Preguntas
¿Es procedente el tratamiento de datos biométricos para el registro de Asistencia de trabajadores por parte del Empleador?, ¿es necesario el consentimiento expreso para el tratamiento de esos datos biométricos para control de asistencia?, ¿sin consentimiento es procedente el tratamiento de esos datos bajo las otras circunstancias del Art. 26, de la LOPDP?
Análisis
Con base en la normativa previamente citada, se evidencia que la CRE consagra el derecho de protección de datos personales estableciendo que para que se pueda realizar un tratamiento de datos personales, éste solamente podrá realizarse con la autorización del titular de datos personales o por mandato legal. Bajo estos lineamientos, la LOPDP y su Reglamento regulan específicamente el derecho a la protección de datos personales. En este sentido, tanto la CRE como la normativa específica de la materia establecen la obligación de los responsables de datos personales de cumplir con los principios, así como al obligación de implementar las suficientes y adecuadas medidas de seguridad que garanticen la confidencialidad, disponibilidad e integridad de la información en todo momento. En este sentido, la LOPDP distingue categorías de datos personales, dentro de las cuales se contemplan dos principales. La primera, es la de datos personales generales, la cual hace referencia a toda la información básica de una persona que no afecta a la esfera íntima de una persona ni es considerado dato especial. La segunda, es la categoría de datos personales especiales, la cual se subdivide en las siguientes: datos personales sensibles; datos de niñas, niños y adolescentes; datos de salud; datos de personas con discapacidad y, se entiende que dentro de esta categoría también se encuentran contemplados los datos crediticios y la excepcionalidad de personas fallecidas. Es así como, dentro de la categoría de datos especiales sensibles, la LOPDP incluye a los datos biométricos y los define como todo dato personal único que contiene información personalísima e íntima de una persona natural referente a características físicas o fisiológicas o conductas de una persona natural, tales como datos dactiloscópicos1. Al considerarse los datos personales especiales sensibles pertenecientes a la esfera más íntima de una persona natural, estos deben ser objeto de mayor protección y, por ende, la LOPDP como regla general prohíbe su tratamiento, sin embargo, establece un artículo específico de excepciones al tratamiento de esta categoría de datos personales, reconociendo las siguientes excepciones: por consentimiento, para el cumplimiento de obligaciones y el ejercicio de derechos específicos del responsable del tratamiento o del titular en el ámbito del derecho laboral y de la seguridad y protección social, para proteger intereses vitales, datos que el titular haya hecho manifiestamente públicos, por orden de autoridad juridicial, para fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, los cuales deben ser proporcionales al objetivo perseguido, así como cuando el tratamiento de los datos de salud se sujete a las disposiciones contenidas en la presente Ley. Ahora bien, es menester analizar cada una de las excepciones mencionadas a la luz de lo consagrado en la CRE y en aplicación específica al tratamiento de datos personales biométricos como medio de registro de asistencia de los titulares a su lugar de trabajo. Respecto a la excepción contenida en el literal b del artículo 26 de la misma ley, ésta establece que se podrá tratar datos sensibles para el cumplimiento de obligaciones y el ejercicio de derechos específicos del responsable del tratamiento o del titular en el ámbito del derecho laboral y de la seguridad y protección social, la cual no aplica en el presente caso debido a que no hay ninguna norma expresa la cual obligue al responsable de tratamiento (empleador como personal natural o persona jurídica) a registrar la asistencia con el uso de dispositivos biométricos. Con relación a la excepción contenida en el literal c, ésta hace referencia al uso de datos sensibles de manera necesaria “para proteger intereses vitales del titular o de otra persona natural, en el supuesto de que el titular no esté capacitado, física o jurídicamente, para dar su consentimiento”, hipótesis normativa que no resulta aplicable en el supuesto propuesto debido a que las personas que registran su asistencia se entienden que son plenamente capaces. Respecto al literal d del artículo 26 de la norma analizada, contempla la excepción del uso de datos sensibles, que es el caso en el cual el titular los haya hecho manifiestamente públicos, circunstancia que no aplica en este caso debido a que se entiende que ninguna de las personas que registran su asistencia a su lugar de trabajo ha publicado en ningún portal ni red pública su huella dactilar, iris ni datos similares considerados biométricos y, en el caso excepcional de que una persona lo haya hecho correspondería a un porcentaje mínimo, casi inexistente de personas que lo hayan realizado. Con relación al literal e del mismo artículo previamente mencionado, reconoce la posibilidad de tratar datos personales sensibles por orden de autoridad judicial, lo que no aplica al