Muchas empresas se están preparando para reabrir sus negocios cuestionándose la privacidad en el control de acceso termométrico y por reconocimiento facial termográfica, dentro del plan de vuelta a la normalidad como consecuencia de la Pandemia Covid-19.

Entre las opciones barajadas tenemos desde el cuestionario de preguntas relacionadas con síntomas,  la instalación de pistolas de medición de temperatura o de cámaras de reconocimiento facial termográfico, para la toma de temperatura de trabajadores y visitantes, con o sin identificación, control y comunicación a las autoridades competentes.

Privacidad control de acceso termométrico y por reconocimiento facial

Privacidad control de acceso termométrico y por reconocimiento facial

Cuestionarios sobre síntomas como medida de control de acceso

En las FAQs publicadas por la AEPD sobre esta materia, se indica expresamente que “La normativa sanitaria, laboral, y en particular, de prevención de riesgos laborales, establece que las empresas podrán tratar aquellos datos personales de sus empleados que sean necesarios para garantizar su salud, así como adoptar las medidas que establezcan las autoridades competentes, incluidas las relativas a asegurar el derecho a la protección de la salud del resto del personal en plantilla, para evitar contagios o propagación de la enfermedad al conjunto de la población.

 La AEPD recuerda que el método menos intrusivo para la privacidad es la formulación de preguntas al trabajador limitadas a indagar sobre la existencia de síntomas de la enfermedad, si ha estado contagiado o en contacto con contagiados o sujeto a cuarentena.

De hecho, pone de manifiesto que “Cualquier otra información o cuestionario solicitando más información resultaría contrario al principio de minimización de datos”.

Si, a tenor de la respuesta a estas preguntas, pudiera limitarse el acceso al trabajador en virtud de sus respuestas, aun con la mayor discreción posible, imaginemos dicha limitación en base a un sistema de control de acceso térmico o facial termométrico que emita una señal de alarma.

De hecho, la AEPD informa que esta información puede transmitirse internamente en la empresa sin necesidad de identificar a la persona afectada, y a las autoridades sanitarias, a requerimiento de éstas, entendiendo que se puede facilitar información sin especificar la identidad de la persona, siendo así suficiente para la finalidad de prevención y protección de la salud.

Y, respecto de las visitas, igualmente la empresa puede solicitarles información sobre síntomas o factores de riesgo (países de alta prevalencia del virus y en el marco temporal de incubación de la enfermedad) sin necesidad de consentimiento explícito; en virtud de su obligación legal de proteger la salud de sus trabajadores y mantener el lugar de trabajo libre de riesgos sanitarios

Privacidad en el control de acceso termométrico y por reconocimiento facial termográfico.

Dependiendo del tipo de negocio no es factible recoger un cuestionario de este tipo y, aun cuando es cierto que un control de temperatura no descartaría a personas asintomáticas, puede plantearse como una forma eficaz de prevenir la propagación de la enfermedad.

La instalación de sistemas de control termométrico o de cámaras de reconocimiento facial termográfico para el control de acceso requiere obligatoriamente a la empresa el cumplimiento de determinadas tareas en materia de privacidad desde el diseño, si queremos aprobar nuestro accountability, y evitar incurrir en riesgos de sanción y reclamaciones.

La mayor parte de las empresas adaptadas al GDPR que no trataban datos especialmente protegidos en el control de acceso a sus instalaciones, lo estaban haciendo generalmente de forma manual para visitas (mediante la toma de datos) y con tarjeta para trabajadores.

Lo habitual era que no hubieran identificado la obligación de realizar una evaluación de impacto de protección de datos (EIPD), que no hubieran designado un DPO y no tuvieran un Registro de Actividades de Tratamiento (RAT).

El cambio a un sistema de control de acceso mediante tecnología de toma de temperatura e incluso de reconocimiento facial termográfico nos requiere, en materia de privacidad:

  1. Crear o actualizar el Registro de Actividades de Tratamiento (RAT) para la identificación de los nuevos tratamientos de datos.
  2. Disponer de un responsable de protección de datos o DPO.
  3. Actualizar las cláusulas informativas para los trabajadores y visitas e informar debidamente del tratamiento de esos datos, su finalidad, base legítima y plazos de conservación.

La instalación de tecnología de medición térmica o de reconocimiento facial termométrico son métodos más intrusivos para la privacidad que requieren un análisis previo de la base legítima del tratamiento de los datos de salud y/o biométricos que estudiamos en nuestro post “Legitimación para tratar datos de salud y biométricos en el control de acceso”.

