Fichaje digital y protección de datos (RGPD): lo que muchas empresas ignoran

El fichaje digital protección de datos no es un detalle secundario. Muchas empresas se centran en cumplir con el registro horario, elegir una app, evitar sanciones laborales o abandonar el papel, pero se olvidan de una parte igual de importante: el sistema de fichaje trata datos personales de la plantilla y, por tanto, debe cumplir con el RGPD y con la normativa española de protección de datos.

La respuesta directa es esta: sí, una empresa puede implantar un sistema de registro horario digital sin pedir consentimiento al trabajador, porque el registro de jornada responde a una obligación legal. Pero eso no significa que pueda recoger cualquier dato, usar cualquier tecnología o convertir el fichaje en una herramienta de vigilancia permanente. La Agencia Española de Protección de Datos aclara que, con carácter general, no se precisa consentimiento para implantar el control horario, ya que la base jurídica es el cumplimiento de la obligación legal prevista en el artículo 34.9 del Estatuto de los Trabajadores y el artículo 6.1.c del RGPD.

Aquí es donde muchas compañías fallan. Confunden “tengo obligación de fichar” con “puedo controlar todo”. Y no es así. El fichaje debe servir para registrar la jornada, no para recopilar más información de la necesaria ni para abrir la puerta a usos no informados.

Qué datos se tratan en un sistema de fichaje digital

Un sistema de fichaje puede tratar datos como nombre, apellidos, identificador de empleado, centro de trabajo, hora de entrada, hora de salida, pausas, incidencias, correcciones, usuario responsable de validar cambios y, en algunos casos, ubicación puntual o dispositivo utilizado. Todos esos datos tienen una finalidad concreta: acreditar el cumplimiento de la jornada.

El artículo 34.9 del Estatuto de los Trabajadores exige que la empresa garantice un registro diario de jornada con el horario concreto de inicio y finalización de cada persona trabajadora. También obliga a conservar esos registros durante cuatro años y a mantenerlos a disposición de trabajadores, representantes legales e Inspección de Trabajo.

Por tanto, la empresa puede tratar los datos necesarios para cumplir esa obligación. Lo que no debería hacer es añadir capas de control sin justificación: geolocalización constante, capturas de pantalla, monitorización de actividad, datos biométricos o información ajena a la jornada si no existe base jurídica, necesidad y proporcionalidad.

El consentimiento del trabajador no lo arregla todo

Uno de los errores más habituales en fichaje digital protección de datos es pedir al trabajador que firme un consentimiento genérico. Muchas empresas creen que, si la plantilla firma, ya pueden usar cualquier sistema. Pero en el ámbito laboral el consentimiento es problemático, porque existe una relación de dependencia entre empresa y trabajador.

Para el registro ordinario de jornada no hace falta consentimiento, porque la base jurídica es la obligación legal. Pero si la empresa quiere tratar datos adicionales no imprescindibles, no puede esconderse detrás de un consentimiento forzado o poco libre. Debe analizar si realmente necesita esos datos, informar de forma clara y respetar los principios del RGPD.

La AEPD recuerda que la empresa debe informar a la plantilla de la existencia del control horario y de la finalidad del tratamiento. Esto parece básico, pero muchas organizaciones implantan una app de fichaje y se limitan a decir “a partir del lunes se ficha aquí”, sin entregar una información clara sobre responsable del tratamiento, finalidad, base jurídica, plazo de conservación, destinatarios, derechos y medidas aplicables.

Minimización: recoge solo lo necesario

El principio de minimización es uno de los grandes olvidados. Significa que la empresa debe tratar solo los datos adecuados, pertinentes y necesarios para la finalidad perseguida. En el caso del fichaje, la finalidad principal es registrar la jornada diaria, no controlar cada movimiento del trabajador.

La AEPD ha insistido en que el control de jornada debe ser lo menos intrusivo posible y que, desde la protección de datos, los sistemas manuales, analógicos o digitales pueden tener la misma base de legitimación si se usan para generar la prueba justificativa del registro diario. También recuerda que los registros deben conservarse durante cuatro años.

Esto tiene consecuencias prácticas. Si una empresa puede fichar con usuario y contraseña, tarjeta, app o terminal, quizá no necesita biometría. Si una persona trabaja en oficina, quizá no necesita geolocalización. Si se usa ubicación en movilidad, debería limitarse al momento del fichaje, no convertirse en seguimiento continuo.

Geolocalización: cuándo tiene sentido y cuándo se complica

La geolocalización puede ser útil en determinados casos: comerciales, técnicos en movilidad, personal de limpieza en centros de cliente, construcción, transporte o equipos que empiezan la jornada fuera de la oficina. Pero que sea útil no significa que pueda utilizarse sin límites.

La AEPD señala, en el contexto del teletrabajo, que debe valorarse si el registro se usa solo para cumplir el artículo 34.9 del Estatuto o también como medida de control empresarial, porque en ese caso debe informarse al trabajador de esa finalidad adicional.

La diferencia es importante. Registrar una ubicación puntual al fichar para acreditar que una persona empieza su jornada en un centro asignado puede ser proporcionado en ciertos casos. Seguir permanentemente al trabajador durante todo el día, en cambio, puede ser excesivo si no existe una justificación muy sólida. El registro horario digital debe ayudar a cumplir, no convertirse en vigilancia permanente.

