El uso de la biometría para el control horario de trabajadores se ha convertido en un punto de fricción entre las obligaciones impuestas por la legislación laboral y las limitaciones derivadas del Reglamento General de Protección de Datos (RGPD). La Agencia Española de Protección de Datos (AEPD), en su Guía sobre tratamientos de control de presencia mediante sistemas biométricos (noviembre de 2023), ha marcado con absoluta claridad que esta práctica solo puede considerarse legítima bajo condiciones muy estrictas y excepcionales. De hecho, según el documento, la identificación o autenticación biométrica constituye un tratamiento de alto riesgo que afecta a las categorías especiales de datos personales definidas en el artículo 9 del RGPD. Esto significa que, a efectos legales, una empresa que implante sistemas de fichaje por huella o reconocimiento facial está tratando datos especialmente sensibles, y solo puede hacerlo si logra justificarlo de manera objetiva y documentada.
La obligación de registrar la jornada y la libertad tecnológica de la empresa
El punto de partida legal se encuentra en el artículo 34.9 del Estatuto de los Trabajadores, incorporado por el Real Decreto-ley 8/2019, que obliga a todas las empresas —independientemente de su tamaño o sector— a garantizar un registro diario de la jornada laboral, incluyendo el horario concreto de inicio y finalización de cada persona trabajadora. Esta obligación tiene una finalidad social y jurídica muy clara: prevenir el fraude en horas extraordinarias, dotar de seguridad jurídica tanto a trabajadores como a empleadores, y facilitar la labor de la Inspección de Trabajo y Seguridad Social.
No obstante, la norma no impone ningún método tecnológico concreto para registrar ese horario. Es decir, no obliga a usar sistemas biométricos ni tampoco los prohíbe expresamente. En este vacío técnico, las empresas han adoptado soluciones muy diversas: fichajes mediante tarjetas NFC, software de control horario en la nube, aplicaciones móviles con geolocalización o incluso sistemas de firma digital con sello de tiempo. En todos los casos, el denominador común debe ser la fiabilidad, integridad y trazabilidad de los registros, ya que estos pueden convertirse en pruebas documentales en un procedimiento judicial o en una inspección administrativa.
Desde Legal Auditors, asesoramos precisamente en esa intersección entre tecnología y derecho: ayudamos a las empresas a seleccionar sistemas de registro horario que sean legalmente válidos, auditables y tecnológicamente conformes con el RGPD, la LOPDGDD y las exigencias del Esquema Nacional de Seguridad (ENS). Nuestra labor consiste en evaluar el diseño del software, la trazabilidad de los registros y la robustez de la arquitectura para garantizar que, llegado el caso, los datos puedan servir como evidencia electrónica válida en un conflicto laboral o judicial.
El dato biométrico como categoría especial y el principio de minimización
Según la Guía de la AEPD, los datos biométricos —como la huella, el rostro, la voz o el iris— son identificadores únicos de una persona y, por tanto, constituyen datos personales de categoría especial. El RGPD (artículo 9.1) prohíbe de forma general su tratamiento, salvo que concurra una excepción expresa prevista en su apartado 2. Entre estas excepciones figura el artículo 9.2.b), que permite el tratamiento cuando sea necesario para cumplir obligaciones y ejercer derechos específicos en el ámbito del Derecho laboral, siempre que lo autorice una norma de rango legal.
Sin embargo, la AEPD es contundente: en España no existe hoy una norma con rango de ley que autorice el uso de biometría para el control horario. El artículo 34.9 del Estatuto de los Trabajadores no menciona los datos biométricos y, por tanto, no sirve como habilitación suficiente. En consecuencia, la empresa que use estos sistemas se enfrenta a una doble carga jurídica: justificar la necesidad y proporcionalidad del tratamiento y acreditar que no existen alternativas menos intrusivas para alcanzar la misma finalidad.
Aquí entra en juego el principio de minimización de datos (artículo 5.1.c RGPD), según el cual solo pueden tratarse los datos estrictamente necesarios para la finalidad perseguida. Aplicado al control horario, esto significa que si la jornada puede registrarse mediante una tarjeta, un código, una aplicación o una firma electrónica, no hay justificación para usar la huella o el rostro del trabajador. La AEPD recuerda que el mero hecho de que la tecnología esté disponible o sea económicamente accesible no legitima su utilización.
En Legal Auditors analizamos precisamente este punto en cada auditoría. Realizamos un juicio técnico y jurídico de necesidad, demostrando si el uso de biometría está o no justificado frente a alternativas menos invasivas. En caso de que el cliente decida mantenerla, le ayudamos a documentar una Evaluación de Impacto en Protección de Datos (EIPD) exhaustiva, identificando riesgos, medidas compensatorias y evidencias de proporcionalidad.
El consentimiento del trabajador no es base jurídica válida
Otro de los errores frecuentes que la AEPD señala es creer que el consentimiento del trabajador puede legitimar el uso de biometría en el fichaje. El RGPD, en su artículo 4.11 y considerando 43, deja claro que el consentimiento solo es válido si es libre, específico e informado. En una relación laboral, donde existe un claro desequilibrio entre empresa y trabajador, el consentimiento nunca se considera libre, ya que el empleado podría sentirse obligado a aceptarlo por miedo a represalias o pérdida de beneficios.
