Errores en reconocimiento facial para control de accesos y presencia: guía de prevención

La modernización de los sistemas de seguridad en las empresas a menudo choca con una realidad normativa y técnica más compleja de lo esperado. Muchos responsables de infraestructura se encuentran ante la encrucijada de querer agilizar la entrada de empleados y el registro de jornada eliminando las tarjetas físicas, pero temen, con razón, cruzar la línea roja de la privacidad y enfrentarse a inspecciones laborales o sanciones administrativas.

El panorama ha cambiado radicalmente tras las últimas directrices de los organismos reguladores en España y Europa, que han reclasificado cómo deben tratarse los datos físicos de las personas. Lo que hace unos años parecía una innovación inofensiva para fichar, hoy se considera un tratamiento de alto riesgo que requiere garantías excepcionales, superando en muchos casos los beneficios operativos que promete la tecnología por sí sola.

Para evitar inversiones fallidas y riesgos legales innecesarios, es fundamental conocer qué requisitos técnicos son imprescindibles y dónde están los límites jurídicos actuales. Analizar los fallos más habituales, desde la falta de una evaluación de impacto hasta la elección de hardware inadecuado, es el primer paso para decidir si esta tecnología es realmente la solución adecuada para su organización o si existen alternativas más seguras y eficientes.</p

Desafíos del reconocimiento facial para control de accesos y presencia

Implementar soluciones biométricas en el entorno corporativo ha dejado de ser una simple decisión de compra de hardware para convertirse en un reto de cumplimiento normativo y ético. Muchas organizaciones inician estos proyectos atraídas por la comodidad de eliminar llaves y tarjetas, sin percatarse de que están activando un tratamiento de datos de extrema sensibilidad. No se trata únicamente de instalar una cámara en la entrada, sino de gestionar información biológica que identifica de manera unívoca a las personas, lo cual desplaza el foco desde la tecnología hacia la privacidad.

El error de base más habitual es tratar el reconocimiento facial para control de accesos y presencia como si fuera un sistema de fichaje convencional. Esta percepción subestima las implicaciones legales que conlleva capturar, procesar y almacenar el rostro de los trabajadores. La normativa actual exige un análisis profundo antes de colocar el primer dispositivo, obligando a las empresas a justificar por qué medios menos intrusivos, como las tarjetas de proximidad, no son suficientes para cumplir con el objetivo deseado.

Adicionalmente, la presión recae sobre los responsables de seguridad y recursos humanos, quienes deben equilibrar la eficiencia operativa con el respeto a los derechos fundamentales. Un despliegue tecnológico que no contemple estas variables desde el inicio puede derivar en costosas adecuaciones posteriores o en la inutilización completa de la infraestructura adquirida. La complejidad reside en armonizar la innovación técnica con un marco jurídico que busca proteger al individuo frente al procesamiento automatizado de sus rasgos físicos.

Diferencia entre identificación y autenticación biométrica

A nivel técnico y funcional, es crucial distinguir entre dos procesos que a menudo se confunden pero que operan de forma distinta: la identificación y la autenticación. La identificación biométrica responde a la pregunta ‘¿quién es esta persona?’. El sistema captura una imagen del rostro y la compara contra toda la base de datos de usuarios registrados (proceso ‘uno a muchos’ o 1:N) para encontrar una coincidencia. Este método es el más intrusivo, ya que implica el escaneo y cotejo masivo de datos biométricos sin que el usuario reclame previamente una identidad.

Por otro lado, la autenticación o verificación biométrica busca confirmar si la persona es quien dice ser. Aquí, el usuario primero reclama una identidad (por ejemplo, acercando una tarjeta o introduciendo un código) y el sistema compara su rostro únicamente con la plantilla biométrica asociada a esa identidad específica (proceso ‘uno a uno’ o 1:1). Aunque este método acota la búsqueda, sigue tratando datos de categoría especial, pues el sistema debe procesar el rasgo físico para validarlo.

Esta distinción técnica tiene matices importantes a la hora de evaluar la proporcionalidad de la medida, tal y como se resume a continuación:

A efectos legales, ambos procesos implican el tratamiento de datos biométricos y, tras las últimas interpretaciones de las autoridades de control europeas, requieren garantías de cumplimiento muy similares. No obstante, comprender esta arquitectura es vital para configurar los sistemas de la forma menos agresiva posible.

