Pocas tecnologías cotidianas concentran tanta densidad regulatoria como un lector de huella en la puerta de una empresa. Parece un trámite de fichaje; es un tratamiento de datos biométricos — categoría especial del Art. 9 del RGPD cuando se usan para identificar de forma única a una persona — sobre la plantilla, y con un Reglamento de IA que reserva a la biometría algunas de sus casillas más severas. Y sin embargo, el análisis se ordena entero con una sola distinción previa.
La distinción: 1:1 frente a 1:N
Verificación (uno-a-uno): el sistema compara el rasgo biométrico de la persona contra su propia plantilla, para confirmar que es quien dice ser. La pregunta es «¿eres tú?». Es el fichaje con huella contra tu registro, el desbloqueo facial contra tu perfil.
Identificación (uno-a-muchos): el sistema compara el rasgo contra una base de plantillas para averiguar quién es la persona. La pregunta es «¿quién eres, de entre todos?». Es la cámara que reconoce a cualquiera que cruza la puerta.
La diferencia no es técnica sino de naturaleza del riesgo: la identificación exige una base de datos biométrica centralizada de todo el colectivo y funciona, en la práctica, como un escaneo permanente. Por eso todo el edificio regulatorio la trata con más dureza: la doctrina de protección de datos le exige justificaciones que la verificación no necesita, y el AI Act le dedica sus casillas más exigentes — la identificación biométrica remota tiene apartado propio en el Anexo III de alto riesgo, y, en el puesto de trabajo, la prohibición que importa es la del Art. 5.1, letra f) —inferir las emociones de una persona en el lugar de trabajo, salvo por motivos médicos o de seguridad—, no la identificación biométrica remota en tiempo real de la letra h), que va dirigida a la aplicación de la ley en espacios de acceso público. La verificación 1:1, en cambio, queda expresamente fuera de ese apartado del Anexo III cuando su única finalidad es confirmar que la persona es quien afirma ser.
Consecuencia inmediata para cualquier empresa: si puedes resolver tu caso con verificación, no despliegues identificación. Es la primera decisión de diseño y la más barata de tomar a tiempo.
El juicio que exige el RGPD: ¿era necesaria la biometría?
Resuelto el «cómo», queda el «si». La evaluación de impacto del RGPD incluye «una evaluación de la necesidad y la proporcionalidad de las operaciones de tratamiento con respecto a su finalidad», un juicio que conviene hacerse antes de comprar el lector: ¿existe una alternativa menos invasiva que cumpla razonablemente la misma finalidad? Para el control de presencia, casi siempre la hay — tarjeta, PIN, aplicación. Eso no convierte la biometría en imposible; la convierte en algo que hay que justificar por escrito: por qué las alternativas no bastan en tu caso concreto (fraude de fichaje acreditado, requisitos de seguridad específicos), qué salvaguardas añades, y por qué el balance sale a favor.
Ese razonamiento vive en el documento que este escenario exige casi por definición: la evaluación de impacto en protección de datos. Datos biométricos para identificar de manera única a una persona y, a menudo, observación sistemática de la plantilla: son dos criterios de la lista publicada por la AEPD (Art. 35.4), que concreta cuándo el Art. 35 del RGPD exige la evaluación: la considera necesaria en la mayoría de los casos en que concurren dos o más, así que la DPIA aquí es la casilla de salida. Qué ocurre cuando falta lo contamos en el artículo sobre la actividad de la AEPD.
El resto del expediente
Con la distinción hecha y la proporcionalidad razonada, el expediente se completa con las piezas conocidas: base jurídica reforzada del Art. 9 (en el ámbito laboral, terreno delicado: el RGPD advierte que el consentimiento no debe ser fundamento válido cuando exista un desequilibrio claro entre el interesado y el responsable —considerando 43—, así que la excepción aplicable hay que identificarla con cuidado, no presumirla); información clara a la plantilla y, donde exista, a su representación —el mismo deber que la LOPDGDD impone para las cámaras y la geolocalización—; medidas técnicas a la altura del dato (plantillas cifradas, almacenamiento local o distribuido antes que base central, plazos de supresión definidos); y registro de todo ello.
Una regla de lectura final, porque este es un terreno donde las generalizaciones fallan en ambas direcciones: «la biometría laboral está prohibida» es falso; «la biometría laboral es alto riesgo» en bloque, también. Lo correcto es más exigente: el uso concreto decide — la verificación 1:1 para fichar, bien justificada y documentada, es defendible; la identificación 1:N exige razones de otro calibre; y algunos usos, como inferir emociones en el trabajo, están prohibidos salvo por motivos médicos o de seguridad. El trabajo de una empresa seria no es memorizar el eslogan, sino clasificar su caso, justificarlo y poder enseñar la justificación.
Contenido con arreglo a los artículos 9 y 35 y al considerando 43 del Reglamento (UE) 2016/679, a la lista de la AEPD del artículo 35.4, y al artículo 5 y al anexo III del Reglamento (UE) 2024/1689.
Este artículo tiene carácter informativo y no constituye asesoramiento jurídico.