, antes de llevar a cabo un tratamiento como el que plantea la consulta, hay que hacer una evaluación del impacto sobre la protección de datos a la vista de las circunstancias concretas en que se lleve a cabo el tratamiento donde se analice, entre otras cuestiones, la licitud del tratamiento”.