Qué identifica un sistema de patrón vascular
El reconocimiento vascular compara características de las venas de un dedo o de la mano con una referencia registrada para apoyar la comprobación de identidad. Algunos diseños utilizan iluminación infrarroja y una cámara para obtener el patrón; el procesamiento extrae características y produce una plantilla. La fuente técnica de Hitachi describe ese principio y variantes, pero no acredita un rendimiento idéntico para todos los productos.
En un centro de trabajo, reconocer una identidad es sólo una parte del acceso. La autorización depende además del lugar, tarea, horario y condiciones permitidas. Un resultado de coincidencia no acredita formación, aptitud médica, ausencia de fatiga ni seguridad de la instalación. El lector tampoco es una prueba clínica de circulación sanguínea: utilizar una característica corporal para autenticar no convierte al equipo en un instrumento diagnóstico.
Autenticación y búsqueda de una identidad
La autenticación uno a uno compara la muestra con la plantilla de la identidad que la persona declara. La identificación uno a varios busca coincidencias en un conjunto de identidades. La distinción afecta al diseño, a las posibilidades de seguimiento y al análisis del impacto. No permite declarar que toda autenticación queda fuera de la protección reforzada de datos biométricos.
El criterio institucional publicado por la AEPD en julio de 2025 mantiene esa protección en ambos supuestos, al tiempo que diferencia su intensidad. Para evaluar un proyecto conviene dibujar el recorrido de la información: dónde se captura, dónde se compara, quién conserva la referencia y qué recibe la puerta o aplicación. El nombre comercial del dispositivo no responde a esas preguntas ni revela por sí solo su arquitectura.
Finalidad, base jurídica y categorías especiales
El RGPD exige una base de licitud y, cuando se tratan datos biométricos para identificar de manera única, una excepción aplicable a la prohibición del artículo 9. Son requisitos distintos. El interés legítimo del artículo 6 no es, por sí solo, una excepción del artículo 9. Tampoco basta invocar de forma genérica seguridad, innovación o prevención laboral.
Debe precisarse si se pretende registrar jornada, proteger una zona especialmente sensible o resolver otro objetivo concreto. Después se examinan la normativa y condiciones aplicables a esa finalidad. Una obligación de controlar accesos no selecciona automáticamente la biometría como medio necesario. El análisis necesita asesoramiento jurídico y participación del delegado de protección de datos cuando corresponda. Esta ficha no concede autorización de implantación ni presume que todas las actividades tengan la misma habilitación.
Fuentes: [2]
Cómo interpretar las fuentes españolas actuales
El PDF de la guía AEPD de noviembre de 2023 sobre control de presencia aparece marcado «EN REVISIÓN» en la consulta realizada el 8 de noviembre de 2026. Debe conservarse esa advertencia al utilizarlo y contrastar el caso con el RGPD y los criterios posteriores; no presentarlo como una autorización ni como una regla universal inmutable.
La AEPD publicó en julio de 2025 un resumen de una consulta sobre instalaciones policiales con necesidades específicas de seguridad pública. Explica una valoración contextual de la autenticación localizada y sus garantías. Ese supuesto no equivale al fichaje ordinario de una empresa. La conclusión editorial es evitar dos simplificaciones: que toda biometría esté permitida porque protege una puerta, o que cualquier tratamiento biométrico sea siempre ilícito con independencia de su finalidad y marco legal.
Consentimiento y alternativas menos intrusivas
El CEPD advierte del desequilibrio entre empleador y empleado: en la mayoría de tratamientos laborales el consentimiento no puede considerarse libre simplemente porque exista una firma. Las circunstancias excepcionales requieren demostrar ausencia real de consecuencias negativas. Esto no dispensa de cumplir necesidad, minimización y el resto de requisitos aplicables.
Una casilla que obliga a aceptar para entrar a trabajar no resuelve el análisis. Deben estudiarse alternativas como credenciales, controles organizativos y autenticación multifactor cuando encajen con el riesgo. La comparación utiliza el objetivo real, no sólo comodidad o velocidad. Si una opción menos intrusiva resulta igualmente eficaz, su existencia es relevante para la proporcionalidad. Tampoco basta ofrecer una alternativa formal que implique colas, trato desfavorable o dificultades injustificadas para quien la utiliza.
Evaluación de impacto antes de captar datos
La evaluación de impacto debe realizarse antes del tratamiento cuando concurre alto riesgo y debe describir operaciones, necesidad, proporcionalidad, riesgos y garantías. No es un formulario posterior a la compra. Una evaluación favorable tampoco crea una base jurídica ausente: la licitud y la excepción del artículo 9 tienen que sostenerse por separado.
