Biometría y Ley 29733: datos personales en el control de asistencia

Cada vez más empresas peruanas reemplazan el cuaderno o la tarjeta por una marcación con foto o con reconocimiento facial. Tiene sentido: el DS 004-2006-TR exige que cada trabajador registre su asistencia de manera personal, y la biometría hace difícil que alguien marque por otro. Pero la cara de una persona, cuando se usa para identificarla, es un dato sensible. Esta nota explica qué exigen la Ley 29733 y su reglamento vigente, el DS 016-2024-JUS, cuando el dato se usa en el control de asistencia.

Por qué la biometría es un dato sensible

El reglamento aprobado por el DS 016-2024-JUS, publicado el 30 de noviembre de 2024 y vigente desde los 120 días calendario siguientes, define como datos sensibles la información relativa a datos genéticos o biométricos de la persona natural, junto con la salud, la afiliación sindical y la vida íntima, entre otros. Reemplazó al reglamento anterior, el DS 003-2013-JUS.

Esto no significa lo mismo para cada forma de marcar:

Si una foto simple ya se considera biométrica depende de cómo se procese; consulta con tu asesor si tu caso está en el límite.

Consentimiento: qué dice la ley y qué agrega el reglamento

La Ley 29733 exige que el consentimiento sea previo, informado, expreso e inequívoco (artículo 13.5) y que, para datos sensibles, además se otorgue por escrito (artículo 13.6). Su artículo 14.5 exceptúa del consentimiento los datos necesarios para ejecutar una relación contractual en la que el titular es parte, y el contrato de trabajo lo es. La norma no dice expresamente cuál de las dos reglas prevalece cuando el dato sensible se usa para controlar la asistencia. Ante esa duda, lo prudente es pedir el consentimiento por escrito y consultar con tu asesor laboral.

El reglamento detalla cómo se obtiene:

1. Previo (artículo 4): antes de recopilar el dato. No se enrola a nadie y se pide la firma después.
2. Expreso (artículo 5): verbal, escrito o por canales digitales, incluso un clic.
3. Informado (artículo 6): hay que comunicar, entre otros puntos, quién es el responsable y cómo contactarlo, la finalidad, los destinatarios, el banco de datos donde se guardará, las consecuencias de negarse, si hay decisiones automatizadas, el plazo de conservación y cómo ejercer los derechos.
4. Por escrito para datos sensibles (artículo 8): con firma manuscrita, digital, electrónica u otra modalidad que garantice la voluntad del titular. Un clic sin más no alcanza.
5. Carga de la prueba (artículo 9): recae en el empleador como titular del banco de datos. Si no puedes mostrar el consentimiento firmado, se presume que no lo tienes.
6. Revocable (artículo 10): el trabajador puede retirarlo en cualquier momento sin justificarse, y tienes como máximo 10 días para adecuar el tratamiento.

La consecuencia práctica de los puntos 5 y 6 es que necesitas una forma alternativa de marcar para quien no consiente o revoca. Si la única forma de registrar la asistencia es la cara, la revocación te deja sin registro.

Principios que limitan el uso

Los artículos 6 a 9 de la ley fijan principios que se aplican aunque haya consentimiento:

• Finalidad: el dato recogido para la asistencia no se usa para otra cosa, por ejemplo para medir productividad o expresiones.
• Proporcionalidad: solo lo adecuado, relevante y no excesivo. Una plantilla facial no justifica guardar video continuo.
• Calidad: los datos se conservan solo el tiempo necesario. Define un plazo y bórralos al terminar la relación laboral, salvo lo que deba guardarse por otra obligación.
• Seguridad: medidas técnicas y organizativas para evitar alteración, pérdida o acceso no autorizado.

Registro, oficial de datos y multas

El artículo 34 de la Ley 29733 creó el Registro Nacional de Protección de Datos Personales, donde se inscriben los bancos de datos; la ANPD tiene el trámite en gob.pe. No inscribirlo es infracción leve según el artículo 132 del reglamento.

El artículo 37 del reglamento obliga a designar un oficial de datos personales cuando se tratan datos sensibles, entre otros supuestos, con un cronograma por tamaño: un año después de la publicación para empresas con ventas anuales de más de 2,300 UIT, dos años para medianas, tres para pequeñas y cuatro para microempresas. Si un control de asistencia biométrico por sí solo activa esa obligación es algo que conviene revisar con tu asesor.

Las multas del artículo 39 de la ley, con la UIT de 2026 de S/ 5,500:

Ninguna multa puede pasar del 10 % de los ingresos brutos anuales del ejercicio anterior. Tratar datos sin el consentimiento necesario es grave (artículo 133.3 del reglamento), igual que tratar datos sensibles sin las medidas de seguridad o que no sean necesarios (133.5 y 133.6); si eso causa perjuicio o exposición no autorizada, es muy grave (134.4).

Teletrabajo: una regla adicional

El artículo 9.2 del reglamento de la Ley de Teletrabajo (DS 002-2023-TR) impide al empleador captar o grabar la imagen o la voz del teletrabajador sin su consentimiento previo y expreso, salvo que lo exija la naturaleza de sus funciones. Una marcación con foto desde casa necesita ese consentimiento además del de datos personales. Lo desarrollamos en la nota de teletrabajo en Perú.

Cómo lo resuelve un sistema de control de asistencia

Time Dalton separa identificación y verificación. El colaborador se identifica con su número o con el QR firmado de su gafete y se toma una foto con prueba de vida; solo si dio su consentimiento, registrado en el sistema, esa foto se coteja 1:1 contra su foto de referencia, y lo dudoso pasa a revisión humana de RR. HH. Time Dalton no identifica a nadie solo con la cara (1:N) ni usa huella ni relojes biométricos de terceros. Quien no consiente marca con su número o QR y foto, sin cotejo, de modo que la revocación no deja a nadie sin registro. Las marcaciones no se editan ni se borran y quedan en una bitácora encadenada por hash. Para entender qué hace cada técnica, revisa prueba de vida y reconocimiento facial y la comparación de consentimiento biométrico por país. Mira la página de control de asistencia en Perú o prueba la demo.