Categoría especial de datos y alto riesgo según el RGPD

El Reglamento General de Protección de Datos (RGPD) clasifica los datos biométricos dirigidos a identificar de manera unívoca a una persona física como una categoría especial de datos en su artículo 9. Esto significa que, por defecto, su tratamiento está prohibido a menos que concurra una de las excepciones taxativas previstas en la norma. El rostro humano no es un dato que se pueda cambiar como una contraseña; es una característica permanente cuya filtración o mal uso puede tener consecuencias irreversibles para la vida privada del individuo.

Debido a esta naturaleza inmutable, el uso de tecnologías faciales para el control horario se considera un tratamiento de alto riesgo para los derechos y libertades. Esto eleva automáticamente el nivel de exigencia para la empresa, que no puede limitarse a cumplir con los principios básicos de seguridad. La organización debe aplicar medidas reforzadas de responsabilidad proactiva, asegurando que la tecnología no vulnere la dignidad ni la privacidad de los empleados bajo el pretexto de la modernización.

Principales errores jurídicos tras el cambio de criterio de la AEPD

El panorama regulatorio en España sufrió un vuelco determinante con la publicación de la guía de la Agencia Española de Protección de Datos (AEPD) en noviembre de 2023. Hasta ese momento, muchas empresas operaban bajo la creencia de que el fichaje biométrico era una práctica estándar aceptada. Sin embargo, el criterio actual es mucho más restrictivo, estableciendo que el control de presencia mediante biometría no supera, en la gran mayoría de los casos, el juicio de necesidad y proporcionalidad si existen otros métodos disponibles.

El error más grave que cometen las organizaciones hoy en día es mantener sistemas instalados bajo criterios antiguos o implementar nuevos dispositivos ignorando esta actualización doctrinal. Las sanciones más cuantiosas no provienen de fallos en el hardware, sino de la carencia de una base de legitimación válida. Actuar como si el reconocimiento facial fuera una simple mejora administrativa es la vía más rápida para enfrentarse a un procedimiento sancionador.

Invalidez del consentimiento del trabajador como base legal

Existe la creencia extendida de que basta con que el empleado firme un documento autorizando el uso de su imagen para legitimar el sistema. Sin embargo, en el ámbito laboral, el consentimiento rara vez se considera libre debido al evidente desequilibrio de poder entre la empresa y el trabajador. Si el empleado siente que negarse podría acarrear consecuencias negativas o incomodidad en su puesto, ese consentimiento queda viciado y carece de validez legal como base jurídica.

Para que el tratamiento biométrico fuera lícito en el control de jornada, sería necesaria una norma con rango de ley que autorizase específicamente dicho uso para esa finalidad concreta. Actualmente, la legislación española exige el registro de jornada, pero no especifica que deba hacerse mediante biometría. Al no existir esa habilitación legal explícita para el uso de datos de categoría especial en el fichaje ordinario, apoyarse únicamente en la firma del trabajador es una estrategia jurídica fallida.

La única excepción viable para el consentimiento sería que el sistema biométrico fuese totalmente opcional y que la alternativa (como una tarjeta o código) se ofreciese en igualdad de condiciones reales, sin suponer un perjuicio o una carga adicional para quien la elija. Si el reconocimiento facial se impone como norma general, el consentimiento no salvará a la empresa de la infracción.

Ausencia de Evaluación de Impacto en Protección de Datos obligatoria

Uno de los fallos procedimentales más frecuentes es la omisión de la Evaluación de Impacto en Protección de Datos (EIPD) antes de la puesta en marcha del sistema. Tratándose de datos de alto riesgo, esta evaluación es un requisito ineludible que debe realizarse con carácter previo para analizar los riesgos y determinar las medidas mitigadoras. No es un mero trámite burocrático, sino la herramienta que debe demostrar documentalmente que el sistema es idóneo, necesario y proporcional.

Muchas empresas instalan los terminales y luego intentan adaptar la documentación legal. Este enfoque es incorrecto y peligroso. La EIPD debe concluir que no existe ninguna otra tecnología menos intrusiva capaz de lograr el mismo objetivo con igual eficacia. Dado que existen tarjetas, llaveros RFID o aplicaciones móviles que permiten fichar perfectamente, justificar la ‘necesidad’ estricta de la biometría para un control horario estándar resulta extremadamente difícil ante una inspección.

