José Luis Díaz, experto en ciberseguridad: "Negarse a fichar con la cara o con la huella no es ser conflictivo, es ejercer un derecho fundamental"

Cada vez más empresas sustituyen la tarjeta o el código por la huella dactilar o el reconocimiento facial para fichar. Parece moderno, rápido y cómodo. Pero también puede ser un problema serio. Porque, como advierte Advens Iberia, empresa especializada en ciberseguridad y protección de datos, tu cara no es una contraseña: no se puede cambiar, no se puede revocar y, si se filtra, el daño es permanente.

© Getty Images

José Luis Díaz, director general de la compañía, lo resume con una metáfora tan gráfica como inquietante: usar biometría para fichar es como disparar un cañón para matar una mosca. La tecnología impresiona, sí, pero el riesgo legal y de seguridad es mucho mayor de lo que muchos trabajadores imaginan. Y no siempre es legal.

Cada vez más empresas usan la huella dactilar o el reconocimiento facial para fichar. ¿Por qué “tu cara no es una contraseña” y qué hace que estos datos sean legalmente tan sensibles?

Al final, la diferencia es sencilla: una contraseña la cambias cuando quieres; tu cara y tu huella, no. Si alguien consigue tu clave, la sustituyes y problema resuelto. Pero si alguien accede a tus datos biométricos, se lleva algo que te identifica para siempre y que no puedes modificar. Por eso, el RGPD considera la biometría como un dato especialmente sensible: no solo dice quién eres, sino que describe características únicas de tu persona.

En Advens solemos explicarlo con una metáfora muy práctica: usar biometría para fichar es como disparar un cañón para matar una mosca. La tecnología es impresionante, sí, pero el riesgo legal es demasiado alto para algo tan simple.

© Getty Images

 ¿Es legal que una empresa obligue a un trabajador a fichar con huella o reconocimiento facial? ¿En qué casos está prohibido aunque el sistema sea cómodo o habitual?

La respuesta corta es: normalmente, no. Que algo sea cómodo, moderno o esté de moda no significa que sea legal. En España, la Agencia Española de Protección de Datos ha dejado claro que no se puede obligar a un trabajador a usar biometría si existen alternativas menos invasivas. Desde Advens, nuestra postura es que la innovación no puede pasar por encima de los derechos fundamentales. La comodidad de la empresa nunca justifica tratar datos tan sensibles si no es estrictamente necesario.

 Muchas empresas hacen firmar una cláusula de consentimiento. ¿Por qué, en el ámbito laboral, ese consentimiento no siempre es válido según el RGPD?

Porque en el trabajo no existe una igualdad de poder real. Cuando tu jefe te pide que firmes algo, ¿de verdad tienes plena libertad para decir que no? El RGPD es claro: el consentimiento debe ser libre, y en una relación laboral muchas veces no puede considerarse así. Por eso, aunque el empleado firme, ese consentimiento puede ser inválido. En Advens lo vemos a menudo: empresas bienintencionadas, pero con una falsa sensación de seguridad jurídica.

 ¿Cuándo puede justificarse realmente el uso de biometría en el trabajo y cuándo se considera desproporcionado? ¿Qué alternativas menos invasivas debería ofrecer la empresa?

Solo en casos muy excepcionales: infraestructuras críticas, seguridad extrema o accesos donde el riesgo sea real y demostrado. Para fichar, lo habitual es que resulte desproporcionado. ¿Alternativas? Muchas: tarjetas, códigos, apps, fichaje manual supervisado… Desde Advens insistimos en una regla de oro: si puedes hacerlo sin biometría, no la uses.

© Getty Images

 ¿Qué riesgos asume un trabajador cuando su empresa almacena su rostro o su huella? ¿Qué ocurre si hay una brecha de seguridad o un uso indebido de esos datos?

Asume un riesgo que no puede desactivarse. Si tiene lugar una brecha de seguridad, esos datos pueden terminar filtrados, vendidos o usados con fines distintos a los previstos. Y aquí viene lo preocupante: una huella o un rostro robados no se pueden recuperar ni cambiar. En ciberseguridad, en Advens lo resumimos de forma clara: los datos biométricos son el “oro digital” de los ciberdelincuentes.

Si un empleado no quiere usar su cara o su huella para fichar, ¿qué derechos tiene? ¿Puede negarse sin miedo a represalias?

Sí. Y no debería tener miedo. El trabajador tiene derecho a pedir una alternativa y a que no se le trate de manera diferente por ello. Negarse no es ser conflictivo, es ejercer un derecho fundamental. En Advens animamos siempre a informarse antes de aceptar tecnologías que parecen inofensivas, pero que en realidad no siempre lo son.

¿Puede una empresa sancionar o despedir a un trabajador por negarse a usar un sistema biométrico? ¿En qué casos ese despido podría ser declarado nulo por vulnerar derechos fundamentales?

Puede intentarlo, pero le puede salir muy caro. Si el despido se basa en la negativa a ceder datos biométricos sin una justificación sólida, los tribunales podrían declararlo nulo, por vulneración de derechos fundamentales como la privacidad o la protección de datos. Y eso implica readmisión e indemnización. Innovar sin asesoramiento legal es, al final, una apuesta arriesgada.

© Adobe Stock

 ¿Se está sancionando ya a empresas en España por usar biometría de forma ilegal? ¿Qué criterios está marcando la Agencia Española de Protección de Datos y los tribunales?

Sí. Y cada vez más. La Agencia Española de Protección de Datos está siendo muy clara: la biometría no es un juguete. Las sanciones no solo van acompañadas de multas, sino también de un mensaje contundente: no todo lo tecnológicamente posible es legal. Desde Advens seguimos muy de cerca estas resoluciones porque marcan el camino que deben seguir las empresas responsables.

Si un trabajador sospecha que el sistema biométrico de su empresa vulnera la ley, ¿qué pasos prácticos debería dar y ante qué organismo puede reclamar?

Primero: pedir a la empresa información clara. Segundo: solicitar una alternativa. Y si aun así no hay respuesta, puede acudir a la Agencia Española de Protección de Datos. Reclamar no es exagerar, es protegerse. En Advens creemos que la mejor ciberseguridad empieza por la conciencia y el conocimiento, no por cámaras ni huellas.