Fichar sin huella: control horario sin datos biométricos

¿Por qué la huella es un problema para fichar?

El RGPD define los datos biométricos como los obtenidos a partir de un tratamiento técnico específico de las características físicas o fisiológicas de una persona que permitan o confirmen su identificación única, como la imagen facial o los datos dactiloscópicos (art. 4.14). Cuando se usan para identificar a una persona, son una categoría especial de datos y su tratamiento está prohibido salvo que se dé alguna de las excepciones del art. 9.2^[1].

Un reloj de huella o un terminal de reconocimiento facial trata justo esos datos de toda la plantilla, todos los días, para una finalidad (saber a qué hora entra y sale cada persona) que se puede cubrir con medios menos intrusivos.

Qué dice la AEPD sobre el control de presencia biométrico

En noviembre de 2023 la Agencia Española de Protección de Datos publicó la «Guía sobre tratamientos de control de presencia mediante sistemas biométricos»^[2][3]. Sus conclusiones, literalmente:

• «La utilización de tecnologías biométricas de identificación y autenticación en el control de presencia supone un tratamiento de alto riesgo que incluye categorías especiales de datos.»^[2]
• «En el caso de registro de jornada y control de acceso con fines laborales, si el levantamiento de la prohibición se basa en el 9.2.b), el responsable debe contar con una norma con rango de ley que concrete la posibilidad de utilizar datos biométricos para dicha finalidad, que no se encuentra en la actual normativa legal española.»^[2]
• «En el caso de registro de jornada o control de acceso en el ámbito laboral, el consentimiento no puede levantar la prohibición del tratamiento, ni ser una base para determinar la licitud, al existir de forma general una situación de desequilibrio entre el interesado y el responsable del tratamiento.»^[2]
• Hay que aplicar la minimización y la protección de datos desde el diseño, «utilizando las medidas alternativas equivalentes, menos intrusivas»^[2].
• Será obligatorio superar, antes de empezar el tratamiento, una evaluación de impacto relativa a la protección de datos (EIPD)^[2].

La guía también recuerda que los artículos 20.3 y 34.9 del Estatuto de los Trabajadores, que permiten a la empresa controlar la actividad y obligan a registrar la jornada, no contienen una autorización para usar datos biométricos^[2]. Nota: a octubre de 2026, el PDF de la guía publicado en aepd.es aparece marcado como «en revisión»; las citas corresponden a la versión de noviembre de 2023 que sigue publicada^[2].

Resoluciones de la AEPD sobre fichaje con huella

La AEPD ha resuelto procedimientos sancionadores sobre sistemas de registro de jornada por huella. Dos ejemplos publicados en su web:

• PS/00165/2024 (un organismo público autonómico): la AEPD declaró la infracción del art. 9 del RGPD, además de los arts. 35 y 38, y ordenó acreditar la sustitución del sistema de registro de jornada «por otro que no implique el tratamiento de datos biométricos»^[4].
• PS/00170/2023 (una empresa privada con fichaje por huella): multas por un total de 365.000 € por infringir los arts. 13 (información a los trabajadores), 32 (seguridad) y 35 (evaluación de impacto) del RGPD, con la orden de adecuar el tratamiento^[5].

En el primer caso, al tratarse de un organismo público, la resolución declaró la infracción y ordenó medidas correctoras sin multa económica. El segundo muestra que, para una empresa, los problemas de un sistema biométrico no se limitan a la base jurídica: la falta de información a la plantilla, de medidas de seguridad o de evaluación de impacto también se sancionan.

La ley de registro de jornada no pide biometría

El art. 34.9 del Estatuto de los Trabajadores exige un registro diario con la hora de inicio y de fin de la jornada de cada persona, conservado cuatro años y disponible para la plantilla, sus representantes y la Inspección^[6]. No exige ningún método de identificación concreto. Lo explicamos en detalle en la guía sobre la ley de registro horario.

Alternativas para fichar sin huella

Con NFC, la base está fija en el centro de trabajo y el fichaje se hace acercando el móvil, así que no hace falta un lector de huella para saber que la persona estaba allí. Si también usas la ubicación del móvil, recuerda que la ley obliga a informar antes a la plantilla de forma expresa, clara e inequívoca^[7]. Comparamos NFC, QR y reconocimiento facial en fichaje NFC vs QR.

Si ya tienes un reloj de huella

• Revisa con tu delegado de protección de datos o asesoría si tienes una base jurídica válida y una evaluación de impacto superada, como exige la AEPD^[2].
• Comprueba que has informado a la plantilla de todos los extremos del art. 13 RGPD; fue uno de los motivos de la multa en el PS/00170/2023^[5].
• Valora pasar a un método sin biometría (móvil o NFC) y borrar de forma segura las plantillas biométricas que ya no necesites.
• Mantén los registros de jornada anteriores durante los cuatro años que exige la ley^[6].