Biométricos en el trabajo:la huella no es solamente un método de asistencia

En consecuencia de la última reforma al artículo 132 fracción  XXXIV de la Ley Federal del Trabajo, el cual obliga a las empresas a registrar electrónicamente la jornada de cada trabajador y a proporcionarlo a la autoridad cuando se le requiera, los sistemas de registro de asistencia basados en lectores de huellas o reconocimiento facial, han aumentado su popularidad. Sin embargo, hay ciertos detalles que se deben tener en consideración antes de su implementación.

Un dato que no puede cambiarse como una contraseña

Los sistemas de asistencia y acceso ya no se limitan a tarjetas o listas. Muchas empresas utilizan huellas, geometría facial o voz para identificar al personal. El problema aparece cuando el proyecto se trata como una compra de equipo y no como una base de datos personales vinculada con horarios, identidad y, en ocasiones, decisiones disciplinarias.

La Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) define como sensibles los datos que aluden a la esfera más íntima de la persona o cuya utilización indebida pueda generar discriminación o un riesgo grave. Bajo dicha consideración, es sencillo entender como el carácter permanente y la capacidad de identificación que caracterizan a los datos biométricos justifican la necesidad de un esfuerzo adicional en su tratamiento.

Cinco preguntas antes de encender el sistema

1. ¿Existe una necesidad real?

El artículo 12 de la LFPDPPP exige que el tratamiento sea necesario, adecuado y relevante. Es por ello, por lo que la empresa debe comparar el biométrico con tarjetas, códigos, supervisión de acceso u otros medios. La comodidad administrativa, por sí sola, no demuestra proporcionalidad.

2. ¿Ya cuento con el consentimiento de mis empleados?

Al ser datos personales sensibles, para dar cumplimento al artículo 8 de la  LFPDPPP, es vital contar con el consentimiento expreso y por escrito del empleado para el tratamiento de sus datos biométricos.

3. ¿El aviso de privacidad lo explica con precisión?

El aviso de privacidad de la empresa debe identificar los datos personales tratados (especialmente los sensibles), sus finalidades, opciones para limitar su uso, y mecanismos para ejercer los derechos ARCO. Es por ello, por lo que el uso de sistemas biométricos debe especificarse de manera explicita en el aviso de privacidad de la empresa.

4. ¿Cómo se protege?

El artículo 18 de la LFPDPPP exige que un correcto tratamiento de datos personales supone la implementación de medidas administrativas, técnicas y físicas acordes con el riesgo y la sensibilidad de los datos. En virtud de lo anterior, para un correcto tratamiento de datos biométricos,  las empresas deben al menos, utilizar las mismas medidas de seguridad que utilizan para el resguardo de su información más sensible. Algunas opciones para ello son: el cifrado de datos, la segregación de accesos, la implementación de bitácoras o respaldos, actualizaciones constantes y respuestas expeditas a incidentes de seguridad.

5. ¿Qué ocurre cuando el sistema falla?

Una huella ilegible o un reconocimiento facial incorrecto no debería producir automáticamente un descuento, una falta o la negativa de acceso. Es importante que las expresas cuenten con un mecanismo alternativo, revisión humana y procedimientos para rectificar los registros generados por los mecanismos basados en datos biométricos.

Errores frecuentes que aumentan el riesgo

• Recabar biométricos antes de que el trabajador acepte el aviso de privacidad.

• Conservar plantillas y registros de exempleados sin una regla de bloqueo y eliminación.

• Permitir que los departamentos de Recursos Humanos, Seguridad y u otros tengan acceso a los datos de manera indistinta.

• Suponer que una cláusula genérica del contrato laboral sustituye el análisis de privacidad.

• Aplicar descuentos o sanciones basados únicamente en la salida automática del sistema.

Conclusión

Un sistema biométrico puede resolver problemas reales de acceso y asistencia, pero también crea un activo difícil de sustituir si se filtra o usa fuera de contexto. La pregunta correcta no es si la tecnología funciona, sino si la empresa puede explicar y probar que cada dato es necesario, está protegido, produce decisiones revisables y se elimina a tiempo.