AEPD Resolución 29-1-2026 · EXP202408491

La Agencia Española de Protección de Datos concluye que el uso de la huella dactilar en el sistema de acceso y registro de jornada para verificar la identidad de los trabajadores no infringe la normativa de protección de datos cuando la empresa justifica una necesidad específica vinculada a exigencias sanitarias, limita el sistema al área concreta y acredita haber valorado alternativas menos intrusivas.

Los hechos: sustitución del fichaje por tarjeta por un sistema biométrico

Un trabajador presenta una reclamación ante la AEPD contra la empresa cárnica en la que trabaja, denunciando la instalación de un sistema de reconocimiento facial y dactilar para el control de jornada, en sustitución del fichaje previo mediante tarjetas.

La empresa alega que la huella dactilar se mantiene únicamente en algunas zonas de producción cárnica, vinculándolo a exigencias de seguridad alimentaria, y que no existe una alternativa equivalente al sistema biométrico una vez evaluadas otras opciones para el control de acceso, así como los riesgos que la suplantación de identidad supone en el ámbito laboral y sanitario.

La cuestión planteada: ¿vulnera la normativa de protección de datos el uso de datos biométricos para el control de acceso?

La cuestión consiste en determinar si el uso de datos biométricos para verificar la identidad de los trabajadores y controlar el acceso y registro de jornada en determinadas zonas de la empresa cárnica vulnera la normativa de protección de datos, en particular el RGPD art. 9 y 35, relativos al tratamiento de datos de categoría especial y a la evaluación de impacto.

Valoración de la AEPD: los elementos que determinan la licitud del tratamiento

La AEPD valora los siguientes elementos aportados por la empresa para concluir que el tratamiento es conforme a la normativa:

  • La documentación relativa al análisis de riesgos, en la que se exponen los motivos invocados para la utilización del sistema en la zona de producción, vinculados a exigencias de control sanitario.
  • La evaluación de sistemas alternativos y la justificación de su falta de equivalencia, conectada con el equipamiento de protección y con incidencias previas asociadas al uso de tarjetas identificativas.
  • El hecho de que la implantación del control biométrico se circunscribe a la zona de producción, para la que se aporta la justificación de necesidad, mientras que en las zonas de oficina se sustituye por tarjeta identificativa al no apreciarse esa necesidad en dichas áreas.

Resultado: no se aprecia infracción de la normativa de protección de datos

Tras valorar la justificación aportada por la empresa, el alcance limitado del sistema y la sustitución parcial por tarjetas en otras áreas, la AEPD concluye que no hay incumplimiento en materia de protección de datos personales ni evidencias de infracción, considerando acreditado que la empresa realiza un tratamiento de datos de categoría especial en un sistema de control de acceso con uso de datos biométricos conforme a las exigencias del RGPD art. 9 y 35.