Control horario y RGPD: cómo tratar los datos del fichaje

El fichaje trata datos personales

Cada vez que alguien ficha, se genera un dato personal: quién es, a qué hora empieza y a qué hora termina, día tras día. Por eso el control horario entra de lleno en el Reglamento General de Protección de Datos (Reglamento UE 2016/679) y en la Ley Orgánica 3/2018 (LOPDGDD). La obligación de registrar la jornada nace del artículo 34.9 del Estatuto de los Trabajadores, que repasamos en por qué el registro de jornada es obligatorio, pero cómo guardas y usas esos datos lo gobierna la normativa de protección de datos.

¿Cuál es la base jurídica del fichaje?

Todo tratamiento de datos necesita una base que lo legitime (artículo 6 del RGPD). En el control horario no hace falta pedir consentimiento a la plantilla, y de hecho no sería la base adecuada: la empresa trata esos datos porque la ley se lo exige.

• Cumplimiento de una obligación legal (art. 6.1.c del RGPD): la empresa está obligada a registrar la jornada por el artículo 34.9 del Estatuto de los Trabajadores.
• Ejecución del contrato de trabajo (art. 6.1.b): la relación laboral justifica gestionar la jornada, los turnos y las horas.
• El consentimiento no es la vía: en una relación laboral el trabajador no está en posición de negarse libremente, así que la Agencia Española de Protección de Datos (AEPD) no lo considera una base válida para el control horario.

Principios que debes respetar

Tener una base jurídica no basta. El RGPD exige aplicar sus principios al fichaje, y son de sentido común una vez los ves escritos:

1. 1Minimización: recoge solo lo necesario para registrar la jornada (inicio, fin y persona). No aproveches el fichaje para vigilar más de la cuenta.
2. 2Limitación de la finalidad: los datos del registro sirven para computar la jornada, no para otros usos sin informar antes.
3. 3Limitación del plazo: el registro se conserva cuatro años por obligación laboral; pasado ese fin, no debe guardarse indefinidamente sin justificación.
4. 4Información previa: hay que informar a la plantilla de qué se registra, con qué base y durante cuánto tiempo, normalmente en la política de privacidad interna.

Ese deber de información conecta con tu propia política de privacidad: la plantilla tiene derecho a saber qué se hace con sus datos de fichaje y a ejercer sus derechos de acceso, rectificación o supresión.

Geolocalización: sí, pero con límites

Fichar con geolocalización es legal, pero está sujeto al principio de proporcionalidad y al artículo 90 de la LOPDGDD, que regula el uso de sistemas de geolocalización en el trabajo. La empresa puede saber que el fichaje se hizo en el centro de trabajo, pero no convertir el móvil en un rastreador permanente.

• Informa de forma expresa, clara e inequívoca de que se usa geolocalización y con qué finalidad.
• Capta la ubicación solo en el momento de fichar, no de forma continua durante toda la jornada.
• Aplica la proporcionalidad: si basta con confirmar el centro de trabajo, no registres coordenadas exactas ni un histórico de movimientos.

Biometría: la huella y la cara son datos especiales

La huella dactilar o el reconocimiento facial para fichar son datos biométricos de categoría especial (artículo 9 del RGPD), con una protección reforzada. En su guía de 2023 sobre control de presencia con sistemas biométricos, la AEPD concluyó que, como regla general, usar la biometría para el control horario no es conforme salvo que exista una norma con rango de ley que lo autorice, y que el consentimiento no sirve para levantar esa prohibición en el ámbito laboral.

Por eso el fichaje de Plantya y el kiosko compartido funcionan con identificación por PIN o móvil, sin recoger huellas ni imágenes faciales. Cumples el registro de jornada sin entrar en la categoría de datos especiales.