Instalar un lector de huella para que la gente fiche parece la solución más limpia al registro de jornada. Es, probablemente, la forma más rápida de que tu pyme acabe en un expediente sancionador de la AEPD. Y la firma del trabajador autorizándolo no te protege.

El choque es real: una norma laboral te obliga a registrar la jornada y otra norma, la de protección de datos, limita cómo puedes hacerlo. Muchas empresas resuelven la primera comprando un sistema que incumple la segunda, y nadie les avisa hasta que llega la reclamación.

Aquí está la línea, tecnología por tecnología: qué puedes hacer con cámaras, fichajes, GPS y dispositivos de empresa, qué está directamente descartado y qué papeleo convierte un control legítimo en uno defendible.

Las dos leyes que chocan (y cómo se resuelven)

Por un lado, el artículo 20.3 del Estatuto de los Trabajadores permite al empresario adoptar las medidas que estime oportunas de vigilancia y control para verificar el cumplimiento de las obligaciones laborales. Por otro, el artículo 34.9 obliga a registrar la jornada diaria. Ese es el mandato laboral.

Enfrente están el RGPD y la LOPDGDD, que no niegan ese poder de control pero lo encuadran. La clave está en una palabra que aparece en toda la normativa: necesarios. La empresa puede tratar los datos necesarios para cumplir una obligación legal. Registrar la jornada exige saber cuándo alguien empieza y termina. No exige saber dónde está, ni qué forma tiene su huella dactilar.

De ahí sale la regla que resuelve casi todos los casos: la obligación laboral legitima el dato mínimo imprescindible para cumplirla. Todo lo que el sistema capture por encima de eso es un tratamiento adicional que necesita justificación propia.

El test de tres pasos que aplica la AEPD

Antes de implantar cualquier medida de control, la Agencia aplica el mismo juicio que aplican los tribunales. Pasarlo por escrito antes de comprar el sistema evita el 90 % de los problemas.

Huella dactilar y reconocimiento facial: la respuesta corta es no

Cuando la huella o la cara se procesan técnicamente para identificar de forma unívoca a una persona, dejan de ser un dato personal ordinario y pasan a ser categoría especial del artículo 9 del RGPD. Y las categorías especiales están prohibidas salvo que concurra una excepción tasada, como una habilitación en una norma con rango de ley.

Ese es el problema de fondo: en España no existe hoy una ley que habilite expresamente el uso de biometría para el control horario ordinario. Sin esa habilitación, y existiendo alternativas evidentes —tarjeta de proximidad, llavero RFID, PIN, código QR—, el tratamiento no supera el test de necesidad. La AEPD publicó en noviembre de 2023 una guía específica sobre control de presencia mediante sistemas biométricos que consolidó este criterio restrictivo.

Las consecuencias no son teóricas. La AEPD ha sancionado con 200.000 euros al Club Atlético Osasuna por implantar huella y reconocimiento facial sin base legal suficiente, y con otros 200.000 al Burgos CF por usar reconocimiento facial de acceso existiendo alternativas menos intrusivas. La cadena de gimnasios Supera fue sancionada con 96.000 euros dentro de un expediente global de 160.000 por imponer reconocimiento facial en el acceso.

Y hay un segundo frente, más incómodo todavía para una pyme: el laboral. El Tribunal Superior de Justicia de Galicia, en su sentencia 144/2026, condenó a una empresa a pagar 53.766 euros —46.266 por extinción indemnizada del contrato a instancia de la trabajadora al amparo del artículo 50.2 del ET, más 7.500 por daños morales— por obligarla a fichar con reconocimiento facial sin ofrecerle alternativa. No fue la Agencia: fue la propia empleada.

Lo llamativo de estos expedientes es que ninguna de esas organizaciones actuó de mala fe. Instalaron un sistema que alguien les vendió como la solución al registro horario. La AEPD no admite la buena fe como eximente cuando el tratamiento carece de base legal.

