Cuando una empresa instala un reloj biométrico para registrar la asistencia, suele pensar solo en SUNAFIL. Pero al capturar la huella o el rostro de un trabajador nace, en paralelo, una segunda obligación legal que muchas organizaciones pasan por alto: la protección de esos datos bajo la Ley 29733, Ley de Protección de Datos Personales. Dirigir al personal con biometría exige tratar esos datos con el mismo rigor con que se cumple la normativa laboral, porque una cosa no reemplaza a la otra.
La huella y el rostro son datos personales sensibles
La Ley 29733 define como dato personal toda información que identifique o haga identificable a una persona. La huella dactilar y el patrón facial no solo cumplen esa definición: al ser datos biométricos que identifican de forma única e irrepetible, reciben una protección reforzada. No se trata de un número de legajo que se puede reasignar; es una característica física del cuerpo del colaborador que lo acompaña toda la vida. Esa naturaleza obliga a un tratamiento más cuidadoso que el de un nombre o un correo.
Qué exige la Ley 29733 y su reglamento
El marco peruano establece principios que todo tratamiento biométrico debe respetar:
- Consentimiento informado: el trabajador debe conocer y aceptar que se capturará su dato biométrico. El consentimiento debe ser previo, libre e inequívoco, y no puede darse por supuesto solo porque el colaborador colocó el dedo en el lector.
- Finalidad determinada: el dato se recoge para el control de asistencia, y solo para eso. Usarlo para otro propósito distinto al informado vulnera la norma.
- Proporcionalidad y calidad: se recaba lo necesario, ni más ni menos, y se mantiene actualizado y exacto.
- Seguridad: quien administra el dato debe adoptar medidas técnicas y organizativas que impidan su acceso, alteración o pérdida no autorizados.
Estos principios conviven con la obligación laboral de llevar el registro de asistencia conforme a la normativa peruana: el DS 004-2006-TR exige registrar; la Ley 29733 regula cómo custodiar lo registrado.
El deber de informar al trabajador
Antes de capturar la primera huella, la empresa debe informar al colaborador qué dato se recoge, con qué finalidad, quién lo tratará, cuánto tiempo se conservará y cómo puede ejercer sus derechos de acceso, rectificación, cancelación y oposición. Este deber de información no es un trámite decorativo: es la base que legitima todo el tratamiento posterior. Una política interna clara y una constancia firmada evitan que, ante un reclamo, la empresa quede sin sustento.
Medidas de seguridad que debes exigir
La seguridad no es opcional. Un sistema serio de control biométrico debe incorporar, como mínimo:
- Roles y accesos: que cada usuario del sistema vea solo lo que su función requiere, sin acceso indiscriminado a la base de datos.
- Cifrado: los datos biométricos deben protegerse tanto en almacenamiento como en su transmisión entre el reloj y el servidor.
- Bitácora de auditoría: un registro del antes y el después de cada cambio, de modo que toda modificación quede trazada con su autor y fecha.
- Detección de brechas: mecanismos que alerten sobre accesos anómalos o intentos de fuga de información, para reaccionar a tiempo.
Retención: cuánto tiempo se conservan
Aquí la Ley 29733 y la norma laboral se cruzan. El dato personal no debe conservarse más allá de lo necesario para su finalidad; pero el registro de control de asistencia debe mantenerse cinco años según el DS 004-2006-TR. La lectura práctica es distinguir el dato: las marcaciones y reportes se conservan el plazo legal para responder ante una fiscalización, mientras que las plantillas biométricas de quienes ya no trabajan en la empresa deben depurarse cuando dejan de tener finalidad. Definir esta política de retención por adelantado evita conservar datos sensibles sin justificación.
Riesgos de no cumplir y cómo SICON protege estos datos
Incumplir la Ley 29733 expone a la empresa a sanciones de la Autoridad Nacional de Protección de Datos, independientes de cualquier multa de SUNAFIL, además del daño reputacional que implica una fuga de datos de tus propios colaboradores. La plataforma SICON ONE aborda esta exigencia de raíz: control de accesos por roles, cifrado de la información, bitácora de auditoría con trazabilidad completa y detección de brechas, disponible tanto en la nube como en tu servidor propio, según lo decida el área de TI de tu empresa. Y como es agnóstica de fabricante, protege los datos con el mismo estándar sin importar la marca de tus relojes biométricos. Registrar la asistencia es obligatorio; custodiar bien esos datos es lo que separa a una operación seria de una contingencia esperando ocurrir.