  1. Actualizar el registro de encargados del tratamiento, verificar la firma de contrato y validación de medidas de seguridad aplicadas con el proveedor de la instalación. Para ello, debemos conocer:
    • si el proveedor solo instala y es la empresa responsable la que gestiona la herramienta y trata los datos; o si por el contrario, el proveedor presta servicios inherentes a la instalación y, por lo tanto, trata los datos (por ejemplo, almacenamiento, creación de base de datos de imágenes inicial, generación de alertas e informes, etc), en cuyo caso deberá firmarse con él el contrato de encargado del tratamiento de datos personales.
    • si el software inherente a la herramienta es adquirido o si es licenciado (si a partir de la instalación el proveedor tiene acceso a la información contenida en la herramienta así sea por ser SaaS o para actualizaciones).
    • de qué medidas de seguridad dispone la herramienta y cuál es su funcionamiento (si solo genera una alerta en cuanto se excede de determinada temperatura pero no registra otro dato, siendo entonces tratado por el personal de seguridad de la empresa,; o si por el contrario, como en los casos de utilización de biometría facial, se crea y almacena imágenes: de la base de datos de imágenes inicial y su sincronización con la captada en el acceso, o bien solo almacenamiento de puntos biométricos cifrados sin correlación con otros datos personales; cómo y dónde se almacena, sistema de cruce de información con la imagen de registro de acceso y temperatura, cifrado de base de datos, gestión de privilegios de acceso, seundonimización, plazo de conservación de los datos, qué proveedores externos están implicados en el tratamiento de datos, etc).
    • evaluación de impacto para la protección de datos realizada por el proveedor.
  1. Tratando ahora datos de salud, e incluso biométricos si el sistema incluye reconocimiento facial termográfico, es obligatorio realizar una evaluación de impacto sobre dicho tratamiento previamente a su implantación efectiva. Debemos poder justificar:
    • la proporcionalidad, teniendo en cuenta la naturaleza de la actividad y de las instalaciones en relación con la tecnología seleccionada y el recurso a la toma de temperatura (térmica o con reconocimiento facial termométrico), valorando si la medida es:
      • idónea, en tanto que susceptible de conseguir el objetivo propuesto de prevenir la entrada de personas con síntomas positivos;
      • necesaria por no existir otra más moderada o menos intrusiva para la consecución de la finalidad con igual eficacia;
      • proporcional por derivarse de ella más beneficios o ventajas para el interés general – en este caso es la salud – que perjuicios sobre otros bienes o valores en conflicto.
    • que se garantiza que el plazo de conservación de los datos es únicamente durante el tiempo necesario para esta finalidad durante la emergencia sanitaria.

Deberemos valorar si es posible que solo se visualice la temperatura sin generar una alarma, o si se graba la imagen, qué opciones hay de que su almacenamiento se limite al ámbito temporal relativo al periodo de incubación o a la existencia de síntomas, en base a la obligación de comunicación de información a las autoridades competentes (sanitarias, laborales o de las fuerzas y cuerpos de seguridad)

    • que el acceso a tal información está restringido al personal de seguridad, sujeto a una rigurosa reserva profesional sobre los hechos que conocen en el ejercicio de sus funciones.

En Elece Legal podemos ayudarte a asegurar la legalidad de la privacidad en el control de acceso termométrico o por reconocimiento facial termográfica en tu organización.

En Elece Legal nos podemos encargar de la legalización de los sistemas de control de accesos y evitar que incurras en riesgo regulatorio o conductas gravemente sancionadas.

Nos encargamos de realizar la evaluación de impacto de la concreta solución elegida e informar de los riesgos y medidas de seguridad para minimizarlos, así como de la redacción de las cláusulas informativas a trabajadores y visitas, protocolos inherentes a la prevención de riesgos laborales y carteles de señalización, para garantizar la instalación y puesta en marcha, con garantías.

Pídenos presupuesto sin compromiso.

¿Qué información precisamos para empezar a trabajar?

  • Tipo de organización: privada, pública.
  • Actividad de la organización.
  • Características técnicas del sistema. Marca, modelo. Almacenamiento de los datos.
  • Identificación del número de puntos de acceso e indicación sobre su integración con otros sistemas de la empresa.
  • Medidas de seguridad aplicadas al sistema ofrecidas por el proveedor.
  • Medidas de seguridad físicas aplicables por la empresa u organización.
  • Personal implicado: si existe médico u otro tipo de personal sanitario en la organización, si existe personal de seguridad física privada, propio o subcontratado en la empresa; si existe un responsable de prevención de riesgos laborales en la empresa.