presente caso debido a que ninguna autoridad judicial podría emitir una orden en dicho sentido ya que se consideraría inconstitucional con base en los artículos previamente citados de la CRE. Respecto al literal f del artículo 26 de la misma ley, contempla la excepción de tratar datos sensibles en caso de que tenga fines “de archivo en interés público, fines de investigación científica o histórica o fines estadísticos”, supuesto que no se configura en el presente caso debido a que son finalidades totalmente opuestas y distintas. En relación al literal g contenido en el mismo artículo, el cual contempla la posibilidad de tratar datos personales sensibles de salud, tampoco resulta aplicable en el supuesto consultado debido a que los datos biométricos son sensibles, pero no se consideran datos de salud. Finalmente, se ha dejado a la excepción contenida en el literal a del artículo 26 para el análisis final, toda vez que hace referencia a la posibilidad de tratar datos personales con la base legitimadora del consentimiento del titular de datos personales, que podría asumirse hipotéticamente es aplicable; sin embargo, es indispensable realizar un análisis del uso del consentimiento para legitimar el tratamiento de uso de los datos biométricos para el registro de asistencia del titular de datos personales al lugar de trabajo. En este sentido, la LOPDP establece que para que el consentimiento pueda ser considerado válido éste debe ser libre, específico, informado e inequívoco. Términos que deben ser entendidos de acuerdo con los lineamientos explicados en el mismo cuerpo legal. Empero, respecto a la característica de libre, se establece que esta libertad se entenderá así cuando “se encuentre exenta de vicios del consentimiento”2, lo que nos plantea la necesidad de revisar el artículo 1472 del CC, el cual consagra como uno de los vicios del consentimiento a la fuerza, la cual vicia el consentimiento cuando es “capaz de producir una impresión fuerte en una persona de sano juicio, tomando en cuenta su edad, sexo y condición. Se mira como fuerza de este género todo acto que infunde a una persona justo temor de verse expuestos ella, su cónyuge o alguno de sus ascendientes o descendientes, a un mal irreparable y grave.” Adicionalmente, dentro del mismo artículo se hace referencia al temor reverencial concepto al cual lo define como “el solo temor de desagradar a las personas a quienes se debe sumisión y respeto” e indica que dicho concepto no basta para viciar el consentimiento. Es sobre este concepto donde se ha ejemplificado por la doctrina3 como la relación que puede existir entre un trabajador frente a su empleador, debido a que el trabajador le debe sumisión y respeto, dentro del ámbito laboral, por la naturaleza de su relación. Sin embargo, el temor reverencial debe ser analizado en el contexto de las situaciones en las que se aplica y en relación y armonía con el ordenamiento jurídico ecuatoriano, los principios que consagra y los tratados internacionales. En este sentido, también se ha mencionado que “(…) el temor reverencial es un tipo de emoción que afecta el consentimiento, dado que el tipo de relaciones que dependen de ese temor son valiosas (jefes, superiores jerárquicos, autoridades familiares, eclesiásticas o políticas)”4 (énfasis agregado), es así que se entiende al temor reverencial como un temor dado por respeto a una persona que ostenta un cargo de poder frente a otra. Una vez aclarado el concepto de temor reverencial, es imperioso precisar los límites de éste, los cuales se identifican cuando se analiza éste en conjunto con el bloque de constitucionalidad, toda vez que en relación con la aplicación de temor reverencial, éste no puede ir en contra de los principios reconocidos en la constitución, en los tratados internacionales, ni de la normativa vigente debido a que se incurriría en la vulneración de derechos de una persona. En este sentido, se menciona que “(…) el consentimiento para que los mismos se desconozcan ante escenarios por ejemplo de temor reverencial que se traslada a esta pérdida de derechos para no perder su trabajo, o tener algún tipo de ingreso, gozan de total invalidez jurídica y en cualquier momento pueden ser tutelados por el trabajador”5 (énfasis agregado). Es así que se debe entender al temor reverencial aplicable en órdenes, disposiciones y/o actividades relacionadas al trabajo específico que se presta, pero bajo ningún concepto puede ser aplicado a situaciones donde se pida al trabajador, como persona que está bajo una relación de poder o subordinación, que consienta o realice alguna actividad que afecten su esfera íntima y/o sus derechos. Al solicitar el consentimiento para el registro de la asistencia laboral en una relación de trabajador y empleador o, de manera general, de una persona la cual reciba ordenes o realice un trabajo por prestación de servicios y/o tenga una persona un cargo de mayor jerarquía demuestra un claro desequilibro de condiciones entre las partes y, efectivamente genera un temor real (que traspasa los límites propios del temor reverencial) relacionado no solamente al desagrado sino que va mucho más allá e infunde a una persona de sano juicio con plenas capacidades un temor real grave