Datos biométricos de asistencia: qué guarda un lector y dónde está el riesgo real

La reunión donde se presenta el reloj nuevo tiene siempre la misma pregunta, y llega antes de que termine la primera diapositiva: ¿me van a guardar la cara? Es una buena pregunta y tiene una respuesta técnica, corta y verificable. El problema es lo que pasa después de esa respuesta. Casi nadie hace la segunda pregunta, que es la que decide si tu hora de entrada vale algo el día que alguien la discuta: ¿quién puede editarla una vez que quedó grabada?

Abajo hay cinco creencias sobre marcación biométrica. Ninguna es del todo falsa y ninguna es del todo cierta, así que no las vamos a rotular como mito o verdad. Cada una lleva un veredicto que empieza igual: depende. Y lo que sigue al «depende» es siempre una cosa concreta, que se puede preguntar antes de firmar y pedir por escrito.

Está escrito para dos lectores a la vez: el que tiene que evaluar el equipo y el que tiene que pararse frente a treinta personas en el comedor y explicarles qué pasa con sus datos. Es la misma conversación con distinto vocabulario.

Uno. «El equipo me guarda la cara»

El enrolamiento tiene cuatro pasos y termina antes de lo que la gente supone. Captura: el sensor toma una lectura del dedo o del rostro, que existe en memoria durante milisegundos. Extracción de rasgos: el algoritmo identifica puntos característicos —las minucias en la huella, relaciones geométricas entre puntos del semblante en el rostro— y descarta todo lo demás. Generación de la plantilla: esos rasgos se convierten en un vector de números, y eso es lo que se almacena. Descarte de la captura: la imagen original no se guarda. Cuando la persona ficha, el equipo repite los tres primeros pasos y compara la plantilla nueva contra la almacenada. Nunca se compara una foto con otra foto.

4pasos

«Datos biométricos: qué guarda realmente un reloj de asistencia», vía /hr-plus/seguridad-datos-biometricos-asistencia

Veredicto: depende de qué almacene ese equipo en particular. Lo de arriba describe cómo funciona el proceso; no es una garantía sobre el modelo que te están ofreciendo. Un equipo puede guardar además la imagen de la captura, y si lo hace, el riesgo y la exigencia legal cambian por completo. Por eso «¿guardan imagen o solo plantilla?» es la primera línea del pliego y no una curiosidad técnica.

Dos. «Si roban la base, mi huella queda dando vueltas»

Las plantillas son específicas del algoritmo que las generó. El formato con el que un fabricante representa una huella no es el mismo con el que la representa otro, y ni siquiera es necesariamente compatible entre generaciones del mismo fabricante. Quien se llevara el archivo no tendría un juego de huellas presentable en un banco, en un aeropuerto o en el sistema de otra empresa: tendría números que significan algo solo si además consigue el equipo y el software que los interpretan.

Una plantilla fuera de su sistema de origen es una lista de números sin significado.

Veredicto: depende de dónde imagines al ladrón. Afuera, la plantilla robada sirve poco. Adentro sirve bastante, y ese es el riesgo real de una base biométrica: el uso indebido interno. No se controla con criptografía sino con tres cosas aburridas y verificables —permisos, registro de accesos y una política de conservación que diga cuándo se borra la plantilla de quien ya no trabaja aquí—. El detalle técnico completo está en qué guarda realmente un reloj biométrico.

Tres. «Con una foto mía, cualquiera ficha por mí»

Aquí el «depende» cambia la respuesta entera. Una cámara 2D simple —la de una tablet o un celular viejo con una app de reconocimiento facial— no distingue un rostro real de una foto o de un video reproducido en la pantalla de otro teléfono. En ese equipo la creencia deja de ser una creencia y pasa a ser una descripción del funcionamiento: el fichaje por un compañero no desaparece, cambia de herramienta. Y la empresa cree que resolvió el problema porque «tiene biometría».

Lo que lo evita es la prueba de vida: una cámara dual, infrarroja y de luz visible, que evalúa profundidad, textura y micro-movimiento para verificar que hay una persona real frente al lente. Lo decimos así, describiendo qué mide el sensor, y no como lo dice el catálogo: «no acepta fotos, videos ni máscaras» es una frase que promete un resultado en vez de explicar qué se está midiendo. La formulación honesta es la primera. Veredicto: depende del tipo de cámara. Con una 2D simple la creencia es cierta; con prueba de vida deja de serlo.

Tres preguntas sobre el lector. Ninguna de las tres es la que aparece en un peritaje.

Cuatro. «Si el lector es biométrico, el reporte se sostiene»

Esta es la sorpresa incómoda. Tener un reloj biométrico de pared —un equipo serio, no una tablet improvisada— no garantiza nada si el software que hay detrás guarda las marcaciones en una base local editable: SQL, Access o una planilla exportada que el administrador de sistemas o de RR.HH. puede abrir y modificar. No hace falta mala fe. Alguien corrige un error real y, sin darse cuenta, elimina la posibilidad de demostrar después que esa marca nunca fue tocada.

