El fichaje por huella o por reconocimiento facial parece la solución más cómoda y es la más difícil de justificar legalmente. No porque esté prohibido con esas palabras, sino porque la base jurídica que lo permitiría casi nunca existe en una relación laboral. Y la Agencia Española de Protección de Datos endureció su criterio en 2023.
Esta guía explica por qué, qué se puede hacer en su lugar y qué hay que informar a la plantilla en cualquier sistema de fichaje, biométrico o no.
Por qué la biometría es distinta
El RGPD define los datos biométricos como los obtenidos a partir de un tratamiento técnico específico relativos a las características físicas, fisiológicas o conductuales de una persona que permitan o confirmen su identificación única. La huella y el patrón facial son el ejemplo de manual.
Cuando se usan para identificar de manera unívoca a una persona, esos datos entran en el artículo 9 del RGPD: son categorías especiales de datos, en la misma lista que los datos de salud o los relativos a las convicciones religiosas. Su tratamiento está prohibido como regla general, y solo cabe si se aplica una de las excepciones del artículo 9.2.
Ahí está el problema. En un fichaje laboral, las dos excepciones que se invocan habitualmente no funcionan:
El consentimiento del trabajador no sirve
El consentimiento tiene que ser libre, y en una relación de trabajo existe un desequilibrio evidente entre las partes: quien puede perder algo por negarse no consiente libremente. El propio RGPD advierte de que el consentimiento no debe considerarse libremente prestado cuando hay un desequilibrio claro entre el responsable y el interesado, y menciona expresamente el ámbito laboral.
Además, si el consentimiento fuera la base, negarse no podría tener consecuencia alguna. Un sistema de fichaje del que uno puede descolgarse sin consecuencias no es un sistema de fichaje.
La excepción laboral necesita una norma que la autorice
El artículo 9.2 permite tratar categorías especiales cuando es necesario para el cumplimiento de obligaciones en el ámbito del Derecho laboral en la medida en que lo autorice el Derecho de la Unión, el Derecho nacional o un convenio colectivo. Y aquí está el fondo del asunto: la obligación legal es registrar la jornada, no registrarla con la huella. El artículo 34.9 del Estatuto no menciona ningún medio técnico concreto. No hay, por tanto, una norma que autorice específicamente la biometría para el control de presencia.
El criterio de la AEPD desde 2023
En noviembre de 2023 la Agencia Española de Protección de Datos publicó una guía específica sobre tratamientos de control de presencia mediante sistemas biométricos, en la que endureció de forma notable su criterio en esta materia. Es la referencia que hay que consultar antes de decidir sobre un sistema biométrico, y la conclusión práctica de la mayoría de los análisis posteriores es la misma: el fichaje biométrico resulta muy difícil de justificar para el simple control de presencia.
Y aunque hubiera base jurídica, faltarían tres cosas
- Evaluación de impacto. El tratamiento a gran escala de categorías especiales exige una evaluación de impacto relativa a la protección de datos previa (artículo 35 del RGPD).
- Minimización. El principio de minimización obliga a usar los datos adecuados y limitados a lo necesario. Si existe una alternativa menos invasiva que cumple igual —y en el control de presencia siempre existe—, la biometría no pasa el test.
- Alternativa real. Un sistema donde quien no quiere dar su huella no tiene otra forma de fichar no ofrece alternativa; ofrece una apariencia de elección.
Qué usar en su lugar
| Método | Qué tener en cuenta |
|---|---|
| Usuario y contraseña, o PIN | Es el estándar y el que menos datos trata. Suficiente para cumplir el artículo 34.9. |
| Fichaje desde el móvil de la persona | Cómodo y sin datos biométricos. Hay que informar de qué se registra exactamente. |
| Tarjeta o llavero de proximidad | Identifica el soporte, no la persona; se compensa con normas internas claras. |
| Geolocalización en el momento del fichaje | Solo si está justificado por el puesto —trabajo en movilidad—, con información expresa y previa, y limitada al momento del fichaje: no es un seguimiento continuo. |
La LOPDGDD regula expresamente el uso de sistemas de geolocalización en el ámbito laboral y exige informar de forma expresa, clara e inequívoca a la plantilla y, en su caso, a su representación.