Como organización del proyecto se propone revisar primero finalidades y alternativas, después arquitectura y garantías, y finalmente las condiciones de una eventual implantación lícita. Incluso una prueba piloto con plantillas reales ya trata datos personales. Debe evitarse recogerlos para «ver si funciona» antes de resolver esos requisitos. Cuando persiste un alto riesgo que no se puede mitigar suficientemente, el responsable debe consultar a la autoridad de control antes de iniciar el tratamiento, conforme al artículo 36. Las personas afectadas necesitan información comprensible sobre el tratamiento y sus derechos.
Fuentes: [2]
Precisión, exclusión y revisión de incidencias
La comparación biométrica puede aceptar incorrectamente una coincidencia o rechazar a una persona legítima. Una tasa de laboratorio no describe automáticamente el funcionamiento en otro entorno. La evaluación técnica debe conservar las condiciones de prueba, las personas incluidas y el criterio de decisión, sin convertir un porcentaje publicitario en certeza individual.
Como aplicación preventiva, conviene prever un circuito accesible para errores, lesiones o imposibilidad de utilizar el lector. El fallo no debe interpretarse como engaño, enfermedad o incumplimiento sin comprobación. También se revisan las consecuencias de decisiones exclusivamente automatizadas cuando producen efectos jurídicos o similares significativos. La revisión humana necesita capacidad real de corregir y resolver; limitarse a confirmar lo que indica la pantalla no ofrece esa garantía. Los incidentes deben poder registrarse sin divulgar datos corporales innecesarios.
Seguridad de las plantillas y continuidad
La plantilla sigue siendo información personal cuando permite vincular o distinguir a una persona. Cifrarla o transformarla no la convierte automáticamente en anónima. Deben evaluarse almacenamiento, acceso administrativo, transferencias, conservación y supresión, así como la exposición de datos durante enrolamiento y mantenimiento. La seguridad de una base central y la de una referencia controlada por la persona requieren análisis diferentes.
El contrato con proveedores debe aclarar responsabilidades y accesos, sin aceptar usos secundarios indefinidos para entrenar sistemas o ampliar vigilancia. Como criterio operativo, se recomienda prever fallos de red, pérdida de disponibilidad y salida de emergencia sin depender de una coincidencia biométrica. Los plazos de conservación deben responder a cada finalidad; conservar registros de acceso no obliga a conservar indefinidamente la plantilla que permitió autenticar.
Ejemplo hipotético: una puerta de almacén
Una empresa propone instalar lectores vasculares en todas sus puertas porque se han prestado algunas tarjetas. El equipo de revisión separa dos objetivos: controlar una zona con acceso restringido y registrar la jornada de toda la plantilla. Examina las incidencias, las autorizaciones existentes y alternativas menos intrusivas antes de recoger datos biométricos.
Descubre que parte del problema procede de permisos no retirados y de una puerta mantenida abierta. Corregir esas condiciones tiene prioridad y no exige crear una base de patrones corporales. La empresa documenta la decisión y deja cualquier propuesta biométrica específica sometida al análisis jurídico y de impacto correspondiente. El ejemplo no prueba que una tarjeta sea siempre suficiente; muestra que la elección debe responder a una necesidad comprobada, no a la novedad del dispositivo ni a un problema mal definido.
Relación con la SST y con Sabentis
La relación preventiva está en gestionar accesos coherentes con las tareas autorizadas, proteger derechos y evitar que un fallo técnico produzca exclusión o una decisión sobre salud. La biometría no reemplaza la evaluación de riesgos, la formación ni la vigilancia de la salud. Tampoco debe convertirse en una fuente de indicadores individuales de aptitud inferidos del cuerpo.
Sabentis puede relacionarse con la trazabilidad de requisitos, autorizaciones y acciones del sistema de SST; no se le atribuye aquí reconocimiento vascular ni diagnóstico automatizado. Como indicadores de gestión se proponen permisos revisados, incidencias resueltas y funcionamiento de alternativas, con datos mínimos. Un proyecto puede concluir justificadamente que no necesita biometría. La calidad de la decisión se mide por su adecuación, garantías y resultado verificable, no por el número de sensores instalados.
Preguntas frecuentes
¿Autenticar uno a uno evita el artículo 9 del RGPD?
No. La autenticación biométrica para comprobar identidad también implica datos especialmente protegidos, aunque su impacto puede diferir de una búsqueda uno a varios.
¿Un consentimiento firmado autoriza la implantación?
No. Deben acreditarse las condiciones jurídicas, necesidad y garantías; el desequilibrio laboral limita el consentimiento libre.
¿Una plantilla cifrada es anónima?
No necesariamente. Si permite vincular o distinguir a una persona sigue siendo dato personal.
¿El lector puede decidir aptitud médica?
No. Una coincidencia de identidad o un error de lectura no acredita salud, fatiga ni aptitud para una tarea.