e irreparable de poder perder su trabajo por no firmar un consentimiento que busca acceder a información íntima de la persona. En este sentido, se recalcan los artículos previamente citados de la CRE los cuales reconocen la vida digna de las personas, la cual incluye ente otros, contar con un trabajo/empleo justo que respete los derechos de las personas sin violentar su esfera de privacidad ni intimidad en ningún ámbito ni grado. Por lo tanto, el hecho de usar la base legitimadora del consentimiento para el tratamiento de datos personales biométricos con finalidades de registro de asistencia laboral en cualquiera de sus ámbitos, se considera que hay un temor real a la pérdida de trabajo (que no configura el temor reverencial) y, por ende, la posibilidad de no alcanzar una vida digna; por lo que se considera la configuración de la existencia de una fuerza real que desborda la esfera del temor reverencial debido a que se busca consentimiento para acceso y uso de información privada e íntima de una persona natural, lo que no se relaciona en lo absoluto con las condiciones propias de una relación laboral o de trabajo; menos resulta aplicable en ninguna situación donde exista una relación de poder, lo cual justifique tal invasión. En este sentido, el hecho de solicitar un consentimiento ilegitimo no solamente genera afectación al derecho de protección de datos personales, sino que al crear un temor en el no acceso o la pérdida de trabajo también se vulneraría el derecho a la libertad de trabajo, el derecho a una vida digna, al desarrollo personal y el derecho al proyecto de vida el cual ha sido reconocido por la Corte Interamericana de DDHH.6 Una vez que se ha analizado y concluido que el registro de datos biométricos para efectos del registro de asistencia no puede ni debe aplicarse bajo ninguna consideración bajo ninguna de las bases legitimadoras, cabe mencionar que la LOPDP reconoce principios básicos los cuales deben ser aplicados en todos los tratamientos de datos personales de manera adicional y conjunta con las bases legitimadoras. En este sentido se hace mención y especial énfasis a dos principios. El primero, de Pertinencia y minimización de datos personales, el cual hace referencia a que todos los datos personales que se soliciten para una finalidad específica deben ser los adecuados, pertinentes y mínimos necesarios los cuales permitan al responsable o encargado de tratamiento cumplir con la finalidad específica para la cual se solicitó la información. El segundo, es el de Proporcionalidad del tratamiento, el cual busca que el tratamiento de datos personales sea adecuado, necesario, oportuno, relevante y no excesivo respecto a las finalidades. Con base en lo mencionado, la finalidad de registro de asistencia puede cumplirse a través de diferentes medios y formas que no se sean tan invasivas como, por ejemplo, el uso de tarjetas magnéticas, registro manual de asistencia, registro en ordenadores verificando el IP al momento del ingreso y salida, entre otras. Es así que el uso de datos biométricos para el registro de asistencia no es ni proporcional ni necesario y, por ende, es excesivo al poderse cumplir con la misma finalidad a través de otros medios menos invasivos y reconocidos y aceptados en el régimen laboral vigente. Finalmente, cabe mencionar que es necesario realizar un análisis de riesgos previo a cualquier tratamiento de datos personales y, en los tratamientos que se identifique y tengan un riesgo alto se debe llevar a cabo una evaluación de impacto con la finalidad de implementar medidas adecuadas de seguridad para mitigar los riesgos y obtener un riesgo residual que sea manejable y prudente que no afecte los derechos de los titulares de datos personales. En este sentido se recomienda que previo a la posibilidad de aplicación de tratamientos de datos biométricos se realice una evaluación de impacto para el cumplimiento de la LOPDP.
Pronunciamiento
En atención a los términos de la consulta realizada mediante Oficio SN del 21 de enero de 2025, al análisis realizado y dando respuesta a la consulta planteada por el Consultante determinamos lo siguiente: “ ¿Es procedente el tratamiento de datos biométricos para el registro de Asistencia de trabajadores por parte del Empleador? (…)” Entendiendo a la palabra “procedente” como aplicable y, con base en el análisis previo realizado se determina que no se debe usar dicho método para el registro de asistencia ya que, el uso de datos biométricos para registro de asistencia es desproporcionado e impertinente, por lo que no se recomienda su aplicación. “(…) ¿es necesario el consentimiento expreso para el tratamiento de esos datos biométricos para control de asistencia? (…)” De acuerdo con el análisis previo no es necesario solicitar consentimiento ya que no se considera un consentimiento libre. “(…) ¿sin consentimiento es procedente el tratamiento de esos datos bajo las otras circunstancias del Art. 26, de la LOPDP?” No se considera justificado bajo ninguna base legitimadora del art 26 ni cumple con los principios consagrados en la LOPDP. El presente pronunciamiento deberá ser entendido en su integridad, siendo de exclusiva responsabilidad de la persona consultante su aplicación.