Hay empresas que, para cumplir con el registro de jornada, se compran un lector de huellas con reconocimiento facial, GPS y, si les dejan, un escáner de retina. Para saber a qué hora entra Paco. Paco entra a las 8:05. Siempre.
Cumplir con el registro horario es obligatorio. Hacerlo con más datos de los necesarios puede meterte en un problema de protección de datos que no tenías. Vamos a ver dónde está la línea, con lo que dicen la AEPD, la ley y los tribunales.
Lo básico: fichar es tratar datos personales
El registro de jornada identifica a una persona y dice cuándo trabaja. Eso es un dato personal. La guía de la AEPD «La protección de datos en las relaciones laborales», actualizada en diciembre de 2025, dedica un apartado específico al registro de jornada. Sus ideas clave:
- No necesitas consentimiento. La base jurídica es la obligación legal del artículo 34.9 del Estatuto.
- Sí tienes que informar a la plantilla, que además puede ejercer sus derechos de acceso, rectificación, oposición y supresión.
- Minimización: el registro no debe incluir más datos personales de los imprescindibles.
- Limitación de la finalidad: los datos del registro sirven para controlar la jornada, no para otras cosas como comprobar la ubicación de una persona.
- Confidencialidad: el registro no puede ser de acceso público ni estar a la vista de compañeros, clientes o proveedores.
- Registro de actividades del tratamiento: el registro de jornada debe figurar en él (art. 30 RGPD).
- Proveedor = encargado del tratamiento: si usas una herramienta externa, el proveedor actúa como encargado y debe haber contrato.
- Y una frase que vale oro: la protección de datos no limita qué sistema eliges, «aunque es recomendable que se adopte el sistema menos invasivo posible».
Geolocalización al fichar: sí, pero no así
La geolocalización en el trabajo está regulada en el artículo 90 de la LOPDGDD: el empleador puede usarla para sus funciones de control, pero debe informar con carácter previo, de forma expresa, clara e inequívoca a los trabajadores (y, en su caso, a sus representantes) de la existencia y características de los dispositivos, y de sus derechos.
La guía de la AEPD añade matices importantes:
- La base jurídica no es el consentimiento, sino el contrato y las facultades de control.
- Si la finalidad es el registro horario, los datos no pueden usarse para verificar dónde está la persona en cada momento, sino las horas de inicio y fin.
- Proporcionalidad: limitar estos sistemas a situaciones en las que no existan medios menos invasivos. La guía cita como ejemplo la SAN 136/2019, de 6 de febrero, en la que la Audiencia Nacional consideró que un sistema de geolocalización no superaba el juicio de proporcionalidad.
El ejemplo de la propia AEPD lo deja claro: para una persona itinerante que ficha con geolocalización, la finalidad del registro es saber cuándo empieza y acaba, «pero no verificar dónde se encuentra en cada momento».
¿En la práctica? Para un equipo de oficina o de tienda, la geolocalización al fichar es difícil de justificar: ya sabes dónde trabajan. Para personal que trabaja en ruta, puede tener sentido, siempre informando antes y sin seguimiento continuo. Ya lo apuntamos en fichar desde el móvil: ¿es legal?. Y en teletrabajo, mucho cuidado: es el domicilio de la persona (lo vimos en fichaje y teletrabajo).
Huella dactilar y reconocimiento facial: terreno minado
Aquí cambia la liga. Los datos biométricos usados para identificar a alguien son categoría especial de datos (art. 9 RGPD), con una prohibición general de tratarlos salvo excepciones.
Lo que dice la guía general de la AEPD
La guía de relaciones laborales (diciembre de 2025) indica que, si se tratan datos biométricos, la AEPD recomienda sistemas de verificación o autenticación (comparar uno a uno con la identidad que dices tener) mejor que de identificación (buscarte entre todos), con plantillas cifradas guardadas preferentemente en soportes que conserve el propio trabajador, como una tarjeta. Y enumera garantías: informar, protección de datos desde el diseño, almacenar plantillas y no imágenes en bruto, impedir su reutilización para otros fines… Además, recuerda que según el formato (por ejemplo, biométrico) podría ser necesaria una evaluación de impacto (art. 35 RGPD).
