Por: Carlos A. FERREYROS SOTO
Doctor en Derecho
Universidad de Montpellier I Francia.
cferreyros@ferreyros-ferreyros.com
RESUMEN
En el entorno laboral, el empleador procesa datos personales de forma constante - accesos, horarios, reclutamiento, gestión de personal, evaluaciones - y esta actividad está sometida a reglas estrictas de protección de datos. La CNIL (Comisión Nacional de Informática y Libertades de Francia) ha elaborado guías y marcos de referencia que delimitan las finalidades legítimas de cada tratamiento, proscribiendo su uso para vigilar al empleado, salvo justificadas excepciones.
Las tecnologías más sensibles - videovigilancia, geolocalización de vehículos, grabación de llamadas telefónicas y herramientas informáticas, e igualmente en teletrabajo - requieren condiciones específicas de uso, proporcionalidad y medidas de seguridad. En el caso de las escuelas, centros de aprendizaje, las cámaras solo pueden instalarse en zonas comunes para garantizar la seguridad de la persona.
El empleado, por su parte, goza de derechos reconocidos: acceder a sus datos personales, obtener copia de ellos e incluso acceder a sus correos electrónicos de trabajo en los términos previstos. Por último, la recopilación de datos en procesos de elecciones profesionales y la actividad de las organizaciones sindicales también están regulados, dada la sensibilidad de las repercusiones que puede tener para las personas afectadas.
Este primer documento de la serie CNIL: Datos Laborales y Protección de Datos Personales ha sido traducido al castellano por el suscrito, contiene enlaces a diferentes fuentes y se consagra al acceso a las instalaciones laborales y control de horarios.
A fin de acceder a normas similares y estándares europeos, las empresas, organizaciones públicas y privadas interesadas en asesorías, consultorías, capacitaciones, estudios, evaluaciones, auditorías sobre el tema, sírvanse comunicar al correo electrónico:cferreyros@ferreyros-ferreyros.com
________________________________________________________
Datos laborales y Protección de Datos personales
¿Qué normas deben seguir los empleadores en materia de protección de datos personales? ¿Cuáles son los derechos de los empleados?
Acceso a las instalaciones y control de horarios
5 de mayo de 2009 - Esta entrada se actualizó por última vez el 17/06/2026.
El control de accesos y horarios existe desde hace mucho tiempo y continúa evolucionando. Los avances tecnológicos facilitan estos controles, pero pueden conllevar la recopilación de más información sobre las personas involucradas. Por lo tanto, es necesario limitar su uso para proteger los derechos y libertades individuales.
¿Con qué propósito?
Para acceder a las instalaciones
Para controlar el acceso a las instalaciones, el empleador puede implementar herramientas de control individual, incluyendo sistemas biométricos, para garantizar:
- entrada a las instalaciones, edificios,
- así como locales sujetos a restricciones de tráfico.
Estas medidas pueden aplicarse tanto a empleados como a visitantes.
Para controlar las horas de trabajo
Para la gestión de los horarios y la asistencia de los empleados, se pueden implementar sistemas siempre que sean proporcionales y no excesivos en relación con el objetivo perseguido.
En este sentido, la instalación de sistemas de control de tiempo que utilizan dispositivos biométricos (credenciales, etc.), o que incorporaría la captura fotográfica sistemática en cada apuntamiento parece excesivo y sería contrario al principio de con respecto al objetivo (o propósito) de controlar los cronogramas.
Atención :
Los datos recopilados por un dispositivo no deben utilizarse para fines distintos de aquellos para los que fue instalado: esto podría constituir un uso indebido de la finalidad , contrario al principio de limitación de la finalidad (Artículo 5.1.b del RGPD).
Por ejemplo, la lectura de un reloj de control horario destinado a regular la entrada y salida de un edificio por motivos de seguridad no puede utilizarse para verificar los horarios de los empleados.
Para obtener más información, consulte el artículo "Relojes de control horario con cámara: varios empleadores emitieron notificaciones formales por recopilación excesiva de datos".
¿Qué garantías existen en materia de privacidad?
El sistema implementado no debe utilizarse para controlar el movimiento dentro de las instalaciones.
Del mismo modo, el sistema no debe obstaculizar la libertad de movimiento de los representantes del personal en el ejercicio de su mandato, ni utilizarse para controlar el cumplimiento de las horas asignadas.
¿Quién tiene acceso a los datos?
La información solo debe ser accesible para los miembros autorizados de los departamentos encargados de estos asuntos (en particular, los departamentos de recursos humanos y seguridad) y limitarse a lo necesario para el desempeño de sus funciones.
El empleador debe implementar medidas para garantizar la seguridad de la información de los empleados y prevenir el acceso no autorizado. Esto incluye establecer permisos de acceso a los sistemas informáticos y mantener un registro de las acciones realizadas (saber quién se conecta a qué, cuándo y con qué propósito).
¿Cuáles son los límites de vida útil?
- Los datos de identificación podrán conservarse en la base de datos activa durante el tiempo que dure la autorización de la persona interesada;
- Los datos de registro de acceso generados por el dispositivo deben eliminarse 3 meses después de su registro;
- Los datos de identificación y registro utilizados para el seguimiento del tiempo de trabajo pueden conservarse en un archivo intermedio durante un máximo de 5 años .
Para obtener más información, consulte el documento de referencia "Períodos de retención de datos personales, gestión de recursos humanos".
