Los sistemas o mecanismos de control de acceso son imprescindibles a la hora de proteger las instalaciones físicas e informáticas de toda empresa. En el presente artículo detallamos sus principales implicaciones a nivel de protección de datos.
¿Qué es un control de acceso?
Por control de acceso debemos entender cualquier mecanismo o dispositivo que permite autorizar o denegar la entrada a determinado espacio o lugar.
Puede entenderse desde desde una doble prespectiva:
1 Desde un punto de vista físico, en el que lo que regula el mecanismo de control de acceso es la entrada a una determinada instalación física.
2 Desde un punto de vista informático, consistiendo en este caso en una herramienta informática que permita restringir o permitir el acceso a un determinado sistema o dispositivo informático.
En ambos casos, los sistemas de control de acceso son un mecanismo de gran utilidad para las empresas a la hora de llevar a cabo una correcta organización y control de los trabajadores: permiten tanto controlar el acceso físico a determinadas instalaciones y espacios físicos como registrar las actuaciones de los usuarios en los sistemas informáticos.
Control de acceso a sistemas informáticos y protección de datos
El establecimiento de controles de acceso resulta un punto clave dentro del proceso de adaptación de una empresa a la normativa de protección de datos.
Los sistemas informáticos de las empresas permiten conocer, a quienes accedan, multitud de datos personales e información confidencial responsabilidad de la empresa.
Seleccionar qué personal dentro de la organización podrá tener acceso a qué tipo de información es un factor clave a la hora de evitar el alto nivel de riesgo de sufrir una brecha de seguridad que un acceso sin control a los sistemas informáticos de una compañía supone.
Privacidad desde el diseño
Permitir a los empleados de una compañía acceder a los sistemas informáticos sin control de acceso puede suponer, además, una violación de lo establecido en la normativa de protección de datos.
Dentro de las obligaciones que establece el principio de privacidad desde el diseño, el RGPD especifica que los responsables de tratamiento deben contar con un sistema de identificación de usuarios lo cual implica la necesidad de contar con controles de acceso para los empleados.
Los controles de acceso son la herramienta imprescindible para que una empresa pueda asegurarse de que sólo el personal adecuado tiene acceso únicamente a los datos que le resultan necesarios, del modo y tiempo correctos.
Implementar este y otros sistemas y medidas de seguridad y control dentro de la compañía es una parte imprescindible dentro de su proceso de adaptación de una empresa a la normativa de protección de datos.
Guía AEPD: control de acceso a instalaciones
La Guía protección de datos en las relaciones laborales publicada por Agencia Española de Protección de Datos (AEPD) en mayo de 2021, especifica que, para el establecimiento del control de acceso a las instalaciones de una empresa que estime convenientes, la empresa no necesita el consentimiento de los empleados.
En este sentido, la base jurídica que ampararía el establecimiento del control de acceso podría ser:
1. El contrato de trabajo, cuando la finalidad del control de acceso es el control de los trabajadores
2. El interés legítimo del empleador, cuando existan otras finalidades.
Datos biométricos en el ámbito laboral
A la hora de seleccionar el tipo de control de acceso que queremos implementar en la empresa, deben evitarse sistemas especialmente invasivos de los derechos fundamentales de los empleados, siempre que existan otros igualmente eficaces que resulten menos intrusivos.
Es el caso de la utilización de sistemas de control de acceso mediante datos biométricos.
Los datos biométricos son aquellos obtenidos a partir de un tratamiento técnico específico, relativos a las características físicas, fisiológicas o conductuales de una persona física que permitan o confirmen la identificación única de dicha persona, como la imagen facial, la voz o la huella dactilar.
El tratamiento de estos datos especialmente sensibles por parte de la empresa puede suponer un riesgo para el empleado, ya que se produce una invasión de la privacidad y, por esta razón, es necesario cumplir una serie de requisitos para implementarlos como sistema de control de acceso de manera lícita:
1. Realizar una Evaluación de Impacto.
2. Contar con un Registro de Actividades en el que se especifique este tratamiento.
3. Cumplir con el deber de informar a los trabajadores.
4. Tratar los datos de conformidad con la normativa de protección de datos.
En Type of Legal somos abogados expertos en protección de datos. Realizamos procesos de adaptación completos a la normativa de protección de datos de todo tipo de empresas adaptándonos a las necesidades y tipos de tratamientos concretos de cada organización.