Carecer de esta evaluación, o presentar una incompleta que no aborde los riesgos específicos de la biometría, constituye una infracción grave. La documentación debe estar disponible y actualizada, detallando el ciclo de vida de los datos, desde su captación hasta su borrado seguro.

Confusión entre finalidades de seguridad y registro de jornada

Es habitual que las compañías intenten aprovechar la infraestructura de seguridad física para el control de recursos humanos, mezclando finalidades que legalmente deben tratarse por separado. El hecho de que esté justificado usar biometría para acceder a una sala de servidores crítica por motivos de seguridad no legitima automáticamente el uso de esos mismos datos para contabilizar las horas trabajadas de la plantilla.

Cada finalidad requiere su propio análisis de base legal y proporcionalidad. Mientras que la seguridad de instalaciones sensibles puede ampararse en el interés legítimo o en normativas de seguridad privada específicas, el registro de jornada tiene una naturaleza administrativa distinta. Unificar ambos procesos sin diferenciación jurídica es un error que expone a la empresa a sanciones por el tratamiento ilícito de datos para fines no justificados adecuadamente.

Fallos técnicos frecuentes en la implantación de biometría facial

Más allá de los riesgos legales, la implementación física de sistemas de reconocimiento facial conlleva desafíos operativos que a menudo se pasan por alto en la fase de diseño. Una mala configuración técnica no solo compromete la seguridad, sino que genera fricciones diarias que afectan al clima laboral. Cuando la tecnología falla en la puerta de entrada, se producen colas, retrasos y una sensación generalizada de ineficiencia que frustra tanto a empleados como a gestores.

Seleccionar hardware de baja calidad o descuidar las condiciones ambientales del entorno de instalación son recetas seguras para el fracaso del proyecto. Los sistemas de control de presencia deben ser rápidos y fiables; si el trabajador necesita varios intentos para ser reconocido, la tecnología se convierte en un obstáculo en lugar de una solución.

Problemas de iluminación y ubicación física de los terminales

La luz es el factor enemigo número uno de las cámaras de reconocimiento facial estándar. Un error clásico es instalar los terminales en recepciones con grandes ventanales detrás del usuario, generando un contraluz que oscurece el rostro y hace imposible la identificación. Del mismo modo, la luz solar directa incidiendo sobre la lente puede ‘cegar’ al sensor, provocando fallos de lectura intermitentes según la hora del día.

La altura de instalación también juega un papel determinante. Colocar el dispositivo a una altura estándar puede excluir a personas muy altas, muy bajas o usuarios en silla de ruedas, obligándoles a adoptar posturas incómodas y poco naturales para fichar. Una ubicación mal planificada obliga a intervenciones manuales constantes por parte del personal de recepción o seguridad, anulando la automatización que se buscaba conseguir.

Para evitar estos inconvenientes, es recomendable realizar un estudio previo del entorno:

• Evitar fuentes de luz natural directa detrás o frente al dispositivo.
• Instalar iluminación artificial auxiliar neutra si el entorno es oscuro.
• Optar por terminales con cámaras de amplio rango dinámico (WDR) capaces de compensar contrastes.
• Considerar la ergonomía y la accesibilidad en la altura de montaje.

Falsos rechazos por cambios fisionómicos y uso de EPIs

Los algoritmos de reconocimiento facial trabajan buscando patrones geométricos en la cara, pero estos patrones pueden alterarse temporal o permanentemente. Cambios de apariencia como el crecimiento de barba, el uso de gafas nuevas, cambios en el peinado o el simple envejecimiento pueden llevar a que el sistema no reconozca a un empleado legítimo, generando lo que se conoce como un ‘falso rechazo’.

En entornos industriales o sanitarios, el problema se agrava con el uso de Equipos de Protección Individual (EPIs) como mascarillas, cascos o gafas de seguridad. Aunque la tecnología ha avanzado para reconocer rostros parcialmente cubiertos, muchos terminales antiguos o de gama baja fallan estrepitosamente en estas condiciones. Esto obliga a los trabajadores a retirarse los elementos de protección para fichar, lo cual puede contravenir las normas de prevención de riesgos laborales y ralentizar el flujo de acceso.