Geolocalización: legal, pero con la correa corta

Aquí el panorama es más favorable. El artículo 90 de la LOPDGDD reconoce expresamente que la empresa puede tratar datos de geolocalización para el ejercicio de las funciones de control previstas en el artículo 20.3 del ET. No es categoría especial y no está prohibida. Pero tiene tres límites que se incumplen constantemente.

El criterio que resume todo: no se sanciona la geolocalización, se sanciona el exceso. Si tu equipo trabaja siempre en la misma oficina, el GPS no aporta nada al cumplimiento del artículo 34.9 y solo añade riesgo. Si hay desplazamientos reales, actívalo con información previa, base jurídica documentada y retención corta.

La LOPDGDD añade en su artículo 90 una obligación específica que se olvida a menudo: hay que informar de manera expresa, clara e inequívoca a las personas trabajadoras y, en su caso, a sus representantes, sobre la existencia y características de estos dispositivos.

Cámaras: para seguridad, no para vigilar cómo trabaja la gente

El artículo 89 de la LOPDGDD permite tratar imágenes obtenidas por cámaras para el ejercicio de las funciones de control del artículo 20.3 del ET, siempre dentro de su marco legal y con los límites inherentes. La AEPD lo ha concretado: las cámaras se justifican por motivos de seguridad de personas, bienes e instalaciones, no como herramienta de supervisión generalizada y continua del comportamiento laboral.

El deber de información es el punto que más expedientes genera. Basta con el dispositivo informativo en zona visible, con la información mínima del RGPD y la referencia a dónde consultar el resto. Sin ese cartel, la grabación es difícilmente utilizable y el tratamiento es sancionable por sí mismo.

Correo y dispositivos de empresa

El artículo 87 de la LOPDGDD reconoce el derecho a la intimidad en el uso de los dispositivos digitales puestos a disposición por el empleador. La empresa puede acceder a sus contenidos para controlar el cumplimiento de las obligaciones laborales y garantizar la integridad de los equipos, pero con dos condiciones que la mayoría de pymes no cumple.

Primera: hay que establecer criterios de uso de los dispositivos, definiendo si se admite o no el uso privado y en qué términos. Segunda: en su elaboración deben participar los representantes de las personas trabajadoras. Y cuando se admita el uso privado, la empresa tiene que especificar de forma precisa los usos autorizados y las garantías para preservar la intimidad, como los periodos en que los dispositivos podrán utilizarse para fines privados.

Sin política de uso previa y comunicada, un acceso al correo de un empleado es un terreno resbaladizo tanto ante la AEPD como ante el juzgado de lo social. Con política clara, el mismo acceso es defendible.

Checklist antes de implantar cualquier control

• Descarta la biometría para el control horario ordinario. Si ya la tienes, planifica la migración y documenta el borrado de las plantillas biométricas.
• Aplica el test de idoneidad, necesidad y proporcionalidad por escrito antes de contratar el sistema. Ese documento es tu defensa.
• Informa antes, no después: qué dato se recoge, con qué finalidad, cuánto se conserva, quién accede y cómo ejercer derechos.
• Involucra a la representación de las personas trabajadoras donde la norma lo exige, en especial en la política de uso de dispositivos.
• Actualiza el registro de actividades de tratamiento (art. 30 RGPD) con cada nuevo sistema de control.
• Firma el contrato de encargo (art. 28 RGPD) con el proveedor del software de fichaje o de RRHH. Es obligatorio y casi nadie lo tiene.
• Limita la conservación: el registro de jornada, cuatro años; las imágenes de videovigilancia, el plazo estrictamente necesario; las posiciones GPS, lo mínimo.
• Valora si necesitas evaluación de impacto cuando el sistema permita perfilar comportamiento o implique monitorización intensiva.
• Revisa periódicamente: si alguien deja de tener desplazamientos, desactiva su GPS. La inercia también se sanciona.

Preguntas frecuentes