Datos biométricos en el trabajo: marco legal en Colombia

Datos biométricos en el control de asistencia: ¿por qué son datos sensibles?

Los datos biométricos son características físicas, fisiológicas o conductuales únicas que permiten identificar a una persona de manera inequívoca.

 

La huella, el rostro, el iris y la voz están clasificados como datos sensibles por el artículo 5 de la Ley 1581 de 2012, con protección reforzada desarrollada por la Corte Constitucional.

 

Además, la clasificación como dato sensible obedece a que su tratamiento inadecuado o filtración puede exponer al titular a riesgos de suplantación de identidad, discriminación o afectación grave a la intimidad. A diferencia de una contraseña, una característica biométrica no se puede cambiar si resulta comprometida.

 

Por esta razón, la normativa colombiana prohíbe con carácter general el tratamiento de datos sensibles, salvo que se configure alguna de las excepciones legales, siendo la principal el consentimiento explícito del titular.

¿Es legal usar huella o reconocimiento facial para marcar asistencia?

Sí, es legal implementar sistemas biométricos de registro de asistencia en el ámbito laboral colombiano, siempre que la empresa cuente con la autorización previa, explícita e informada del trabajador y demuestre el principio de necesidad y proporcionalidad.

 

Pues el empleador tiene la facultad de verificar el cumplimiento de las jornadas laborales dentro del contrato de trabajo. Sin embargo, dicha facultad no es absoluta y debe conciliarse con el derecho al Habeas Data del colaborador.

 

Para que el uso de huella o rostro sea plenamente legítimo, el empleador debe ofrecer alternativas no biométricas (como tarjetas de proximidad o clave PIN) cuando el trabajador manifieste motivos fundados para no otorgar su consentimiento, evitando condicionar la continuidad del vínculo laboral a la entrega del dato sensible.

Los requisitos legales para implementar biometría en el control de asistencia

El uso de sistemas biométricos en la gestión de personal exige el cumplimiento riguroso del principio de responsabilidad demostrada (accountability).

Autorización reforzada y específica, no genérica

La autorización para tratar datos biométricos no puede incluirse dentro de una cláusula general del contrato de trabajo.

 

Esta debe constituir un documento o manifestación independiente donde se indique explícitamente que se capturará un dato sensible, el propósito exclusivo (marcar asistencia) y los derechos del titular.

 

El documento debe advertir al trabajador que, por tratarse de un dato sensible, no está obligado a responder ni a otorgar la autorización, salvo que exista una obligación legal o una causa objetiva justificada.

Evaluación de impacto en la privacidad (PIA) antes de implementar

Antes de instalar cualquier dispositivo biométrico, las empresas deben realizar una Evaluación de Impacto en la Privacidad (Privacy Impact Assessment).

 

Este análisis permite identificar los riesgos asociados a la captura, almacenamiento y procesamiento de la información de los empleados.

 

La PIA documenta la necesidad de la medida, analiza si existen mecanismos menos invasivos e implementa los controles de seguridad técnicos, humanos y administrativos indispensables para mitigar eventuales vulnerabilidades o accesos no autorizados.

Política de retención y eliminación del dato biométrico

La organización debe definir un ciclo de vida claro para la información biométrica capturada. El dato solo debe conservarse durante el tiempo que persista la finalidad que justificó su tratamiento, es decir, mientras se mantenga la relación laboral o el tiempo exigido por la ley para la auditoría de nómina y jornadas.

 

Finalizado este periodo, el sistema debe proceder a la supresión definitiva o a la inactivación de los registros en las bases de datos locales y en la nube.

¿Qué pasa con la huella o el rostro de un empleado que se retira?

Cuando finaliza el contrato de trabajo, desaparece la finalidad principal que justificaba la captura de la huella dactilar o el reconocimiento facial para la marcación diaria de asistencia.

 

Por regla general, el empleador debe eliminar la plantilla biométrica del sistema de marcado de manera inmediata tras la liquidación laboral.

 

Aunque los registros consolidados de ingresos y salidas (horas trabajadas) se conservan para fines contables y de auditoría tributaria o laboral, el vector biométrico de identificación debe destruirse.

 

Además, el trabajador retirado conserva el derecho a solicitar formalmente la supresión de sus datos sensibles mediante reclamo escrito, el cual debe ser resuelto por la empresa en los términos de la Ley 1581 de 2012.

¿Una plantilla matemática en lugar de la imagen hace anónimo el dato?

No, transformar una huella o un rostro en una plantilla matemática (algoritmo o vector hash) no convierte el registro en un dato anónimo; se considera un dato seudonimizado que sigue estando sujeto a la Ley 1581 de 2012.

 

La plantilla matemática es una representación alfanumérica generada a partir de los puntos minucia del rasgo físico. Aunque no permite reconstruir la imagen original de la huella o el rostro, sí permite reidentificar individualmente a la persona dentro de la base de datos del empleador.

Por consiguiente, el uso de vectores matemáticos es una excelente medida de seguridad técnica, pero no exime a la empresa de solicitar la autorización de datos sensibles ni de cumplir con el Régimen General de Protección de Datos.

Riesgos si el control de asistencia biométrico no cumple la ley

El incumplimiento de la normativa sobre tratamiento de datos sensibles expone a las organizaciones a investigaciones administrativas por parte de la Delegatura para la Protección de Datos Personales de la SIC.

 

Las sanciones pueden incluir multas institucionales de hasta 2.000 salarios mínimos legales mensuales vigentes (SMLMV), orden de suspensión de las actividades de tratamiento de datos, cierre temporal o definitivo de los sistemas de procesamiento biométrico y eventuales demandas laborales por vulneración del derecho a la intimidad.

¿Qué debe ofrecer un sistema de control de asistencia biométrico para cumplir la ley?

Un sistema de control de asistencia biométrico debe construirse bajo el principio de privacidad desde el diseño y por defecto (Privacy by Design), de modo que la protección de datos no sea un ajuste posterior, sino parte de su arquitectura.

 

En Colombia, donde los datos biométricos son considerados datos sensibles bajo la Ley 1581 de 2012, esto se traduce en cinco elementos indispensables:

 

• Procesamiento vectorial: debe contar con almacenamiento exclusivo de plantillas matemáticas cifradas, nunca de imágenes biométricas reversibles o procesables.
• Gestión centralizada de autorizaciones: registro de la firma digital o física del consentimiento informado para el tratamiento de datos sensibles, obtenida antes del primer fichaje.
• Seguridad de la información: cifrado de datos en tránsito y en reposo (AES-256 o superior), con alojamiento en infraestructura alineada a estándares internacionales como ISO 27001.
• Métodos de marcación alternativos: habilitación de PIN, app móvil o marcación web para los colaboradores que no otorguen su autorización biométrica, sin que esto afecte su registro de asistencia.
• Eliminación automatizada: procesos para inhabilitar y depurar las plantillas de colaboradores retirados conforme a la política de retención de datos de la empresa.

Sin lugar a dudas, contar con el módulo de asistencia de Buk es la clave para gestionar el registro de asistencia y las horas trabajadas en estricta conformidad con la normativa colombiana, garantizando trazabilidad en los accesos y protección integral de los datos de tus colaboradores.

 

¿Y tú, qué estás esperando para agendar una llamada con uno de nuestros asesores? Hazlo ahora y descubre cómo optimizar la gestión de asistencia en tu organización.