Fichar con huella dactilar o reconocimiento facial trata datos biométricos: categoría especial del artículo 9 del RGPD. La guía de la AEPD de noviembre de 2023 concluye que no existe hoy una habilitación legal con rango de ley que ampare la biometría para el control de presencia, por lo que en general no supera el juicio de necesidad y proporcionalidad.
Dicho de otro modo: el lector de huella que vende el instalador de turno como "la forma definitiva de que nadie fiche por otro" es, a día de hoy, el método más difícil de justificar de todos los disponibles. Y no hace falta para llevar bien el registro de jornada.
Qué es exactamente un dato biométrico
El artículo 4.14 del RGPD define el dato biométrico como el dato personal obtenido a partir de un tratamiento técnico específico, relativo a las características físicas, fisiológicas o conductuales de una persona, que permita o confirme su identificación única. La huella dactilar y la imagen facial procesada por un algoritmo entran de lleno.
Conviene entender qué guarda realmente un lector. Casi ningún dispositivo almacena la fotografía de la huella: extrae unos puntos característicos y genera una plantilla matemática. Muchos fabricantes lo venden como si eso dejara de ser un dato personal. No es así: si esa plantilla sirve para reconocer a una persona concreta, sigue siendo un dato personal y sigue siendo biométrico.
Identificación y autenticación
La distinción técnica es real. Identificar es comparar la muestra contra toda la base (uno contra muchos) para averiguar quién es. Autenticar es comparar contra una sola plantilla (uno contra uno) para confirmar que alguien es quien dice ser.
Durante años se argumentó que la autenticación era menos invasiva y quedaba fuera del artículo 9. La guía de la AEPD de noviembre de 2023 cierra esa vía: en el contexto del control de presencia, tanto la identificación como la autenticación biométrica suponen tratamiento de categorías especiales de datos. El razonamiento es sencillo: aunque el sistema compare uno contra uno, lo que hace es reconocer unívocamente a esa persona a partir de su cuerpo.
Por qué la categoría especial lo cambia todo
El artículo 9.1 del RGPD prohíbe el tratamiento de datos biométricos dirigidos a identificar de manera unívoca a una persona. No lo somete a condiciones: lo prohíbe como punto de partida. Solo puede tratarse si concurre alguna de las excepciones tasadas del artículo 9.2.
En una empresa española, las únicas dos que alguien intenta invocar son:
- El consentimiento explícito (art. 9.2.a).
- El cumplimiento de obligaciones en el ámbito del Derecho laboral, siempre que esté autorizado por el Derecho de la Unión o de los Estados miembros y con garantías adecuadas (art. 9.2.b).
Ninguna de las dos funciona aquí, y merece la pena entender por qué, porque es la parte que los comerciales de hardware suelen despachar en una frase.
El consentimiento no vale en una relación laboral
El considerando 43 del RGPD y el criterio consolidado de las autoridades de control parten de que el consentimiento no es libre cuando existe un desequilibrio claro entre quien lo pide y quien lo da. La relación laboral es el ejemplo de manual. Quien acaba de entrar en una empresa y recibe un papel para autorizar el registro de su huella no está en condiciones de negarse con naturalidad.
Hay además un problema práctico: el consentimiento debe poder retirarse en cualquier momento y sin consecuencias. Si tres personas lo retiran el mismo día, la empresa necesita un sistema alternativo funcionando desde ese momento. Si ese sistema alternativo existe y funciona, la propia empresa está demostrando que la biometría no era necesaria.
El convenio colectivo tampoco es habilitación suficiente
La segunda vía —la del artículo 9.2.b— exige una autorización del ordenamiento jurídico. Y ahí está el núcleo del criterio de la Agencia: no existe en España una norma con rango de ley que habilite el uso de biometría para el control de presencia. El artículo 20.3 del Estatuto de los Trabajadores reconoce a la empresa facultades de control, pero es una cláusula genérica que no autoriza específicamente el tratamiento de categorías especiales ni establece las garantías que el artículo 9.2.b reclama.
Un convenio colectivo puede desarrollar y concretar lo que una ley habilita. No puede crear la habilitación que la ley no da. Que el convenio de tu sector mencione sistemas de control de presencia no resuelve el problema de base.