Vulnerabilidades ante intentos de suplantación de identidad

La seguridad de un sistema biométrico se mide por su capacidad para distinguir un rostro real de una falsificación. Un error grave al adquirir tecnología es optar por dispositivos que carecen de detección de prueba de vida (*liveness detection*). Sin esta función, es relativamente sencillo engañar al sensor utilizando una fotografía de alta resolución o un vídeo del empleado mostrado desde un teléfono móvil o tableta.

Este tipo de ataque, conocido como *spoofing*, compromete totalmente la seguridad física de las instalaciones y la veracidad del registro horario. Si un empleado puede fichar por otro simplemente mostrando una foto, la integridad del sistema de control de presencia se desmorona. Es imperativo invertir en terminales que incorporen doble cámara, sensores infrarrojos o análisis de profundidad 3D para asegurar que quien está frente al torno o la puerta es una persona viva y presente físicamente.

Las consecuencias de esta vulnerabilidad no son solo disciplinarias, sino que abren brechas de seguridad que permiten el acceso de intrusos si consiguen imágenes de personal autorizado en redes sociales o internet.

Gestión deficiente de la seguridad de las plantillas biométricas

Cuando se trata de datos biométricos, la seguridad de la información deja de ser una recomendación para convertirse en una obligación crítica. A diferencia de una contraseña, que si se ve comprometida puede cambiarse, una huella facial robada no puede sustituirse. Por ello, la protección de las bases de datos donde residen estas credenciales debe ser de máximo nivel, aplicando técnicas de cifrado robustas y controles de acceso estrictos.

Uno de los riesgos más severos es tratar estos archivos como datos convencionales, almacenándolos en servidores sin las debidas medidas de ciberseguridad. Una fuga de datos en este ámbito expone a la empresa a multas millonarias y a un daño reputacional difícil de reparar, además de dejar a los usuarios en una situación de indefensión permanente frente al robo de identidad.

Almacenamiento de imágenes en lugar de vectores cifrados

Un fallo técnico y legal imperdonable es guardar la fotografía original del rostro del usuario en la base de datos. El sistema nunca debe almacenar la imagen visible (jpg, png), sino transformarla inmediatamente en una plantilla biométrica o ‘hash’. Este vector es una representación matemática de los puntos característicos del rostro que, idealmente, no debería permitir la reconstrucción de la cara original mediante ingeniería inversa.

Además, este vector matemático debe estar fuertemente cifrado tanto en reposo como en tránsito. La práctica recomendada es que la plantilla se almacene localmente en una tarjeta inteligente en posesión del usuario, de modo que la empresa no centralice los datos. Si el almacenamiento centralizado es imprescindible, se debe garantizar que el acceso a dichos servidores esté blindado y auditado. Almacenar fotos directas vulnera el principio de minimización de datos y aumenta exponencialmente el impacto de cualquier brecha de seguridad.

Es vital verificar con el proveedor del software de control de accesos cómo se gestiona esta información y exigir certificaciones que acrediten que el algoritmo es unidireccional y seguro.

Carencia de medidas de supresión y revocación de credenciales

El ciclo de vida del dato biométrico no termina cuando se registra al empleado, sino cuando este abandona la organización. Un error organizativo frecuente es no tener un protocolo claro de borrado. Acumular plantillas biométricas de ex-empleados contraviene el principio de limitación del plazo de conservación y genera una base de datos ‘sucia’ que incrementa el riesgo innecesariamente.

El sistema debe permitir la revocación inmediata y la supresión irreversible del vínculo entre la identidad de la persona y su patrón biométrico. Esto debe realizarse de forma sencilla desde el panel de administración. Si la tecnología implementada dificulta la eliminación selectiva de usuarios o mantiene copias ocultas en la nube del fabricante, la empresa estará incumpliendo el derecho de supresión de los interesados y reteniendo información sensible sin base legal vigente.