Información del empleado
Los órganos representativos de los trabajadores deben ser informados o consultados antes de tomar cualquier decisión de instalar un sistema para controlar las horas de trabajo o el acceso a las instalaciones, de conformidad con lo dispuesto en el Código Laboral.
Además, cada empleado debe ser informado de manera clara, concisa y fácilmente accesible:
- los objetivos perseguidos;
- la base jurídica del sistema (obligación derivada del Código Laboral, por ejemplo, o interés legítimo del empleador);
- destinatarios de los datos del sistema;
- el período de retención de datos ;
- los procedimientos para el ejercicio de sus derechos (derechos de acceso , rectificación , supresión , oposición por motivos legítimos en determinados casos y limitación );
- de la posibilidad de presentar una queja ante la CNIL si no se respetan estas obligaciones y derechos.
Esta información puede proporcionarse, por ejemplo, a través de un contrato de servicios informáticos o una nota de servicio.
¿Qué medidas de seguridad se han implementado?
Para evitar el acceso no autorizado a los datos del sistema, es fundamental implementar medidas de seguridad. Por ejemplo, el acceso al software de control de acceso o de programación debe restringirse a quienes necesiten conocerlo y requerir un nombre de usuario y una contraseña , preferiblemente reforzados con la autenticación multifactor (MFA) .
También se debe incluir lo siguiente:
- una política facilitadora ;
- asegurar los intercambios ;
- un registro de accesos a datos y operaciones realizadas.
¿Qué formalidades se requieren?
Los sistemas implementados para controlar el acceso a las instalaciones, al igual que los sistemas implementados para controlar los horarios, deben registrarse en el registro de actividades de procesamiento de datos de la organización .
Cuando un sistema puede generar un alto riesgo, especialmente cuando se utilizan datos biométricos para el control de acceso, es necesario realizar una evaluación de impacto en la protección de datos (EIPD) . Este proceso ayuda a identificar los riesgos asociados a los datos personales que contiene el sistema y a reducir su probabilidad o gravedad.
¿Qué medidas deben implementarse para el control de acceso a las instalaciones?
El control de acceso a las instalaciones puede basarse en dispositivos con o sin recurso a la .
Se deben preferir los dispositivos no biométricos (tarjetas de identificación, códigos, etc.) cuando proporcionen un nivel de seguridad suficiente, especialmente cuando las instalaciones no presenten ninguna sensibilidad particular.
El uso de dispositivos de autenticación biométrica solo es posible como medida subsidiaria, siempre que el empleador demuestre la necesidad de ello, comprobando que los dispositivos alternativos o las medidas organizativas y técnicas no permiten alcanzar el nivel de seguridad requerido.
En principio, el empleador debería priorizar el almacenamiento de la plantilla biométrica del empleado en un soporte individual, a menos que exista una justificación fundamentada para necesidades específicas.
La CNIL (Autoridad Francesa de Protección de Datos) ha adoptado una normativa estándar sobre biometría en el lugar de trabajo, que regula, en particular, los sistemas de control de acceso a las instalaciones. Este marco normativo exige a los empleadores lo siguiente:
- Justificar en detalle el uso de la biometría, teniendo en cuenta el contexto, los problemas y las limitaciones;
- cumplir con estrictos requisitos técnicos y organizativos de seguridad;
- Documentar las decisiones tomadas durante la implementación del sistema.
Como ya se ha mencionado, el uso de un dispositivo biométrico requiere una evaluación de impacto en la protección de datos (EIPD) . El responsable de protección de datos (RPD), una vez designado, debe participar en este proceso.
Finalmente, para la implementación de dicho sistema, puede resultar útil la asistencia del proveedor, integrador o instalador del sistema.
¿Qué recursos tienen a su disposición los afectados?
En caso de dificultad, si el empleador no respeta sus obligaciones o sus derechos:
- Puede ponerse en contacto con el departamento de reclamaciones de la CNIL en relación con cualquier vulneración de la protección de sus datos personales derivada de los sistemas de control de acceso a las instalaciones o del horario laboral. Esto puede incluir, en particular, la recopilación, el uso, el almacenamiento o la seguridad de los datos generados por dichos sistemas.
- La inspección de trabajo puede intervenir cuando los métodos de control de las horas de trabajo o del acceso a las instalaciones afectan a las condiciones laborales. Esto puede referirse al cumplimiento de estos sistemas con la legislación laboral y la normativa que regula la organización del tiempo de trabajo.
- Al fiscal público si es probable que los hechos constituyan un delito penal.
Para profundizar
Para profundizar
Textos de referencia
- Artículo 9 del Código Civil (protección de la privacidad)
- Artículo L. 1121-1 del Código del Trabajo (derechos y libertades en el lugar de trabajo)
- Artículos L. 1222-3 y L. 1222-4 del Código Laboral francés (información del empleado)
- Artículo L. 2312-38 del Código Laboral francés (información/consulta de la comisión social y económica)
- Artículos 226-1 y siguientes del Código Penal (protección de la privacidad)
- Artículos 226-16 y siguientes del Código Penal (violaciones de los derechos de las personas físicas derivadas del procesamiento informático).
- Artículos 4 a 7 de la Ley francesa de protección de datos.
- Artículos 5 a 9, 12, 13, 15 a 21, 24 a 30, 32 y 35 del Reglamento General de Protección de Datos.