Biometría: el terreno más delicado

La biometría merece especial prudencia. Huella dactilar, reconocimiento facial, iris o voz pueden parecer soluciones cómodas para evitar suplantaciones, pero implican un nivel de riesgo mucho mayor. No hablamos solo de fichar, sino de tratar datos biométricos, que pueden tener la consideración de categorías especiales cuando se usan para identificar de forma unívoca a una persona.

Para muchas empresas, la pregunta correcta no es “¿la biometría funciona?”, sino “¿es imprescindible?”. Si hay alternativas menos intrusivas, como PIN, tarjeta, app, terminal o acceso web, la biometría puede ser difícil de justificar. En una estrategia prudente de fichaje digital empresas, lo razonable es empezar por la opción menos invasiva que permita cumplir bien.

Este es uno de los puntos que muchas empresas ignoran: modernizar el fichaje no significa elegir la tecnología más intensa, sino la más adecuada. En RGPD, menos puede ser mejor.

Proveedor externo: responsable y encargado del tratamiento

Otro error habitual aparece cuando la empresa contrata una app externa y piensa que el proveedor “se encarga de todo”. No es así. La AEPD aclara que las empresas empleadoras actúan como responsables del tratamiento de los datos obtenidos de sus trabajadores, mientras que los proveedores externos de sistemas de registro actúan, en su caso, como encargados del tratamiento.

Esto significa que la empresa debe elegir bien al proveedor, firmar el correspondiente contrato de encargo del tratamiento, revisar medidas de seguridad, controlar accesos, saber dónde se alojan los datos y asegurarse de que el proveedor no usa la información para finalidades propias no autorizadas.

En otras palabras: contratar una herramienta no traslada la responsabilidad completa. La empresa sigue teniendo que cumplir con el RGPD.

Derechos de los trabajadores sobre sus datos

Los trabajadores conservan sus derechos en materia de protección de datos. Pueden ejercer, cuando proceda, derechos de acceso, rectificación, supresión, limitación, oposición, portabilidad y derecho a no ser objeto de decisiones individualizadas automatizadas. La AEPD recoge estos derechos dentro de los mecanismos generales que la normativa reconoce a las personas afectadas.

En el contexto del fichaje, esto puede traducirse en pedir información sobre qué datos se tratan, revisar registros, solicitar corrección de errores o preguntar por el plazo de conservación. Naturalmente, algunos derechos pueden estar limitados por la obligación legal de conservar el registro durante cuatro años, pero la empresa debe poder explicar el motivo.

Aquí el registro horario digital tiene una ventaja clara: si está bien configurado, facilita consultar datos, revisar incidencias y corregir errores de forma ordenada. Si todo depende de hojas sueltas o Excels dispersos, responder a una solicitud puede convertirse en un caos.

Lo que muchas empresas ignoran

Muchas empresas ignoran que no basta con fichar. Hay que informar. Hay que limitar datos. Hay que conservar durante el plazo correcto. Hay que controlar quién accede. Hay que revisar proveedores. Hay que evitar tecnologías excesivas. Hay que diferenciar el registro de jornada de otras medidas de control.

También ignoran que el RGPD exige responsabilidad proactiva. No vale esperar a tener una reclamación. La AEPD explica que el registro de actividades de tratamiento es una herramienta que ayuda a demostrar la conformidad con el RGPD y puede incluir aspectos como análisis de riesgos, descripción del tratamiento, sistemas utilizados, encargados y garantías aplicadas.

Por eso, una empresa que implanta fichaje digital empresas debería documentar el tratamiento desde el principio: finalidad, base jurídica, datos tratados, plazo de conservación, destinatarios, proveedor, medidas de seguridad y procedimiento de ejercicio de derechos.

Cómo te ayuda Jornatrack

Jornatrack ayuda a implantar un sistema de fichaje claro, diario y proporcionado. Para empresas que buscan registro horario digital, permite centralizar los datos necesarios para cumplir la obligación laboral sin depender de papel, Excel o registros reconstruidos a final de mes.

Desde el punto de vista de fichaje digital protección de datos, la clave es ordenar lo esencial: quién ficha, cuándo ficha, qué datos se guardan, durante cuánto tiempo y quién puede consultarlos. Jornatrack no sustituye una auditoría RGPD ni el asesoramiento de un delegado de protección de datos, pero sí facilita que la empresa trabaje con una base más clara y menos improvisada.

La herramienta ayuda a que el fichaje sea una rutina sencilla y que RRHH pueda consultar la información cuando hace falta, evitando muchos errores habituales: documentos dispersos, registros incompletos, correcciones informales o históricos difíciles de localizar.

La idea clave sobre fichaje digital y RGPD

El fichaje digital es legal y útil, pero debe implantarse con criterio. La empresa no necesita consentimiento para registrar la jornada porque cumple una obligación legal, pero sí debe informar, minimizar datos, limitar finalidades, proteger accesos, conservar solo lo necesario y revisar bien cualquier tecnología más intrusiva.

El RGPD no está para impedir el control horario. Está para evitar que el control horario se convierta en algo desproporcionado. Si tu empresa quiere cumplir bien, no basta con elegir una app: debe elegir un sistema adecuado, documentar el tratamiento y explicar a la plantilla cómo funciona.

La conclusión es sencilla: el mejor registro horario digital no es el que más datos recoge, sino el que recoge los datos necesarios, los conserva correctamente y permite cumplir la ley sin invadir de más la privacidad de las personas trabajadoras.

Descubre cómo Jornatrack te ayuda a cumplir la ley sin complicaciones →