El juicio de necesidad y proporcionalidad
Aunque existiera base jurídica, cualquier medida de control tiene que superar el triple test que aplican los tribunales y la propia Agencia:
- Idoneidad. ¿Sirve para el fin perseguido?
- Necesidad. ¿Existe otra forma menos intrusiva de conseguir lo mismo?
- Proporcionalidad en sentido estricto. ¿El beneficio compensa el sacrificio de derechos?
La biometría suele caer en el segundo escalón. El fin legítimo es acreditar la hora de entrada y salida de cada persona; existen al menos cuatro maneras de hacerlo sin tocar el cuerpo de nadie. Y el sacrificio no es menor: una contraseña comprometida se cambia en treinta segundos, una huella filtrada acompaña a esa persona el resto de su vida.
Qué implicaría implantarlo de todos modos
Si una empresa decide seguir adelante pese al criterio de la AEPD, asume como mínimo esta carga:
- Evaluación de impacto (EIPD) previa y documentada, conforme al artículo 35 del RGPD, con análisis de riesgos y medidas de mitigación.
- Análisis expreso de necesidad y proporcionalidad, por escrito, capaz de sostenerse ante un requerimiento.
- Identificación de la base jurídica del artículo 9.2 que se invoca, que es justamente donde el planteamiento se cae.
- Medidas técnicas reforzadas: cifrado de las plantillas, almacenamiento en el propio dispositivo cuando sea posible, control de accesos, plazos de supresión definidos.
- Información previa y transparente a la plantilla, en los términos de los artículos 13 y 14 del RGPD.
- Información a la representación legal de las personas trabajadoras sobre el sistema de control implantado, conforme al artículo 64 del Estatuto de los Trabajadores.
- Designación o consulta al delegado de protección de datos, si la empresa lo tiene.
Y queda un riesgo que ningún papel elimina: cualquier persona de la plantilla puede presentar una reclamación ante la Agencia Española de Protección de Datos. En ese momento, la empresa tiene que acreditar la base legal del tratamiento, y el criterio publicado por la propia autoridad juega en contra.
Las alternativas que la AEPD sí considera razonables
La guía no se limita a decir que no. Señala expresamente alternativas menos intrusivas para el control de presencia: aplicación móvil, navegador web, PIN, tarjeta o credenciales personales. Todas identifican a la persona con datos ordinarios, no con categorías especiales.
Esto no es un consuelo menor. Significa que el fichaje sin biometría no es una versión degradada del control horario: es la opción que la autoridad de control señala como adecuada.
"Es que se fichan unos a otros"
Esta es la objeción real, y merece una respuesta honesta en lugar de un discurso. El llamado buddy punching —fichar por un compañero— existe y cuesta dinero. La pregunta correcta no es "¿la huella lo evita?", sino "¿qué medidas proporcionadas lo reducen de forma apreciable?".
Lo que sí es defendible:
- PIN personal por persona en el kiosko compartido. No es infalible, pero convierte el fraude en una acción deliberada y atribuible, no en un descuido.
- Radio de fichaje por centro de trabajo. Si el fichaje solo se acepta dentro del perímetro del centro, desaparece el caso más frecuente: fichar desde casa o desde el coche.
- Informes de anomalías. Fichajes fuera de horario, jornadas imposibles, entradas duplicadas o pautas repetidas salen a la superficie en cuanto alguien mira los datos una vez por semana.
- Auditoría de cada cambio. Si toda corrección queda registrada con autor, fecha y valor anterior, manipular el registro deja rastro.
- Supervisión presencial. En equipos pequeños sigue siendo la medida más eficaz y la más barata.
Y lo que hay que decir con claridad: ningún sistema elimina el fraude por completo. Tampoco la huella, que se sortea con el móvil de un compañero, con un turno mal cerrado o con una corrección manual posterior. La biometría no es la única forma de reducir el problema ni, desde luego, la más fácil de defender ante una reclamación.
Ya tienes un lector de huella instalado: qué hacer ahora
Si el dispositivo lleva años funcionando, el orden importa. Estos pasos son los que reducen la exposición sin improvisar:
- Documenta qué trata el sistema. Plantillas biométricas, imágenes, registros de acceso, con qué finalidad y durante cuánto tiempo. Pide al fabricante o al instalador la información técnica por escrito.