Por ello, el consentimiento no sirve para levantar la prohibición del artículo 9.1 del RGPD en el ámbito laboral. En palabras de la AEPD, solo sería posible si el trabajador tuviera una alternativa equivalente —por ejemplo, poder fichar con tarjeta o app sin consecuencias—, algo que en la práctica casi nunca ocurre. De lo contrario, el tratamiento es ilícito.
Nuestra labor como auditores consiste en identificar estas situaciones de riesgo y asesorar a la empresa para rediseñar su política de fichaje, de modo que el consentimiento no sea la base jurídica del tratamiento. Recomendamos sistemas con doble vía: una opción biométrica voluntaria y otra tradicional, asegurando igualdad de condiciones y plena trazabilidad. Esta recomendación permite a la empresa demostrar cumplimiento del RGPD, del principio de proporcionalidad y del deber de transparencia.
La obligación de realizar una Evaluación de Impacto (EIPD)
La guía de la AEPD califica los sistemas biométricos de control de presencia como tratamientos de alto riesgo, lo que implica que es obligatorio realizar y superar una Evaluación de Impacto en Protección de Datos (artículo 35 RGPD) antes de su implantación. Esta evaluación debe demostrar tres cosas: idoneidad, necesidad y proporcionalidad.
En nuestras auditorías y consultorías, ayudamos a los clientes a superar el triple juicio de idoneidad, necesidad y proporcionalidad, documentando los resultados de forma probatoria. Además, evaluamos los requisitos técnicos del sistema, tales como el cifrado de las plantillas biométricas, la segregación de bases de datos, los controles de acceso, la pseudonimización, la gestión de claves criptográficas y la trazabilidad de accesos. Esta combinación entre análisis jurídico y control técnico es lo que diferencia a nuestros informes, permitiendo que el software auditado sea defendible ante una inspección o incluso ante un tribunal.
Medidas técnicas, organizativas y jurídicas obligatorias
El cumplimiento no se limita a la documentación. El sistema debe estar diseñado bajo los principios de protección de datos desde el diseño y por defecto (artículo 25 RGPD). La AEPD exige, como medidas mínimas, que las empresas utilicen dispositivos bajo el control exclusivo del usuario, preferiblemente sin almacenamiento centralizado; implementen cifrado fuerte (AES-256 o equivalente) para la plantilla biométrica; establezcan mecanismos de revocación y supresión automática de datos cuando el trabajador cause baja o cambie de centro; eviten la interconexión entre bases de datos biométricas de diferentes finalidades; e informen claramente a los trabajadores sobre los riesgos del tratamiento y los derechos que les asisten.
En Legal Auditors verificamos punto por punto el cumplimiento de estas medidas técnicas y las extendemos al marco del Esquema Nacional de Seguridad (ENS) y la Directiva NIS2, asegurando que los sistemas cuenten con controles de ciberseguridad equivalentes a los exigidos a servicios esenciales. Además, certificamos la trazabilidad de los eventos mediante registros inmutables (logs WORM, blockchain o timestamping cualificado) que garantizan la integridad de los datos ante cualquier inspección o litigio.
Nuestra ayuda a desarrolladores y empresas usuarias
Desde la experiencia de más de 300 auditorías de software empresarial, ayudamos tanto a empresas usuarias como a fabricantes de soluciones de control horario a cumplir simultáneamente con los tres ejes de cumplimiento: objetivos jurídicos, objetivos legales de protección de datos y objetivos técnicos. Validamos que el sistema se ajusta al Estatuto de los Trabajadores, al RDL 8/2019 y al marco del futuro anteproyecto de ley de reducción de jornada, garantizando que los registros generen evidencias válidas; elaboramos las evaluaciones de impacto, cláusulas informativas, contratos de encargado del tratamiento, políticas internas y modelos de consentimiento; y auditamos la arquitectura, los algoritmos de verificación, el cifrado y la gestión de logs conforme al ENS, ISO 27001 y las recomendaciones de la AEPD.
Este enfoque integral permite que las soluciones certificadas por nuestro equipo se posicionen como plataformas seguras, legales y confiables, reduciendo el riesgo de sanción y aumentando la confianza del mercado.
Conclusión
La biometría aplicada al control horario representa una frontera jurídica sensible: útil en lo técnico, pero de enorme impacto en los derechos fundamentales. La AEPD no prohíbe su uso, pero lo somete a un escrutinio exhaustivo. Solo podrá considerarse legítimo si la empresa demuestra que no existe alternativa menos intrusiva y que el tratamiento cumple los principios de idoneidad, necesidad, proporcionalidad y minimización. Para la mayoría de las organizaciones, lo más prudente será optar por sistemas no biométricos o híbridos que garanticen seguridad, trazabilidad y cumplimiento normativo.
En Legal Auditors ayudamos a las empresas a alcanzar ese equilibrio entre eficiencia tecnológica y cumplimiento jurídico, auditando sus sistemas de registro horario conforme al RGPD, ENS, NIS2 y al Estatuto de los Trabajadores, y certificando la validez técnica y legal de las soluciones utilizadas. Nuestro objetivo es que cada cliente disponga de un sistema que no solo registre, sino que resista jurídicamente cualquier auditoría, inspección o litigio.
