Cercador de resolucions, dictàmens i informes

Les dades biomètriques sotmeses a tractaments tècnics específics adreçats a fins de reconeixement biomètric, ja sigui en forma d’identificació o d’autenticació biomètrica, han de considerar-se com a categoria especial de dades. Per tant, tindrien aquesta consideració tant l’empremta dactiloscòpica, a la qual s’aplica un tractament tècnic específic, quan s’utilitzi amb la finalitat d’autenticar la identitat d’una persona física, com la signatura biomètrica obtinguda sobre una tauleta, mesurant la formació de les lletres, la direcció dels trets, pressió i altres característiques dinàmiques úniques, en la mesura que se sotmet a un tractament tècnic específic amb la finalitat de confirmar-ne l’autoria.

La inclusió de les dades biomètriques, entre elles les de l’empremta dactilar, entre les categories especials de dades previstes per l’RGPD no permet concloure de manera automàtica que la implantació d’un sistema de control horari basat en la recollida d’aquest tipus de dades pugui considerar-se proporcionat i, per tant, conforme amb el principi de minimització. Cal fer una avaluació de l’impacte sobre la protecció de dades a la vista de les circumstàncies concretes en què es dugui a terme el tractament per determinar-ne la legitimitat i la proporcionalitat, inclosa l’anàlisi de l’existència d’alternatives menys intrusives, i establir les garanties adequades.

El sistema de control d’accés biomètric examinat no s’adequaria al principi de proporcionalitat, per la qual cosa seria recomanable implantar un sistema alternatiu que doni resposta adequada a la finalitat pretesa pel col·legi professional sense posar en risc el correcte compliment dels principis i garanties de la normativa de protecció de dades personals.

La instal·lació d'un sistema de control d'accés i horari basat en la identificació dels treballadors d'una Administració pública mitjançant el patró biomètric comporta el tractament de dades personals. En la mesura que la recollida d'aquestes dades biomètriques es realitzi dins d'una relació jurídica laboral o administrativa i tingui com a finalitat el control, precisament, del seu compliment, l'Administració pot tractar-les i recollir-les sense necessitat de requerir el consentiment dels afectats. En aquest cas, el compliment del deure d'informació haurà de produir-se en el moment de la recollida inicial del patró biomètric.

Implantació d'un sistema de control horari mitjançant l'empremta digital per part d'una administració pública. L'empremta digital té consideració de dada personal (art. 3 a) LOPD i 5.1 f) RLOPD). El seu tractament es considera conforme amb els principis de proporcionalitat i qualitat de les dades (art. 4 LOPD), per ser un tractament adequat, pertinent i no excessiu en relació amb la finalitat de controlar el compliment de l'horari dels treballadors, sense ser necessari comptar amb el seu consentiment (art. 6.2 LOPD). No obstant això, caldrà complir amb la resta de principis i obligacions de la LOPD, especialment, el deure d'informar (art. 5 LOPD), la creació i inscripció del fitxer (art. 20 LOPD) i l'adopció de mesures de seguretat exigibles, i si escau, l'aplicació de mesures addicionals en atenció a la naturalesa de la informació tractada i els riscos previsibles.

Implantació d'un sistema de control horari mitjançant l'empremta digital per part d'una Diputació provincial. L'empremta digital té consideració de dada personal (art. 3 a) LOPD i 5.1 f) RLOPD). El seu tractament es considera conforme amb els principis de proporcionalitat i qualitat de les dades (art. 4 LOPD), per ser un tractament adequat, pertinent i no excessiu en relació amb la finalitat de controlar el compliment de l'horari dels treballadors, sense ser necessari comptar amb el seu consentiment (art. 6.2 LOPD). No obstant això, caldrà complir amb la resta de principis i obligacions de la LOPD, especialment, el deure d'informar (art. 5 LOPD), la modificació del fitxer de "personal" o bé, la creació i inscripció d'un fitxer específic per a aquest tractament (article 20 de la LOPD) i l'adopció de mesures de seguretat exigibles, i si escau, l'aplicació de mesures addicionals en atenció a la naturalesa de la informació tractada i els riscos previsibles.