La guía de biometría de 2023… y la sentencia de 2026
En noviembre de 2023 la AEPD publicó una guía específica sobre control de presencia mediante sistemas biométricos, muy restrictiva: consideraba la biometría un tratamiento de alto riesgo, exigía una norma con rango de ley que la habilitase para el registro de jornada, descartaba el consentimiento como base en el ámbito laboral y hacía obligatoria una evaluación de impacto.
El 30 de junio de 2026, la Audiencia Nacional (Sentencia 367/2026) anuló esa guía, según explica el despacho Cuatrecasas. Pero ojo a la letra pequeña:
- La sentencia no es firme: cabe recurso de casación ante el Tribunal Supremo.
- La anula por el instrumento (la considera una circular encubierta que no siguió el procedimiento), no por su contenido.
- No cuestiona que la biometría sea categoría especial de datos ni los principios del RGPD, que siguen plenamente vigentes.
En palabras del propio análisis, la anulación «no equivale a una liberalización del uso de la biometría». Si estabas pensando en comprar un lector de huellas porque «ya se puede», no: sigues necesitando base jurídica, proporcionalidad y, previsiblemente, evaluación de impacto.
Checklist de protección de datos para tu fichaje
- Elige el sistema menos invasivo que cumpla: usuario y contraseña, o un PIN en una tablet compartida, suelen bastar.
- Informa por escrito a la plantilla: qué se registra, para qué, cuánto tiempo y cómo ejercer sus derechos.
- Recoge lo justo: hora de entrada, salida y pausas. Datos técnicos como la IP, solo como garantía de integridad.
- No reutilices el registro para otras finalidades.
- Restringe el acceso: cada persona ve lo suyo; la empresa, lo de todos; nadie más.
- Firma el contrato de encargado con tu proveedor y comprueba dónde están los servidores (mejor en la UE).
- Inclúyelo en tu registro de actividades del tratamiento.
- Conserva cuatro años (lo exige el 34.9) y luego borra. Más en cuántos años hay que guardar los fichajes.
- Si te planteas biometría o geolocalización, haz antes el análisis de necesidad y proporcionalidad, y valora la evaluación de impacto.
Preguntas frecuentes
¿Necesito el consentimiento de los trabajadores para el fichaje?
No. La base jurídica es la obligación legal del artículo 34.9 del Estatuto. Sí debes informarles.
¿Es legal fichar con huella dactilar?
No está prohibido en sí, pero trata datos de categoría especial. Necesitas una excepción y una base jurídica válidas, superar el análisis de proporcionalidad y aplicar garantías reforzadas. La anulación de la guía de 2023 por la Audiencia Nacional (no firme) no cambia los principios del RGPD.
¿Puedo pedir la ubicación cuando alguien ficha?
Solo si está justificado y es proporcionado, informando antes de forma expresa, clara e inequívoca (art. 90 LOPDGDD). Y usándola solo para saber cuándo empieza y acaba la jornada, no para seguir a nadie.
¿Puedo colgar el listado de fichajes en el tablón?
No. El registro no puede ser de acceso público ni estar a la vista de compañeros, clientes o proveedores.
En resumen
Para cumplir con el registro de jornada no hace falta saber dónde está nadie ni escanearle el dedo. Hace falta saber a qué hora entra y sale, con un sistema fiable y discreto.
SoloFichar se basa en eso: cada persona ficha con su usuario desde el navegador (o en una tablet compartida), registramos fecha, hora, IP y nota, cada corrección queda en el log de auditoría y los datos se alojan en servidores de la UE. Sin huellas, sin cámaras. 10 €/mes con IVA hasta 20 usuarios y 14 días de prueba gratis.
