Biometría y Ley 1581: qué exige para marcar con huella o rostro

Si tu empresa hace que la gente marque con huella o rostro, estás tratando datos personales sensibles. La Ley 1581 de 2012 permite hacerlo, pero con condiciones: autorización previa, expresa e informada, una política de tratamiento y, cuando aplique, el registro de la base de datos. Aquí lo que debes tener resuelto antes de instalar un terminal.

Por qué la huella y el rostro son datos sensibles

El artículo 5 de la Ley 1581 de 2012 define los datos sensibles como aquellos que afectan la intimidad del titular o cuyo uso indebido puede generar discriminación. Entre ellos están los datos biométricos, junto con los de salud, origen étnico o vida sexual. La Superintendencia de Industria y Comercio (SIC) es la autoridad que vigila su tratamiento y ha recordado que el rostro es un dato sensible.

Autorización previa, expresa e informada

El artículo 6 de la ley prohíbe tratar datos sensibles, salvo excepciones, sin la autorización explícita del titular. Para un control de asistencia, eso significa que cada colaborador debe aceptar antes de que le tomes la huella o el rostro. Esa autorización debe informarle, como mínimo:

• Que se recolectarán datos biométricos y para qué se usarán (por ejemplo, registrar la asistencia).
• Que, al ser datos sensibles, no está obligado a autorizar su tratamiento.
• Quién es el responsable del tratamiento y cómo contactarlo.
• Cuáles son sus derechos como titular: conocer, actualizar, rectificar y suprimir sus datos, y revocar la autorización.

Guarda la autorización firmada o aceptada de cada persona, porque la responsabilidad de demostrarla es tuya.

Política de tratamiento y registro de bases de datos

El Decreto 1377 de 2013 reglamenta la Ley 1581. Entre otras cosas, pide contar con una política de tratamiento de la información y ponerla a disposición de los titulares. Según tu caso, la base de datos también puede tener que inscribirse en el Registro Nacional de Bases de Datos que administra la SIC. Confirma con tu abogado si estás obligado.

Cómo se aplica en un terminal biométrico

• Antes del enrolamiento, entrega el aviso y recoge la autorización de cada colaborador.
• Recolecta solo lo necesario para marcar: si basta con la huella, no pidas además el rostro.
• Restringe quién puede ver y exportar los datos del sistema.
• Define qué pasa con los datos cuando la persona se retira de la empresa.
• Si ofreces una alternativa de marcación (por ejemplo, tarjeta o PIN) para quien no quiera dar su dato biométrico, déjalo por escrito.

Qué debes conservar como empleador

Si algún día te preguntan cómo recogiste un dato biométrico, la respuesta está en tus archivos. Guarda, por cada persona:

• La autorización firmada o aceptada, con fecha.
• La constancia de que recibió el aviso antes del enrolamiento.
• La política de tratamiento vigente y la prueba de que se la entregaste.
• El registro de quién tiene acceso al sistema y puede exportar datos.
• La constancia de la alternativa de marcación, si la ofreces.

Si la SIC pregunta

La SIC atiende las quejas de los titulares. Si un colaborador reclama por el uso de su huella o su rostro, es razonable esperar que te pidan la autorización y la política. Tenerlas ordenadas por persona te permite responder rápido. Sobre posibles sanciones en este tema, consulta con tu abogado.

Lista de verificación antes de instalar

• Política de tratamiento redactada y publicada.
• Formato de autorización listo, con las finalidades claras.
• Responsable de los datos designado.
• Alternativa de marcación definida para quien no autorice.
• Permisos del sistema limitados a quienes los necesitan.

Productividad y monitoreo en computador

Algunas herramientas permiten medir el uso de aplicaciones, tomar capturas aleatorias o detectar inactividad. Si las usas, informa al colaborador de forma clara y por escrito qué se mide y para qué. Veritempo Tiempo solo debe usarse en ese modo con una política conocida por la persona.

Qué hacer primero

Antes de instalar, redacta la política de tratamiento, prepara el formato de autorización y decide quién es el responsable de los datos en tu empresa. Este artículo es informativo y no sustituye la asesoría jurídica.