En un juicio por horas extra, el perito de la otra parte hace una sola pregunta: ¿quién más tuvo acceso a esta base y pudo editarla, y queda registro de eso? Si la respuesta es que el administrador podía y no queda registro, el reporte pierde fuerza probatoria. No porque el dato esté mal, sino porque no se puede demostrar que no fue alterado. Eso es la falta de cadena de custodia, y está desarrollado en por qué la biometría barata sale cara.

Veredicto: depende del software, no del lector. El contraejemplo es igual de simple y está descrito: correcciones que se hacen desde la plataforma y no sobre una base local, asociadas a un usuario, con registro de quién, cuándo y por qué. Lo que distingue a un registro sólido no es que nunca se toque —correcciones siempre hay—, es que no se pueda tocar sin dejar rastro.

Cinco. «Pasándolo a la nube, el problema está resuelto»

Conviene separar dos capas que en la conversación viajan siempre pegadas. La plantilla biométrica vive en la capa del dispositivo y su padrón. El sistema de RR.HH. trabaja con otra cosa: quién fichó y cuándo. Son datos distintos, con riesgos distintos y con preguntas distintas para el proveedor. Mezclarlas es lo que hace que una reunión entera se vaya en discutir el sensor.

Veredicto: depende de si cada corrección deja autor, fecha y motivo. Mudar la base a un servidor remoto no agrega cadena de custodia por sí solo; lo que la agrega es el log. La pregunta útil no es dónde está el servidor: es qué pasa cuando alguien corrige la marcación del martes. Si la respuesta es «se corrige y listo», estás en el mismo lugar que con la planilla, solo que con mejor tiempo de respuesta.

Creencia	De qué depende el veredicto	Qué preguntar
«Guarda mi cara»	De qué almacena el equipo: imagen o solo plantilla	¿Guardan imagen además de la plantilla?
«Roban la base y usan mi huella»	De si además consiguen el sistema que interpreta esos números	¿Quién puede consultar, exportar o borrar plantillas, y queda traza?
«Fichan con una foto mía»	Del tipo de cámara: 2D simple o dual con prueba de vida	¿Qué mide el sensor para verificar que hay alguien real?
«Es biométrico, entonces el reporte se sostiene»	Del software que guarda la marcación, no del lector	¿La base es editable? ¿Queda registro de quién editó?
«Con la nube ya está resuelto»	De si cada corrección deja autor, fecha y motivo	¿Qué pasa cuando alguien corrige la marcación del martes?

Hay una manera barata de comprobar dónde está el problema: mirar qué pide un inspector cuando llega. Pide el listado del personal con sus horarios pactados, el registro del período fiscalizado en formato exhibible, la coincidencia entre ese registro y lo liquidado en los recibos, y el tratamiento de las excepciones. La cuarta es la que suele fallar. Un sistema puede tener las marcaciones completas y aun así no poder explicar por qué doce registros de marzo fueron editados a mano y quién los autorizó. El marco completo está en qué exige la ley sobre el registro de jornada.

Cerramos con la comparación que ordena todo lo anterior. El formato de registro más débil no tiene cámara, ni plantilla, ni servidor: es el Excel que lleva el supervisor. Es editable, no lo firma quien trabaja y no deja rastro de quién cambió qué. Nadie le tiene miedo a esa planilla, y nadie pide una reunión para discutirla. Sin embargo, entre esa planilla y un lector facial de última generación conectado a una base que cualquiera puede abrir, la distancia probatoria es más corta de lo que parece.

El lector decide quién genera el dato. El software decide si ese dato sigue siendo el mismo el día que alguien lo pida. Son dos decisiones distintas y en general las toma la misma persona, en la misma compra, prestándole atención a una sola.

Verificado contra material propio publicado: «Datos biométricos: qué guarda realmente un reloj de asistencia y cómo se protege» (los cuatro pasos del enrolamiento, la no interoperabilidad de la plantilla, el riesgo interno y la separación entre la capa del dispositivo y el sistema de RR.HH.); «Biometría de asistencia: por qué lo barato te puede costar un juicio laboral» (cámara 2D simple, prueba de vida con cámara dual infrarroja y de luz visible, base local editable y cadena de custodia); «Control horario: lo que dice la ley (y lo que pasa en tu empresa)» (las cuatro cosas que pide un inspector, la debilidad probatoria del Excel del supervisor, Ley 11.544 y Ley 20.744 como marco de referencia en Argentina); «Fichar por otro, faltas y despido: qué se puede sancionar y cómo probarlo» (log de auditoría de correcciones y carga de la prueba del horario cumplido sobre el empleador). Nota orientativa: describe cómo funciona la tecnología y no sustituye asesoramiento legal ni de privacidad.