Cercador de resolucions, dictàmens i informes

El consentiment del personal afectat no pot considerar-se una base jurídica adequada per a la implantació d’un sistema de control horari mitjançant reconeixement facial com el que es descriu a la consulta. Seria necessària la previsió d’aquest sistema de control en una disposició legal o en un conveni col·lectiu aplicable, o si escau, en un pacte o acord resultat de la negociació col·lectiva, circumstàncies que no sembla que concorrin en el cas analitzat. En qualsevol cas, abans de la implantació d’un sistema d’aquest tipus, cal fer una avaluació de l’impacte sobre la protecció de dades a la vista de les circumstàncies concretes en què es dugui a terme el tractament per determinar-ne la licitud i la proporcionalitat, inclosa l’anàlisi de l’existència d’alternatives menys intrusives, i establir les garanties adequades.

No correspon a aquesta Autoritat definir els mitjans a través dels quals es realitzi la identificació dels ciutadans per mitjans electrònics en la tramitació administrativa, ni determinar si un sistema d’identificació pot garantir fefaentment la identitat de la persona sol·licitant. Un sistema d’identificació dels interessats que reculli juntament amb les dades del DNI o document identificatiu de l’interessat la seva imatge i veu, pot tenir com a base jurídica l’exercici de poders públics conferits al responsable del tractament en relació a les funcions d’identificació dels interessats en el procediment previst a la normativa de procediment administratiu. Si s’utilitza mitjans tècnics específics que permetin la identificació o l’autenticació unívoques d’una persona física, comportarà el tractament de dades biomètriques i, per tant, categories especials de dades. Per tal que aquest tractament de dades sigui lícit i adequat a la normativa de protecció de dades ha de comptar amb el consentiment vàlid de l’interessat i adequar-se a la resta de principis de l’RGPD entre els quals el principi de minimització, de manera que ateses les circumstàncies concretes del tràmit o tràmits en els quals es pretengui aplicar, superi el judici de proporcionalitat.

Per tractar dades biomètriques cal que concorri alguna de les circumstàncies previstes a l'article 9.2 RGPD que permeten el tractament de categories especials de dades. Amb caràcter previ a iniciar el tractament, és necessari realitzar una avaluació d'impacte relativa a protecció de dades, quan el tractament comporti un risc alt. En la recollida de les dades s'ha de fer efectiu el dret d'informació.

Les dades biomètriques sotmeses a tractaments tècnics específics adreçats a fins de reconeixement biomètric, ja sigui en forma d’identificació o d’autenticació biomètrica, han de considerar-se com a categoria especial de dades. Per tant, tindrien aquesta consideració tant l’empremta dactiloscòpica, a la qual s’aplica un tractament tècnic específic, quan s’utilitzi amb la finalitat d’autenticar la identitat d’una persona física, com la signatura biomètrica obtinguda sobre una tauleta, mesurant la formació de les lletres, la direcció dels trets, pressió i altres característiques dinàmiques úniques, en la mesura que se sotmet a un tractament tècnic específic amb la finalitat de confirmar-ne l’autoria.

Dictamen en relació amb la “Guía sobre la protección de datos personales en el ámbito universitario en tiempos del COVID-19” elaborada per la CRUE

L’Ajuntament formula una consulta sobre la necessitat o no de realitzar l’Avaluació d’Impacte relativa a la protecció de dades del tractament de gestió de recursos humans que porta a terme aquest Ajuntament. El tractament de dades de salut i d’antecedents penals descrit a la consulta, amb motiu del tractament de les dades dels recursos humans de l’Ajuntament no requereix una avaluació d’impacte relativa a la protecció de dades. No obstant això, si la utilització de dades biomètriques es vol iniciar o s’ha iniciat amb posterioritat al 25 de maig de 2018, seria necessari fer una avaluació d’impacte relativa a la protecció de dades respecte aquesta part del tractament.

L'ús d'un sistema de reconeixement facial i dactilar per controlar l'assistència de l'alumnat, s'ha de fonamentar en una de les excepcions previstes a l'article 9.2 RGPD. D'altra banda, en el moment de la recollida de les dades s'ha de fer efectiu el dret d'informació. Al seu torn, quan s'encarrega la prestació d'un servei a un tercer que impliqui accedir a dades personals, cal subscriure el contracte d'encarregat del tractament.

La inclusió de les dades biomètriques, entre elles les de l’empremta dactilar, entre les categories especials de dades previstes per l’RGPD no permet concloure de manera automàtica que la implantació d’un sistema de control horari basat en la recollida d’aquest tipus de dades pugui considerar-se proporcionat i, per tant, conforme amb el principi de minimització. Cal fer una avaluació de l’impacte sobre la protecció de dades a la vista de les circumstàncies concretes en què es dugui a terme el tractament per determinar-ne la legitimitat i la proporcionalitat, inclosa l’anàlisi de l’existència d’alternatives menys intrusives, i establir les garanties adequades.

El sistema de control d’accés biomètric examinat no s’adequaria al principi de proporcionalitat, per la qual cosa seria recomanable implantar un sistema alternatiu que doni resposta adequada a la finalitat pretesa pel col·legi professional sense posar en risc el correcte compliment dels principis i garanties de la normativa de protecció de dades personals.