La huella dactilar y el rostro son datos sensibles según la Ley 1581 de 2012. Eso significa que su tratamiento exige autorización previa, expresa e informada de cada persona, que nadie está obligado a entregarlos, y que debe existir una alternativa para quien no autorice. No es un trámite formal: es un derecho del trabajador o del residente.
Por qué la huella es un dato sensible
La ley colombiana clasifica como sensibles aquellos datos que afectan la intimidad o cuyo uso indebido puede generar discriminación. Los datos biométricos entran en esa categoría.
La razón de fondo es sencilla y contundente: usted puede cambiar una contraseña filtrada, pero no puede cambiar su huella. Si una base de datos biométricos se compromete, el daño es permanente para esas personas. Por eso el estándar de cuidado es más alto que con un nombre o un teléfono.
La mayoría de equipos no guarda la imagen de la huella, sino una plantilla matemática derivada de ella, de la que no se puede reconstruir el dedo. Es una protección real y vale la pena explicarla a los usuarios, porque baja mucho la resistencia. Pero no exime de las obligaciones legales: sigue siendo un dato biométrico.
Qué exige la ley en la práctica
Traducido a lo que hay que hacer, sin lenguaje de reglamento:
- Autorización previa, expresa e informada. Por escrito o por medio que permita probarla. No basta con avisar: hay que obtener consentimiento antes de registrar la huella.
- Informar la finalidad. Para qué se usa exactamente. Si se registró para control de acceso, no puede usarse después para otra cosa sin nueva autorización.
- Política de tratamiento de datos de la empresa o copropiedad, disponible para los titulares.
- Medidas de seguridad sobre la base de datos: acceso restringido, credenciales controladas, respaldos protegidos.
- Atender consultas y reclamos de los titulares en los plazos legales.
- Eliminar el dato cuando termina la finalidad: cuando alguien deja la empresa o se muda del conjunto.
Obligaciones concretas
| Requisito | Qué significa | Suele faltar |
|---|---|---|
| Autorización firmada | De cada persona registrada | Muy a menudo |
| Finalidad informada | Para qué se usará el dato | A menudo |
| Política de tratamiento | Documento disponible | A menudo |
| Alternativa para quien no autorice | Tarjeta o clave | Casi siempre |
| Baja al terminar la relación | Eliminar el registro | Con frecuencia |
| Acceso restringido a la base | Quién administra el sistema | Con frecuencia |
El derecho a una alternativa
Este es el punto que más sorprende a empresas y administraciones: una persona puede negarse a entregar su huella, y esa negativa no puede traducirse en que no pueda entrar a su trabajo o a su vivienda.
La solución práctica es simple y además es buena idea por razones técnicas: tener siempre un método alterno —tarjeta o clave— disponible. Eso resuelve al mismo tiempo tres cosas: el derecho de quien no autoriza, el caso de quien tiene huellas que no leen bien, y el respaldo cuando el lector falla.
Aquí es especialmente delicado. Un residente no puede quedar sin acceso a su propia vivienda por no autorizar el tratamiento de su huella. Cualquier propuesta biométrica para copropiedad debería incluir la alternativa desde el diseño, no como concesión posterior.
Usar la huella para control de horarios
Es un uso muy extendido y perfectamente posible, con dos precisiones:
Primera: si el registro se hizo para control de acceso, usarlo además para nómina es una finalidad distinta. Lo correcto es que la autorización contemple ambos usos desde el principio.
Segunda: el reporte del equipo es un insumo, no una prueba automática. Las discusiones laborales sobre horarios tienen sus propias reglas, y conviene que su asesor laboral revise cómo se usan esos reportes antes de que sean el sustento de una decisión.
Qué aportamos nosotros y qué no
Conviene ser claros sobre el alcance, porque aquí se mezclan dos mundos.
Lo que sí aportamos: las medidas técnicas. Configuración del equipo con acceso restringido, credenciales de administración controladas, usuarios con permisos diferenciados, respaldo de la base, procedimiento de baja de usuarios y separación del sistema en la red, como explicamos en auditoría de red.
Lo que no aportamos: la parte documental y jurídica. La política de tratamiento, los formatos de autorización y el registro de bases de datos ante la autoridad competente corresponden a su asesor legal. No vendemos certificaciones de cumplimiento ni documentos legales, y desconfíe de quien se los ofrezca junto con el equipo.
Preguntas frecuentes
¿Puedo obligar a mis empleados a registrar la huella?
No. La autorización para tratar datos sensibles es voluntaria por definición, y así lo establece la norma. Lo que sí puede es exigir que usen algún método de control de acceso, ofreciendo una alternativa a quien no autorice el biométrico.
¿El equipo guarda mi huella como imagen?
La mayoría no: guarda una plantilla matemática de la que no se reconstruye el dedo. Es una salvaguarda real, aunque no cambia las obligaciones legales.
¿Qué pasa con los datos cuando alguien se va?
Debe eliminarse su registro, porque terminó la finalidad para la que se recogió. Es una de las omisiones más comunes: sistemas con decenas de huellas de gente que salió hace años.
¿Aplica lo mismo al reconocimiento facial?
Sí, el rostro también es dato biométrico y tiene el mismo tratamiento. Y suele generar más resistencia entre los usuarios, así que la explicación previa y la alternativa importan aún más.
En la visita técnica revisamos las puertas, el material, el sentido de apertura y el flujo real de personas, no solo el plano. La visita cuesta \.000 y es abonable al proyecto.
Ver el servicio de control de acceso en Bogotá