Biometría de empleados y Ley 1581: cómo usar huella y rostro para asistencia y acceso sin incumplir la ley

Cada vez que un trabajador pone el dedo en el lector o mira la cámara del reloj de asistencia, la empresa está tratando un dato personal sensible. Así lo define la Ley 1581 de 2012 (artículo 5) y lo precisa el Decreto 1377 de 2013: los datos biométricos están en la misma categoría que los de salud o la orientación sexual. No significa que esté prohibido usarlos. Significa que hay reglas más estrictas que casi ninguna empresa cumple cuando instala el equipo "porque el proveedor lo trajo". Esta guía explica qué exige la norma, cómo cumplirla sin frenar la operación y qué formatos necesitas.

Lo que la ley exige para datos biométricos

1. Autorización previa, expresa e informada (Ley 1581, art. 6 y 9; Decreto 1377, art. 6). Para datos sensibles no vale la autorización tácita ni la "conducta inequívoca": tiene que ser explícita y separada, idealmente por escrito o por un medio que deje constancia.
2. Informar que la entrega es facultativa (Decreto 1377, art. 6 y 12). El titular debe saber que no está obligado a autorizar y cuáles son las consecuencias (ninguna, salvo usar otro medio de identificación).
3. No condicionar la actividad al suministro de datos sensibles (Decreto 1377, art. 6). Por eso hace falta una alternativa: tarjeta, código, registro manual.
4. Finalidad concreta e informada: registrar jornada para nómina, controlar acceso a áreas. No "fines de seguridad en general".
5. Seguridad reforzada (Ley 1581, art. 4 lit. g y art. 17): medidas técnicas y administrativas proporcionales a la sensibilidad del dato.
6. Conservar la prueba de la autorización (Decreto 1377, art. 8). La carga de la prueba es del empleador: si no puede demostrarla, para la Superintendencia de Industria y Comercio no existe.
7. Política de tratamiento publicada que mencione el tratamiento biométrico, sus finalidades y el canal para ejercer derechos (Decreto 1377, art. 13).

Lo que de verdad guarda un equipo biométrico

Esta es la explicación que desactiva el 90 % de las objeciones de los empleados. Un lector ZKTeco, Hikvision o Dahua moderno no guarda la imagen de la huella ni la foto del rostro para identificar: extrae una plantilla, un vector numérico cifrado con los puntos característicos, y compara plantillas. De esa plantilla no se puede reconstruir la huella ni la cara. La foto que algunos equipos muestran en pantalla al marcar es una imagen de referencia opcional que puede desactivarse.

Dos cosas sí hay que cuidar. Primero, que la plantilla viaja del lector al software (ZKBio CVSecurity, HikCentral) y se almacena en una base de datos: ese servidor debe estar protegido con usuarios individuales, respaldo cifrado y, en lo posible, en una VLAN separada de la red de oficina. Segundo, que muchos integradores dejan los equipos con la contraseña de fábrica y el puerto abierto a internet: ahí no hay política de datos que valga.

La autorización: qué debe decir y cuándo firmarse

El formato debe firmarse antes de registrar la huella o el rostro, no en la inducción general ni en el contrato como una línea más. Debe contener:

• Identificación del responsable (razón social, NIT, canal de datos).
• Qué dato se recolecta: plantilla de huella, rostro o palma, más nombre, documento, cargo y registros de hora.
• Finalidades: registro de jornada y asistencia para nómina; control de acceso a instalaciones y áreas.
• Carácter facultativo y la alternativa disponible.
• Tiempo de conservación y compromiso de borrado al terminar el vínculo.
• Medidas de seguridad (plantilla cifrada, acceso restringido, no se comparte con terceros).
• Derechos del titular y cómo revocar.
• Firma, nombre, cédula, fecha.

Si prefieres no redactarlo desde cero, el generador de política de tratamiento de datos produce la política completa con este formato como Anexo A y una cláusula para el contrato de trabajo como Anexo B. Gratis, en PDF, para que tu abogado lo revise.

¿Y si un empleado no autoriza?

Pasa menos de lo que se teme, pero pasa. La respuesta legal es simple: se le asigna el medio alternativo (tarjeta de proximidad, PIN o registro manual firmado) y su negativa no puede ser causal de sanción ni afectar su relación laboral. En la práctica, cuando se explica que el equipo guarda una plantilla cifrada y no la foto, y que la finalidad es que la nómina salga bien, la mayoría autoriza. Lo que no se puede hacer es registrar a todo el mundo "porque es política de la empresa" y recoger las firmas después.

Caso aparte son los trabajadores ya registrados sin autorización, que es la situación más común. Lo correcto es recoger la autorización ahora, con la fecha real, documentar que el tratamiento previo se regulariza, y ofrecer la alternativa a quien no firme. Fingir una fecha anterior convierte un incumplimiento administrativo en algo peor.

Retención y borrado

La plantilla biométrica debe eliminarse del equipo y del software cuando termina el vínculo o cuando el titular revoca la autorización. Un plazo razonable y defendible son 15 días hábiles. Lo que sí puede y debe conservarse son los registros de asistencia (fecha, hora, nombre), porque soportan la nómina y tienen término legal de conservación; esos registros no son biométricos. Un error frecuente: equipos con 400 huellas de personas que se fueron hace años. Además de ilegal, es un riesgo de seguridad si el equipo también abre puertas.

Seguridad: lo que revisamos en una auditoría

• Contraseña de administrador del lector cambiada y acceso web del equipo deshabilitado o restringido por IP.
• Firmware actualizado (los fabricantes publican parches de seguridad varias veces al año).
• Servidor del software con usuarios individuales, registro de auditoría activo y copia de seguridad cifrada.
• Red segmentada: los lectores y el servidor en una VLAN distinta a la de la contabilidad y al WiFi de visitantes.
• Exportaciones a nómina sin plantillas biométricas, solo con marcaciones.
• Procedimiento escrito de alta y baja de personas, con quién ejecuta el borrado.

Sanciones y precedentes

La SIC puede imponer multas de hasta 2.000 salarios mínimos, suspender el tratamiento y ordenar el cierre de operaciones relacionadas (Ley 1581, art. 23). Las investigaciones suelen empezar por una queja de un trabajador o extrabajador, y lo primero que pide la Superintendencia es la prueba de la autorización y la política publicada. Tener los dos documentos y poder demostrar que se firmaron antes del registro resuelve la mayoría de los casos.

Resumen para RR. HH.

1. Publica la política de tratamiento de datos con el apartado biométrico.
2. Haz firmar la autorización específica antes de registrar a cada persona; guárdala en la carpeta del trabajador.
3. Ofrece y documenta la alternativa para quien no autorice.
4. Define quién borra plantillas al retiro y en cuánto tiempo.
5. Pide a tu integrador el checklist de seguridad del equipo y del servidor.

Base legal: Ley 1581 de 2012 (arts. 4, 5, 6, 9, 17 y 23), Decreto 1377 de 2013 (arts. 3, 6, 8, 12 y 13) compilado en el Decreto 1074 de 2015. Este artículo es orientación general y no sustituye la asesoría de tu abogado.