Lo que hay que informar en cualquier sistema de fichaje
Biométrico o no, el registro horario trata datos personales. Antes de arrancar, la plantilla debe conocer:
- Qué se registra exactamente: horas de inicio y fin, pausas, ubicación si la hay.
- Para qué: cumplir la obligación legal de registro de jornada.
- Quién accede a esos datos dentro de la empresa.
- Cuánto se conservan: cuatro años, por exigencia del artículo 34.9.
- Qué derechos tiene la persona y cómo ejercerlos, incluido el acceso a su propio registro.
- Quién es el proveedor del sistema, que actúa como encargado del tratamiento, con contrato por escrito.
La plantilla de comunicación a empleados incluye ya un apartado con esta información.
Preguntas frecuentes
¿Es legal fichar con la huella en España?
Los datos biométricos usados para identificar de manera unívoca a una persona son categoría especial del artículo 9 del RGPD y su tratamiento está prohibido salvo que se aplique una excepción. En el control de presencia laboral el consentimiento no se considera base válida por el desequilibrio entre las partes, y no existe una norma que autorice específicamente la biometría para esta finalidad: la obligación legal es registrar la jornada, no registrarla con la huella. La AEPD endureció su criterio en su guía de noviembre de 2023, por lo que en la práctica resulta muy difícil de justificar.
¿Vale el consentimiento del trabajador para usar su huella?
No se considera una base sólida. El consentimiento debe ser libre y el RGPD advierte de que no lo es cuando existe un desequilibrio claro entre las partes, como sucede en la relación laboral.
¿Y el reconocimiento facial para fichar?
Recibe el mismo tratamiento que la huella: si se usa para identificar de manera unívoca a la persona, es dato biométrico de categoría especial y le aplican las mismas restricciones.
¿Qué sistema de fichaje sí es seguro desde el punto de vista de protección de datos?
Los que no tratan datos biométricos: usuario y contraseña, PIN, tarjeta de proximidad o fichaje desde el móvil. Cumplen igual el artículo 34.9 del Estatuto de los Trabajadores con muchos menos riesgos.
¿Se puede usar la geolocalización al fichar?
Sí, si está justificada por las características del puesto, se informa de forma expresa, clara e inequívoca a la plantilla y se limita a lo necesario: el momento del fichaje, no un seguimiento continuo de la persona.
¿Hace falta evaluación de impacto para un sistema de fichaje biométrico?
Sí. El tratamiento a gran escala de categorías especiales de datos exige una evaluación de impacto relativa a la protección de datos previa, según el artículo 35 del RGPD.
Fuentes
- RGPD (Reglamento UE 2016/679): art. 4.14 (definición de datos biométricos), art. 5.1.c) (minimización), art. 9.1 y 9.2 (prohibición general de tratar categorías especiales y sus excepciones, incluida la del ámbito laboral en la medida en que la autorice el Derecho de la Unión, el Derecho nacional o un convenio colectivo), art. 28 (encargado del tratamiento), art. 35 (evaluación de impacto) y considerando 43 (el consentimiento no se presume libre cuando hay desequilibrio entre las partes).
- LOPDGDD (Ley Orgánica 3/2018): art. 90 (sistemas de geolocalización en el ámbito laboral, con deber de información expresa) y art. 88 (desconexión digital). BOE-A-2018-16673.
- Estatuto de los Trabajadores: art. 34.9 (obligación de registro de jornada, sin imponer medio técnico alguno) y art. 20.3 (facultad de la empresa de adoptar medidas de vigilancia y control del cumplimiento laboral). BOE-A-2015-11430.
- Agencia Española de Protección de Datos, guía sobre tratamientos de control de presencia mediante sistemas biométricos, publicada en noviembre de 2023. Disponible en el catálogo de guías de la AEPD.
Recursos relacionados
Nucleo360 no utiliza datos biométricos: se ficha con acceso propio desde el ordenador, el móvil o WhatsApp, y la geolocalización solo se emplea cuando el puesto lo justifica, informando previamente a la persona.
Última actualización: septiembre de 2026.