El uso de la huella dactilar, el reconocimiento facial o el iris para registrar la jornada laboral se ha extendido en numerosas empresas como una forma rápida de controlar los horarios y evitar prácticas como la suplantación de identidad. Sin embargo, utilizar datos biométricos para fichar implica un tratamiento especialmente delicado desde el punto de vista de la protección de datos.
El Reglamento General de Protección de Datos (RGPD) considera los datos biométricos utilizados para identificar de manera unívoca a una persona como una categoría especial de datos. Su tratamiento está sometido, por tanto, a unas exigencias mucho mayores que las aplicables a otros datos personales.
¿Por qué es especialmente delicado fichar con datos biométricos?
Una contraseña puede modificarse y una tarjeta de acceso puede sustituirse. Una huella dactilar o determinadas características biométricas de una persona, en cambio, forman parte de su identidad y no pueden cambiarse fácilmente si se produce una brecha de seguridad.
Por este motivo, la AEPD considera que los tratamientos biométricos utilizados para identificación o autenticación constituyen tratamientos de alto riesgo cuando se encuentran dentro del ámbito de las categorías especiales de datos.
Esto no significa que cualquier utilización de biometría esté automáticamente prohibida. Significa que la empresa debe poder demostrar que existe una base jurídica adecuada, que se cumplen las condiciones del artículo 9 del RGPD y que el tratamiento resulta necesario y proporcionado para conseguir la finalidad perseguida.
El consentimiento del trabajador no soluciona el problema
Uno de los errores más habituales consiste en pensar que basta con solicitar el consentimiento de los empleados para utilizar su huella o su rostro como mecanismo de fichaje.
Sin embargo, en el ámbito laboral existe generalmente una situación de desequilibrio entre la empresa y la persona trabajadora. Por este motivo, la AEPD señala que el consentimiento no puede utilizarse como mecanismo para levantar la prohibición del tratamiento de datos biométricos en el contexto del registro de jornada cuando se pretende acudir a la excepción del artículo 9.2.b del RGPD.
La cuestión resulta especialmente importante porque una empresa no puede convertir una tecnología de fichaje en lícita simplemente haciendo firmar a la plantilla un documento de consentimiento.
¿Puede una empresa utilizar la huella o la cara para fichar?
La respuesta requiere analizar cada caso concreto. La empresa debe estudiar, entre otros aspectos, la finalidad del tratamiento, la tecnología utilizada, la necesidad real de utilizar biometría y la existencia de alternativas menos intrusivas.
La propia AEPD establece que, para el control de presencia en el ámbito laboral, cuando se pretende utilizar la excepción prevista en el artículo 9.2.b del RGPD, debe existir una norma con rango de ley que concrete la posibilidad de utilizar datos biométricos para esa finalidad. En su guía específica sobre control de presencia, la Agencia señaló que dicha habilitación no se encontraba en la normativa española vigente en el momento de su publicación.
Por tanto, antes de implantar un sistema de fichaje mediante reconocimiento facial o huella dactilar no basta con analizar si técnicamente funciona. Es necesario realizar un análisis jurídico y de protección de datos previo.
¿Tu empresa utiliza huella dactilar o reconocimiento facial para el control horario?
En FORLOPD podemos analizar el sistema utilizado, revisar su base jurídica y evaluar los riesgos del tratamiento para determinar si cumple con las exigencias del RGPD.
Solicita una auditoría de protección de datos y descubre qué aspectos debería revisar tu empresa.
La importancia del principio de necesidad y proporcionalidad
Uno de los puntos fundamentales es determinar si el uso de biometría es realmente necesario. La empresa debe preguntarse si la finalidad perseguida puede conseguirse mediante otro sistema menos invasivo para la privacidad de los trabajadores.
La AEPD aplica en este ámbito los principios de minimización de datos, necesidad, idoneidad y proporcionalidad. Es decir, no basta con que un sistema biométrico sea más cómodo, rápido o difícil de manipular que otros métodos. Debe existir una justificación objetiva que permita demostrar por qué resulta necesario utilizar este tipo de información.
Por ejemplo, si una empresa puede controlar eficazmente la jornada mediante una tarjeta, una aplicación u otro mecanismo que implique un menor impacto sobre los derechos de los trabajadores, tendrá que valorar seriamente si existe una justificación suficiente para optar por la biometría.
La Evaluación de Impacto es un elemento clave
El uso de datos biométricos para el control de presencia requiere prestar especial atención a la Evaluación de Impacto relativa a la Protección de Datos (EIPD).
La AEPD establece que, antes de iniciar este tipo de tratamiento, debe realizarse una evaluación que permita analizar los riesgos y acreditar, entre otros aspectos, que se superan los análisis de idoneidad, necesidad y proporcionalidad.
Esta evaluación debe estudiar cuestiones como qué información se recoge, cómo se genera y almacena la plantilla biométrica, quién puede acceder a ella, cuánto tiempo se conserva, qué proveedores intervienen y qué ocurriría en caso de una brecha de seguridad.
¿Qué riesgos legales puede asumir una empresa?
Implantar un sistema biométrico sin realizar correctamente este análisis puede generar diferentes riesgos para la organización.
- Tratamiento ilícito de categorías especiales de datos: si no existe una excepción válida al artículo 9 del RGPD, el tratamiento puede considerarse contrario a la normativa.
