Desde que el registro horario se hizo obligatorio en España en 2019, muchas empresas se lanzaron a comprar el primer sistema de fichaje que encontraron sin pararse a pensar en algo igual de importante: qué pasa con esos datos una vez se registran. Y no hablamos solo de la hora de entrada y salida. Hablamos, en muchos casos, de huellas dactilares, reconocimiento facial, geolocalización o patrones de comportamiento que dicen mucho más de una persona de lo que parece a simple vista.
Si tu empresa está implantando o revisando un sistema de fichaje, este es el momento de hacerlo bien. No solo por evitar una sanción de la AEPD (que también), sino porque los datos de tus empleados merecen el mismo cuidado que exigirías tú si estuvieras al otro lado.
Primero, entender qué se está recogiendo realmente
No es lo mismo un fichaje mediante PIN o tarjeta que uno basado en huella dactilar o reconocimiento facial.
Los segundos entran dentro de lo que el RGPD considera categorías especiales de datos (artículo 9), porque son datos biométricos que identifican de forma unívoca a una persona física. Esto cambia por completo las reglas del juego.
Con datos biométricos no basta con el interés legítimo de la empresa. Necesitas una base jurídica reforzada, y en la práctica esto suele traducirse en dos caminos: o bien existe una norma que lo ampare, o bien se recaba el consentimiento explícito del trabajador, que además debe ser libre.
Y aquí está el matiz que mucha gente pasa por alto: en una relación laboral el consentimiento rara vez se considera «libre», porque hay una relación de desequilibrio entre empresa y empleado. La AEPD ha sido bastante clara al respecto en varios expedientes sancionadores.
La consecuencia práctica: si puedes fichar con tarjeta, código o app, mejor no recurrir a biometría solo porque parece más «moderno».
Si no hay una necesidad real y proporcional, es un riesgo que no compensa.
Minimizar antes de almacenar
Uno de los principios que más se ignora es el de minimización de datos. No necesitas guardar la ubicación GPS exacta de cada fichaje si con confirmar que el trabajador está en el centro de trabajo es suficiente. No necesitas conservar fotografías si el sistema solo necesita comparar un patrón facial cifrado. No necesitas registrar cada pausa de cinco minutos si tu convenio no lo exige.
Antes de decidir cómo vas a proteger los datos, pregúntate qué datos realmente necesitas capturar. Cuanto menos recojas, menos tienes que proteger y menos expuesto queda todo si algo falla.
Cómo almacenar los datos de forma correcta
Aquí van los puntos que de verdad marcan la diferencia entre un sistema conforme y uno que es una bomba de relojería:
- Cifrado en reposo y en tránsito. Los datos de fichaje, y sobre todo los biométricos, deben estar cifrados tanto cuando viajan del dispositivo al servidor como cuando están almacenados. Si el proveedor del software no puede explicarte con claridad qué algoritmo de cifrado usa, es una señal de alarma.
- Plantillas biométricas, no imágenes. Un sistema bien diseñado no guarda la huella o la cara del empleado como tal, sino una plantilla matemática irreversible derivada de esos datos. Esa plantilla no permite reconstruir la imagen original. Si el proveedor almacena fotografías o huellas «en crudo», estás asumiendo un riesgo innecesario.
- Control de accesos por roles. No todo el departamento de RRHH necesita acceso a los mismos datos. El responsable de nóminas no necesita ver el histórico de geolocalización, y el técnico de soporte informático no necesita ver datos personales sin anonimizar. Los accesos deben estar segmentados y quedar registrados en un log de auditoría.
- Plazos de conservación definidos. El Estatuto de los Trabajadores obliga a conservar los registros de jornada durante cuatro años. Pasado ese plazo, los datos deben eliminarse o anonimizarse de forma efectiva, no simplemente «archivarse» en una carpeta que nadie revisa. Tener datos de 2015 en el sistema de fichaje actual no es previsión, es incumplimiento.
- Copias de seguridad protegidas igual que el original. Un error muy habitual: se blinda el sistema de producción y se olvida que el backup guarda exactamente los mismos datos sensibles, a veces en un servidor con muchas menos medidas de seguridad.
El encargado del tratamiento importa tanto como tú
Si usas un software de fichaje en la nube, el proveedor es un encargado del tratamiento y tiene que estar sujeto a un contrato que cumpla el artículo 28 del RGPD. Antes de firmar, conviene preguntar sin miedo a sonar pesado: ¿Dónde están alojados los servidores? ¿Hay transferencias fuera del Espacio Económico Europeo? ¿Qué certificaciones de seguridad tiene? ¿Qué pasa con los datos si cancelas el contrato?
Muchas pymes delegan por completo esta responsabilidad en el proveedor asumiendo que «ya lo tendrán controlado». La realidad es que la responsabilidad legal sigue siendo tuya como responsable del tratamiento, aunque el fallo esté en la infraestructura de un tercero.
Evaluación de impacto: no es papeleo, es prevención
Cuando se usan datos biométricos para el control horario, en la mayoría de los casos es obligatorio realizar una Evaluación de Impacto relativa a la Protección de Datos (EIPD).
No es un trámite burocrático más: sirve precisamente para detectar antes de implantar el sistema los riesgos que luego cuestan caro corregir. Saltarse este paso porque «total, ya lo hemos comprado» suele ser el origen de la mayoría de sanciones en este ámbito.
Informar a los empleados, de verdad
El deber de información no se cumple con una cláusula genérica perdida en el contrato de trabajo.
Los empleados tienen que saber, en un lenguaje claro, qué datos se recogen, con qué finalidad, cuánto tiempo se conservan, quién tiene acceso y cómo pueden ejercer sus derechos de acceso, rectificación o supresión. Y conviene hacerlo antes de poner en marcha el sistema, no después de que alguien pregunte.
El fichaje es obligatorio, pero cómo se implanta no viene impuesto por nadie más que por el sentido común y la ley de protección de datos. Minimizar lo que se recoge, cifrar lo que se almacena, limitar quién accede, definir cuánto tiempo se conserva y ser transparente con los empleados no es solo la forma de evitar una sanción. Es, sencillamente, tratar los datos de las personas que trabajan contigo con el respeto que corresponde.
Si tu empresa todavía no ha revisado su sistema de fichaje desde esta perspectiva, es un buen momento para hacerlo antes de que lo haga la AEPD por ti.
