Reloj marcador con biometría en Costa Rica: lo que pide la Ley 8968

Cambiar la tarjeta o la hoja de firmas por un reloj marcador que toma una foto y la compara con la cara del colaborador resuelve un problema real: que un compañero marque por otro. Pero en Costa Rica esa foto es un dato personal, y su tratamiento está regulado por la Ley 8968 y su reglamento. Esta guía repasa, paso a paso, qué te pide la ley antes de encender el reloj, qué derechos conserva cada persona y cuánto cuesta equivocarse.

Si quieres la comparación entre países, la tienes en la nota sobre datos biométricos de trabajadores en Latinoamérica. Aquí nos quedamos solo con Costa Rica.

¿Qué dice la Ley 8968 sobre los datos biométricos?

La ley no usa la palabra «biométrico». Su artículo 3 define los datos sensibles como la información relativa al fuero íntimo de la persona y da ejemplos: origen racial, opiniones políticas, convicciones religiosas, condición socioeconómica, información biomédica o genética, vida y orientación sexual, «entre otros». La lista es abierta, así que no se puede descartar que una plantilla facial se considere sensible.

Dos reglas más importan para el reloj marcador:

• Artículo 9: ninguna persona está obligada a suministrar datos sensibles.
• Artículo 9, inciso 3: la fotografía no se considera un dato de acceso irrestricto. Aunque no la trates como biométrica, sigue siendo un dato protegido.

Como la ley no resuelve el punto de forma expresa, lo prudente es tratar la foto y la comparación facial con el cuidado de un dato sensible. Si necesitas una postura formal, consulta con tu asesor laboral.

Paso 1: informar antes de recoger la foto

El artículo 5 exige informar de previo, de modo expreso, preciso e inequívoco:

1. Que existe una base de datos personales.
2. Para qué se recogen los datos (aquí: registrar la asistencia y evitar suplantaciones).
3. Quiénes recibirán o podrán consultar la información (Recursos Humanos, supervisores, el proveedor del sistema).
4. Si la entrega es obligatoria o facultativa.
5. Qué tratamiento se dará a los datos.
6. Qué pasa si la persona se niega.
7. Cómo ejercer sus derechos.
8. Quién es el responsable de la base de datos y su dirección.

Si usas un formulario, estas advertencias deben figurar de forma claramente legible. Un buen lugar para el texto es el mismo documento de consentimiento y, además, el reglamento interno de trabajo, donde ya describes cómo se marca la entrada y la salida.

Paso 2: obtener el consentimiento por escrito

El consentimiento debe ser expreso y constar por escrito, en documento físico o electrónico (art. 5 de la ley y art. 5 del reglamento). El reglamento, en su artículo 4, agrega que debe ser:

El consentimiento se puede revocar de la misma forma en que se dio, sin efecto retroactivo. Guarda la versión exacta del texto aceptado y la fecha. Si cambias la finalidad, por ejemplo para usar las fotos en otra cosa, necesitas un consentimiento nuevo.

La alternativa para quien no consiente

Como nadie está obligado a entregar datos sensibles, define desde el inicio una forma alternativa de marcar. Puede ser el mismo kiosko con número de colaborador y foto de evidencia, sin comparación facial, y con revisión del supervisor. Deja esa opción escrita en la política de asistencia.

Paso 3: guardar, proteger y borrar

• Seguridad (art. 10): debes adoptar medidas técnicas y de organización para evitar alteración, pérdida o acceso no autorizado. No registres datos en sistemas que no garanticen su seguridad.
• Calidad y adecuación (art. 6): recoge solo lo necesario para el fin. Una foto por marcación y una foto de referencia bastan para el control de asistencia.
• Conservación (art. 6): los datos que puedan afectar al titular no se conservan más de diez años desde los hechos, salvo norma especial. Define un plazo menor para las fotos de marcación si no las necesitas, y bórralas o desasócialas al vencer.

¿Tengo que inscribir la base ante la Prodhab?

El artículo 21 obliga a inscribir las bases administradas con fines de distribución, difusión o comercialización. El reglamento aclara que las bases internas, que no se comercializan, distribuyen ni difunden, no se inscriben (art. 44) y quedan fuera del régimen del reglamento (art. 3). Un registro de asistencia usado solo por la empresa encaja en principio como base interna, pero eso no te libera de la ley ni del consentimiento. Para confirmar tu caso, consulta con tu asesor laboral.

Paso 4: responder a los derechos en cinco días hábiles

El artículo 7 garantiza a cada persona el acceso, la rectificación y la supresión de sus datos. Debes responder gratis y en cinco días hábiles desde que recibes la solicitud. Si un colaborador pide ver sus marcaciones con foto, entrégale su registro completo sin datos de terceros. Si pide borrar la foto de referencia, aplica la alternativa de marcación y documenta el cambio.

¿Cuánto cuestan las faltas en 2026?

El artículo 28 fija las multas en salarios base del auxiliar judicial I. Para 2026, la Corte comunicó un salario base de ₡462,200:

Fíjate en la gravísima: si la plantilla facial se considerara dato sensible, el tratamiento sin las garantías de la ley podría caer ahí. Es otra razón para documentar bien el aviso, el consentimiento y la alternativa.

Cómo lo resuelve un sistema de asistencia

Time Dalton no identifica a nadie solo con la cara. La persona primero se identifica con su número de colaborador o el QR de su gafete en el kiosko, o entra a su app; después el sistema toma una foto, pide una prueba de vida (parpadear y sonreír) y hace un cotejo facial 1:1 en el servidor contra la foto de referencia de esa misma persona, con umbrales configurables. No hace reconocimiento 1:N, ni usa huella, ni se conecta con relojes biométricos de terceros. La diferencia entre estos conceptos la explicamos en la nota sobre prueba de vida y reconocimiento facial.

Las marcaciones dudosas llegan a una bandeja donde un supervisor ve la foto junto a la de referencia y decide. Las marcaciones no se editan: si algo se corrige, queda en una bitácora con motivo. Los roles por pantalla limitan quién ve las fotos, y los supervisores solo ven sus sedes. Los reportes se exportan a Excel o por API a tu sistema de planilla.

Conoce el reloj marcador en Costa Rica o prueba la demo con una empresa de prueba antes de redactar tu consentimiento.