- Incumplimiento del principio de minimización: utilizar biometría cuando existe una alternativa equivalente y menos intrusiva puede plantear problemas de proporcionalidad.
- Falta de información: los trabajadores deben conocer qué datos se tratan, con qué finalidad, durante cuánto tiempo y qué derechos pueden ejercer.
- Riesgos de seguridad: una filtración de plantillas biométricas puede tener consecuencias especialmente graves, dado que estos datos no pueden sustituirse como una contraseña.
- Falta de una EIPD adecuada: cuando el tratamiento presenta un riesgo elevado, la evaluación previa constituye una garantía esencial.
- Uso de los datos para finalidades distintas: los datos obtenidos para controlar la jornada no deberían reutilizarse para otras finalidades sin analizar previamente su legitimidad.
La sentencia de la Audiencia Nacional de 2026: ¿qué cambia?
La cuestión ha vuelto a cobrar actualidad tras la Sentencia 367/2026 de la Audiencia Nacional, de 30 de junio, relacionada con la guía publicada por la AEPD sobre tratamientos de control de presencia mediante sistemas biométricos.
La controversia no se centró en declarar legales o ilegales los sistemas de fichaje biométrico, sino en determinar el valor jurídico de la guía de la AEPD. La Audiencia Nacional consideró que, por su contenido y por los efectos que producía en la práctica, el documento iba más allá de una mera orientación y actuaba materialmente como una circular, por lo que debía haberse seguido el procedimiento previsto para este tipo de instrumentos.
Este aspecto es importante porque puede generar cierta confusión: la sentencia no significa que las empresas puedan utilizar libremente la huella o el reconocimiento facial para fichar. Tampoco elimina las obligaciones derivadas del RGPD ni convierte en lícitos tratamientos que no cumplan los requisitos legales.
La propia sentencia recuerda que la utilización de datos biométricos debe seguir analizándose conforme al marco jurídico aplicable. En otras palabras, la decisión afecta al valor jurídico de la guía, pero no elimina las exigencias que establece el RGPD respecto a las categorías especiales de datos.
¿Qué debería revisar una empresa que ya utiliza biometría?
Las organizaciones que actualmente utilizan huella dactilar, reconocimiento facial u otros sistemas biométricos para controlar la jornada deberían revisar el tratamiento y no limitarse a comprobar que el dispositivo funciona correctamente.
Entre los principales aspectos que conviene analizar se encuentran:
- La base jurídica del tratamiento.
- La existencia de una excepción válida al artículo 9 del RGPD.
- La necesidad y proporcionalidad del sistema.
- La existencia de alternativas menos intrusivas.
- La correspondiente Evaluación de Impacto.
- La información facilitada a los trabajadores.
- Las medidas de seguridad aplicadas sobre las plantillas biométricas.
- Los plazos y criterios de conservación y supresión.
- Las garantías ofrecidas por los proveedores tecnológicos.
- La posibilidad de utilizar las plantillas biométricas para finalidades diferentes a las inicialmente previstas.
La AEPD también contempla medidas específicas de seguridad y privacidad, como el cifrado, la protección de datos desde el diseño, la minimización, la imposibilidad de reutilizar las plantillas para otras finalidades y la supresión de los datos cuando ya no resulten necesarios.
La biometría no debe implantarse solo porque sea más cómoda
Los sistemas biométricos pueden ofrecer ventajas operativas y dificultar determinadas formas de fraude en el registro horario. Sin embargo, estas ventajas no son suficientes por sí mismas para justificar el tratamiento de una categoría especial de datos.
La protección de datos exige que las empresas adopten un enfoque basado en el riesgo y la proporcionalidad. Antes de instalar un lector de huellas o un sistema de reconocimiento facial, es necesario analizar si realmente se necesita esa tecnología, si existe una alternativa menos invasiva y si se pueden cumplir todas las garantías exigidas por el RGPD.
Además, la AEPD ha señalado que no todos los tratamientos biométricos presentan exactamente el mismo nivel de impacto. Por ejemplo, la autenticación uno a uno puede tener un impacto diferente al de la identificación uno a varios, por lo que el análisis debe realizarse atendiendo a las características concretas del sistema.
Es recomendable revisar el fichaje biométrico antes de asumir riesgos
Fichar mediante huella dactilar o reconocimiento facial no es una cuestión exclusivamente tecnológica. Se trata de un tratamiento de datos personales especialmente protegido que requiere una justificación jurídica y un análisis riguroso de sus riesgos.
La reciente sentencia de la Audiencia Nacional aporta una reflexión relevante sobre los límites jurídicos de las guías y criterios de las autoridades de protección de datos, pero no supone vía libre para implantar sistemas biométricos de control horario.
Para las empresas, la recomendación es clara: si ya utilizan biometría para el registro de jornada, conviene revisar la legitimidad del tratamiento, la EIPD, la proporcionalidad del sistema, las medidas de seguridad y las alternativas existentes. Y si están pensando en implantarlo, el análisis jurídico debería realizarse antes de poner el sistema en funcionamiento.
Protege a tu empresa frente a los riesgos del fichaje biométrico.
En FORLOPD te ayudamos a analizar tratamientos de datos biométricos, realizar la Evaluación de Impacto y revisar el cumplimiento del RGPD para que tu sistema de control horario cuente con las garantías necesarias.
Contacta con nosotros sobre el servicio de protección de datos y revisa el cumplimiento de tu empresa.
Fuente: El Nuevo Digital Murcia
