El Estatuto de los Trabajadores ha atribuido facultades específicas a la empresa que posibilitan el control del desarrollo de la prestación laboral, así según el artículo 20.3 Del Real Decreto Legislativo 1/1995: “el empresario podrá adoptar las medidas que estime más oportunas de vigilancia y control para verificar el cumplimiento por el trabajador de sus obligaciones y deberes laborales, guardando en su adopción y aplicación la consideración debida a su dignidad humana y teniendo en cuenta la capacidad real de los trabajadores disminuidos, en su caso”
Por tanto, el consentimiento del trabajador no es necesario para realizar estos tratamientos, ya que la base jurídica se encuentra en el citado artículo, que faculta al empresario para implantar medidas de control y para tratar los datos personales que sean captados en dicho contexto.
El conflicto suscitado por el uso del las TIC con relación a los derecho fundamentales de la persona trabajadora no se encuentra regulado en nuestro ordenamiento jurídico laboral. Hasta la fecha, no se ha adoptado normativa específica que contemple los problemas derivados de la utilización de este tipo de mecanismos de control en el lugar de trabajo.
Dicho todo esto y aunque el consentimiento del trabajador no sea necesario, el empresario tiene que tener presente que se debe informar al trabajador de las medidas adoptadas de registro de jornada.
Otro punto que también sería muy importante es realizar una Evaluación de Impacto que permita conocer con antelación los posibles riesgos a los que están expuestos los datos personales.
Por su parte, el Tribunal Constitucional ha efectuado un razonamiento jurídico para comprobar si una medida de control restrictiva de un derecho fundamental supera el juicio de proporcionalidad necesario para poder considerarla legítima. Para ello es necesario comprobar si cumple con los siguientes tres requisitos:
- Si tal medida es susceptible de conseguir el objetivo propuesto. Juicio de idoneidad.
- Si es necesaria, en el sentido de que no exista otra más moderada para la consecución de tal propósito con igual eficacia. Juicio de necesidad.
- Si la misma es ponderada o equilibrada, por derivarse de ella más beneficios o ventajas para el interés general que perjuicios sobre otros bienes o valores en conflicto jurídico. Juicio de proporcionalidad
Es por tanto importante resolver la cuestión de si realmente es necesario usar el reconocimiento facial como registro de jornada de trabajo o cabe la posibilidad de poder implantar otros sistemas menos invasivo con la intimidad del trabajador, si en el pasado han tenido algún problema de suplantación de identidad que les haya llevado a implantar este tipo de sistemas más severos.
Es muy importante cumplir con los requisitos de idoneidad, necesidad y proporcionalidad, mencionados anteriormente, así como la realización de la Evaluación de Impacto, pues se ha dado el caso de una sanción emitida por la AEPD a una empresa por usar sistemas de registro de la jornada laboral que implicaban la obtención de datos biométricos, concretamente, al igual que en nuestro caso, por el uso de reconocimiento facial para el registro de la jornada laboral, por considerar que incumplía preceptos del RGPD. Concretamente, en este caso, la AEPD destaca el incumplimiento por parte de la empresa del artículo 9.2,b) ya que la base jurídica que argumenta la entidad para legitimar el tratamiento de datos personales que supone la implantación del sistema de reconocimiento facial para el registro de la jornada laboral es la obligación legal del registro horario de la jornada laboral. Sin embargo, la AEPD determina en la resolución que la causa de legitimación para llevar a cabo el control horario de la jornada laboral diaria sólo alcanza a la obligación de llevarlo a cabo, pero no a realizarlo utilizando datos biométricos y por tanto su uso supone la infracción del mencionado artículo.
Por otro lado, se determina también un incumplimiento del artículo 35 RGPD al no existir una evaluación de impacto relativa a protección de datos vinculada al tratamiento de reconocimiento facial de las que deriven la adopción de medidas y garantías específicas para dicho tratamient,
En resumidas cuentas, el trabajador no puede negarse a usar ese tipo de sistemas de control de la jornada laboral porque no tiene potestad para dar su consentimiento en ese aspecto, el empresario únicamente estaría obligado a informarle. Aunque bien es cierto que es conveniente sopesar la idea de implantar, si fuese posible, otro tipo de sistema que, como hemos dicho antes, no sea tan invasivo con los derechos fundamentales de la persona.