Alternativas viables al reconocimiento facial para fichar en la empresa

Dadas las restricciones legales y las exigencias técnicas descritas, muchas empresas optan sensatamente por tecnologías alternativas que cumplen con la finalidad de registro de jornada y control de acceso sin invadir la esfera privada de los datos biométricos. Estas soluciones, cuando se implementan correctamente, ofrecen un equilibrio mucho más favorable entre seguridad, coste y cumplimiento normativo, eliminando el riesgo de sanciones por parte de la AEPD.

Existen herramientas maduras y eficaces que permiten la identificación inequívoca del personal sin necesidad de escanear sus rasgos físicos. La elección de estas tecnologías demuestra una actitud de responsabilidad proactiva y respeto por la privacidad de la plantilla, simplificando enormemente la gestión documental y las evaluaciones de impacto requeridas.

Tecnologías de tarjeta RFID y credenciales móviles

El uso de tarjetas de proximidad (RFID/Mifare) sigue siendo el estándar de oro para el control de accesos y presencia por su fiabilidad y bajo coste. Es una tecnología poco intrusiva, ya que lo que se identifica es el objeto (la tarjeta) y no el cuerpo del trabajador. Para aumentar la seguridad y evitar el préstamo de tarjetas, se pueden combinar con una validación visual por parte de seguridad o integrar en tarjetas PVC personalizadas con la foto impresa del empleado.

Una evolución natural y muy demandada es el uso del teléfono móvil como credencial mediante tecnologías NFC o Bluetooth. En este caso, el empleado utiliza una app en su smartphone para abrir puertas o fichar. Es una solución higiénica (‘contactless’), cómoda porque el usuario rara vez olvida su teléfono, y segura, ya que los móviles suelen estar protegidos por la propia biometría del dispositivo (FaceID/Huella) que se queda en el terminal del usuario y no se transfiere a la empresa.

Estas opciones suelen encajar perfectamente en cualquier evaluación de impacto, ya que son medidas menos gravosas para la privacidad que consiguen el mismo fin de control horario.

Sistemas de códigos PIN y contraseñas personales

Otra alternativa válida es el uso de teclados para la introducción de un código PIN o contraseña personal. Aunque es cierto que un código puede ser compartido entre compañeros con mayor facilidad que una tarjeta, a efectos legales es un método completamente lícito para el registro de jornada. No trata datos especiales y su implementación es extremadamente económica.

Para mitigar el riesgo de suplantación en el fichaje por PIN, muchas empresas instalan cámaras de videovigilancia convencional (no biométrica) enfocando al terminal de fichaje. Estas cámaras graban el evento, pero no procesan biométricamente la imagen. Así, en caso de sospecha de fraude horario, se puede revisar la grabación manualmente, manteniendo un equilibrio adecuado entre control y privacidad sin automatizar el tratamiento de datos sensibles.

Casos excepcionales donde la biometría sigue siendo admisible

A pesar de las restricciones generales, la biometría no está totalmente prohibida, sino reservada para situaciones donde sea estrictamente necesaria. Existen escenarios de alta seguridad o infraestructuras críticas donde las alternativas convencionales no ofrecen garantías suficientes. Entornos como centros de procesamiento de datos (CPD), laboratorios farmacéuticos, zonas de manipulación de efectivo o áreas de investigación estratégica pueden justificar el uso de reconocimiento facial.

En estos casos excepcionales, la empresa debe demostrar en su EIPD que el riesgo de intrusión mediante robo de tarjetas o claves es inasumible y que solo la biometría garantiza la protección adecuada de los bienes o personas. Aun así, la implementación debe ser exquisita en términos de cifrado, minimización y transparencia informativa hacia los usuarios afectados, asegurando que la medida es proporcional a la magnitud del riesgo que se pretende evitar.

La implementación de sistemas biométricos exige hoy un rigor extremo; el riesgo de sanciones elevadas y la nulidad de los registros horarios desaconsejan su uso generalizado sin una justificación de ‘necesidad estricta’ difícil de probar en entornos corporativos estándar. La tecnología debe servir a la eficiencia, no convertirse en un pasivo legal para la organización.

Para la mayoría de las empresas, optar por alternativas menos intrusivas como las tarjetas inteligentes o las credenciales móviles no solo asegura el cumplimiento normativo inmediato, sino que simplifica la gestión técnica y respeta la privacidad de la plantilla, garantizando un control de accesos robusto y sin sobresaltos jurídicos.