El debate sobre el fichaje mediante huella dactilar o reconocimiento biométrico ha dejado de ser una cuestión ética para convertirse en un desafío técnico-jurídico. La reciente sentencia del Juzgado de lo Social nº 3 de A Coruña (ECLI:ES:JSO:2025:2400) ha marcado un precedente relevante: en un hospital público, considerado infraestructura crítica, el uso de la huella dactilar para el registro de jornada no vulnera derechos fundamentales si se demuestra que el tratamiento es idóneo, necesario y proporcionado, y que los datos se procesan de forma no identificable.
La Ley 8/2011 y la Directiva NIS2
La Ley 8/2011 de Protección de Infraestructuras Críticas sigue siendo la norma española que obliga a los operadores de servicios esenciales —como hospitales, plantas eléctricas o sistemas de transporte— a garantizar la continuidad de los servicios y la seguridad de las personas. Esta ley, centrada en la protección física y organizativa, se complementa actualmente con la Directiva (UE) 2022/2555, conocida como NIS2, que amplía las obligaciones al entorno digital. De este modo, una infraestructura crítica no solo debe proteger su perímetro físico y su personal, sino también los sistemas de información, los accesos lógicos y la trazabilidad de las personas que operan en ellos. En este contexto, el registro de presencia biométrico se convierte en una pieza esencial de la seguridad integral: vincula cada acceso a una identidad inequívoca y reduce el riesgo de suplantaciones en entornos donde un error puede comprometer la vida humana o la estabilidad del servicio.
Tratamiento técnico y seguridad criptográfica
La legalidad del sistema depende de cómo se procesan los datos biométricos. Los sistemas modernos no almacenan imágenes completas de la huella o del rostro, sino que extraen puntos característicos o minucias y los transforman en una plantilla matemática: un vector cifrado que representa la geometría de esos puntos. Esa plantilla se encripta localmente o se convierte mediante una función hash (por ejemplo, SHA-256) combinada con una “sal” única por usuario. El resultado es una secuencia irreversible, sin valor identificativo fuera del sistema.
La norma ISO/IEC 24745 establece que las plantillas biométricas deben ser cancelables, no reversibles y no interoperables entre dispositivos, garantizando que no puedan reutilizarse ni correlacionarse entre sistemas distintos. En cada fichaje, el lector genera una plantilla temporal del empleado y la compara con el registro cifrado almacenado. Si la similitud supera el umbral predefinido, se valida la identidad. Ningún dato biométrico en bruto abandona el dispositivo ni se conserva en servidores externos, cumpliendo así el principio de minimización de datos del artículo 5 del RGPD y convirtiendo el proceso en un tratamiento seudonimizado.
Base jurídica y evaluación de impacto
El uso de datos biométricos se ampara en el artículo 9.2.i del RGPD, que autoriza su tratamiento por razones de interés público en materia de salud y seguridad, así como en la propia Ley 8/2011, que impone medidas específicas de identificación en servicios esenciales. No obstante, esta legitimación exige una evaluación de impacto en protección de datos (EIPD) que analice la idoneidad, necesidad y proporcionalidad del tratamiento, así como un plan de mitigación de riesgos. En los hospitales auditados, estas evaluaciones se actualizan de forma periódica conforme a las normas ISO 27001 e ISO 27701, asegurando la gestión de la seguridad de la información y la privacidad.
La sentencia de A Coruña subraya un aspecto clave: alternativas como las aplicaciones con geolocalización o los códigos QR pueden resultar incluso más intrusivas que la huella, ya que implican un seguimiento constante del trabajador y un trazado de movimientos. Por tanto, el principio de proporcionalidad no depende de la tecnología utilizada, sino del tipo de datos tratados, su finalidad y la capacidad del sistema para evitar usos indebidos o secundarios.
Conclusiones
Un control de presencia biométrico bien diseñado no solo cumple con el RGPD, sino que refuerza la seguridad corporativa exigida por la Ley 8/2011 y la Directiva NIS2. La combinación de cifrado, funciones hash y trazabilidad auditada convierte la identidad biométrica en un elemento técnico de ciberresiliencia. En sectores como el sanitario o el energético, donde se gestionan datos sensibles y operaciones críticas, garantizar que quien accede es realmente quien dice ser es un pilar tanto de la ciberseguridad como de la seguridad física.
El futuro de la biometría en infraestructuras críticas no pasa por su prohibición, sino por su certificación. Auditorías de impacto, verificación del diseño criptográfico y trazabilidad de registros son las herramientas que permiten demostrar que la biometría puede ser una aliada de la privacidad, la seguridad jurídica y la operativa empresarial.
¿Necesita implantar o auditar un sistema de fichaje biométrico?
Contáctenos y le asesoraremos en el diseño, auditoría y certificación de su solución de control horario conforme al RGPD, la Ley 8/2011 y la NIS2.