- Revisa qué base jurídica se invocó. Si aparece un consentimiento firmado o una mención genérica al convenio, el problema está identificado.
- Valora la sustitución antes que el parcheo. Cambiar a PIN, tarjeta o credenciales personales suele ser más rápido y más barato que construir la justificación de un tratamiento que la Agencia considera injustificable.
- Informa a la plantilla y a la representación legal del cambio de sistema y del calendario.
- Suprime las plantillas biométricas del dispositivo y de cualquier copia o servidor asociado, y exige constancia escrita del borrado al proveedor.
- Deja la decisión documentada en el registro de actividades de tratamiento. Un cambio bien documentado demuestra diligencia; uno silencioso, no.
Comparativa de métodos de fichaje
| Método | Datos que trata | Riesgo | Exigencias añadidas | Criterio AEPD |
|---|---|---|---|---|
| Huella o reconocimiento facial | Categoría especial (art. 9 RGPD) | Alto | EIPD obligatoria, base del art. 9.2 inexistente hoy, medidas reforzadas, información a plantilla y RLT | No supera en general el juicio de necesidad y proporcionalidad |
| Tarjeta o PIN en kiosko | Datos identificativos ordinarios | Bajo | Información básica del art. 13, control de acceso y trazabilidad de cambios | Señalada como alternativa menos intrusiva |
| App o navegador con credenciales personales | Datos identificativos ordinarios; ubicación solo si se activa el radio de fichaje | Bajo, medio si hay geolocalización | Información básica; si hay ubicación, limitarla al momento del fichaje y a comprobar el centro | Señalada como alternativa menos intrusiva |
La geolocalización merece su propio matiz: comprobar que el fichaje se produce dentro del radio del centro de trabajo no es lo mismo que seguir a alguien durante la jornada. La primera es una comprobación puntual y proporcionada; la segunda exige una justificación mucho más exigente.
Cómo ficha Horix
Horix identifica a cada persona con usuario y PIN. El modelo de datos no almacena huellas, imágenes faciales ni plantillas biométricas de ningún tipo, así que no hay categorías especiales del artículo 9 que justificar, ni evaluación de impacto que construir por ese motivo.
Lo que sí hay:
- Kiosko en tablet con PIN para equipos sin correo de empresa: obra, tienda, cocina, almacén.
- Fichaje desde el móvil o el navegador con credenciales personales, distinguiendo oficina, teletrabajo y trabajo en casa de cliente.
- Radio de fichaje por centro de trabajo, para que el fichaje solo se acepte dentro del perímetro que configures.
- Informes de resumen, detalle y anomalías, exportables en PDF o CSV.
- Auditoría de cada cambio, conservando siempre el fichaje original junto a la corrección.
- Conservación de cuatro años y API autenticada para la Inspección.
En el reparto de papeles del RGPD, tu empresa es la responsable del tratamiento y Horix es encargado, con el contrato del artículo 28 que corresponde. Eso no significa que contratando Horix cumplas la ley: el cumplimiento depende de cómo uses el sistema, de que todo el mundo fiche y de que la información a la plantilla esté hecha. Lo que sí significa es que el registro de jornada deja de arrastrar el problema añadido de tratar datos biométricos, y que la factura es un precio fijo mensual que no crece con cada persona que entra en plantilla.
Situación normativa a agosto de 2026. La obligación de registro sigue siendo la del artículo 34.9 del Estatuto de los Trabajadores, introducido por el Real Decreto-ley 8/2019 y vigente desde el 12 de mayo de 2019, con conservación de cuatro años. No llevarlo es infracción grave del artículo 7.5 de la LISOS, sancionable con 751 € a 7.500 € por centro de trabajo. Esta información es orientativa y no constituye asesoramiento jurídico.
Fuentes
- AEPD — Guía sobre tratamientos de control de presencia mediante sistemas biométricos (noviembre 2023)
- AEPD — Nota de prensa sobre la publicación de la guía
- Reglamento General de Protección de Datos (RGPD), artículos 4.14, 9, 35 y 83
- Ley Orgánica 3/2018 de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD)
- Estatuto de los Trabajadores, artículos 20.3, 34.9 y 64 (BOE)