生物识别打卡（指纹或人脸）：GDPR 与西班牙数据保护局怎么说

西班牙数据保护局对生物识别的转向

2023 年 11 月，西班牙数据保护局（AEPD）发布指南，收紧了将生物识别数据用于考勤管理的做法。生物识别数据属于 GDPR 第 9 条规定的特殊类别，因此处理此类数据需要更强的合法性依据，而且通常情况下，鉴于劳动关系中的不对等，员工的同意并不足够。

用指纹打卡违法吗？

并非自动违法，但 AEPD 认为，除非有具有法律位阶的规范明确授权，否则在存在侵入性更小的替代方案时，将生物识别用于单纯的工时记录是不成比例的。企业在部署前必须进行数据保护影响评估（DPIA）。

仅凭员工同意，不足以构成为打卡目的处理其指纹或人脸的合法依据。

若仍要使用的要求

• 确定 GDPR 第 9.2 条规定的有效法律依据。
• 事先进行影响评估。
• 贯彻最小化与比例原则。
• 透明告知并提供替代方案。

安全的替代方案

大多数中小企业可以使用非生物识别方法满足工时记录：PIN 码、卡片、带一次性定位的移动应用或网页打卡。它们可靠、可追溯，且不处理特殊类别数据。

借助 RegulaKit，您的员工无需指纹即可通过手机或浏览器打卡，符合 GDPR。用我们的罚款计算器估算违规成本。

结论

在 AEPD 的标准之后，谨慎之举是除非有具体法律依据，否则避免将生物识别用于打卡。数字替代方案同样有效，并能降低处罚风险。