Checklist RGPD del fichaje para el DPO o responsable

El checklist RGPD del fichaje para el DPO es la herramienta que el delegado de protección de datos (DPO) o el responsable de cumplimiento necesita antes de dar el visto bueno a cualquier sistema de control horario. Sin una revisión estructurada, resulta fácil dejar flecos: una cláusula informativa incompleta, un contrato de encargado sin las cláusulas del art. 28 del Reglamento General de Protección de Datos, o una geolocalización activa que debería haber pasado por una evaluación de impacto. Este artículo desglosa cada punto crítico —base jurídica, minimización, retención, derechos, contratos— y al final ofrece los 20 puntos de control que el DPO debe verificar antes de emitir su validación.

Resumen rápido: el registro de jornada es un tratamiento de datos personales basado en obligación legal (art. 6.1.c RGPD + art. 34.9 ET). No requiere consentimiento, pero sí una cadena completa de cumplimiento: entrada en el RAT, cláusula informativa, plazos de conservación de cuatro años, contratos con proveedores y, en ciertos casos, una evaluación de impacto formal. La biometría siempre exige EIPD y base reforzada; la geolocalización requiere proporcionalidad verificada.

Por qué el fichaje es un tratamiento de datos que el DPO debe revisar

Cuando un empleado registra su hora de entrada y salida, la empresa obtiene un dato personal: el nombre de la persona, el momento exacto en que empieza y termina su jornada y, dependiendo del método elegido, su ubicación, su imagen facial o su huella dactilar. El art. 4.1 del Reglamento General de Protección de Datos —el RGPD— define dato personal como «toda información sobre una persona física identificada o identificable», y los registros de jornada encajan sin discusión en esa definición.

La obligación de registrar la jornada procede del art. 34.9 del Estatuto de los Trabajadores, introducido por el Real Decreto-ley 8/2019, de 8 de marzo. No es opcional: cualquier empresa con trabajadores por cuenta ajena está sujeta a ella, con independencia de su tamaño. La Inspección de Trabajo y Seguridad Social (ITSS), mediante el Criterio Técnico 101/2019 de la ITSS, concretó qué debe contener ese registro, cómo conservarlo y en qué formato debe poder entregarse a los inspectores.

Que el registro sea una obligación legal no exime a la empresa de cumplir el RGPD. Significa, más bien, que el tratamiento tiene una base jurídica clara, pero que el resto de las obligaciones del Reglamento —minimización, transparencia, retención limitada, seguridad, derechos— se aplican con toda su fuerza.

El DPO no es quien implanta el sistema; es quien verifica que la implantación respeta el marco normativo y quien asesora al responsable del tratamiento. Por eso conviene que su revisión sea sistemática, documentada y previa al lanzamiento del sistema.

Base jurídica del tratamiento: obligación legal (art. 6.1.c RGPD) vs interés legítimo

Uno de los primeros puntos que el DPO debe fijar es la base jurídica que legitima el tratamiento. En el caso del fichaje, la respuesta es clara para el núcleo del tratamiento.

Obligación legal: el artículo 6.1.c del RGPD

El artículo 6 del RGPD permite tratar datos, en su apartado 1.c, cuando el tratamiento «es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento». El art. 34.9 del Estatuto de los Trabajadores impone al empresario la obligación de garantizar el registro diario de jornada. Eso convierte el tratamiento de los datos de fichaje —hora de entrada, hora de salida, identidad del trabajador— en un tratamiento basado en obligación legal.

Esta base tiene dos consecuencias prácticas importantes:

No es necesario obtener el consentimiento del trabajador para registrar su jornada. Pedirlo sería, además, un error técnico: en una relación laboral, el consentimiento no es libremente prestado por la asimetría entre empresa y trabajador, según el considerando 43 del RGPD y la doctrina de la Agencia Española de Protección de Datos (AEPD).
El trabajador no puede oponerse al tratamiento invocando su derecho de oposición (art. 21 RGPD), porque ese derecho no aplica cuando la base es la obligación legal.

Interés legítimo: cuándo aparece y cuándo no sirve

Algunas empresas intentan usar el interés legítimo (art. 6.1.f RGPD) para ampliar el tratamiento más allá de lo que exige la ley: por ejemplo, para cruzar los datos de fichaje con análisis de productividad o para conservar los registros más tiempo del necesario. Esto exige, como mínimo, realizar el test de ponderación de tres pasos (legitimidad, necesidad y prevalencia del interés) y documentarlo. En contextos laborales, la AEPD es especialmente crítica con el interés legítimo cuando el empleado no puede oponerse de forma efectiva.

La regla práctica es sencilla: lo que está cubierto por la obligación legal usa art. 6.1.c; cualquier uso adicional exige una base propia distinta y documentada.

Registro de actividades de tratamiento: la entrada mínima para el fichaje

El art. 30 del Reglamento General de Protección de Datos obliga a los responsables del tratamiento a mantener un Registro de Actividades de Tratamiento (RAT). El fichaje debe tener su propia entrada, diferenciada de otros tratamientos de RRHH. En el artículo de la academia «Registro de actividades de tratamiento para el fichaje: guía y modelo» encontrarás el modelo completo con todos los campos; aquí se recoge lo esencial que el DPO debe verificar.

Campo RAT	Contenido mínimo para el fichaje
Nombre del tratamiento	Registro de jornada laboral
Responsable del tratamiento	Razón social + NIF de la empresa
Finalidad	Control del tiempo de trabajo conforme al art. 34.9 ET
Base jurídica	Art. 6.1.c RGPD + art. 34.9 ET
Categorías de datos	Identificación del trabajador, hora de entrada/salida, método de fichaje
Destinatarios	ITSS (cuando lo requiera), asesoría laboral (encargado), gestor de nóminas
Plazo de conservación	4 años (art. 34.9 ET; coincide con la prescripción de las infracciones de Seguridad Social, art. 4.2 LISOS —no con la del orden social, tres años, art. 4.1)
Encargados del tratamiento	Proveedor de software de fichaje, asesoría externa si la hay
Medidas de seguridad	Cifrado en tránsito y en reposo, control de acceso, log de auditoría
Transferencias internacionales	Indicar si el proveedor tiene servidores fuera del EEE y la garantía aplicable

El DPO debe verificar que la entrada existe, está actualizada y refleja fielmente la práctica real de la empresa. Un RAT que no coincide con la realidad es tan problemático como no tener RAT.

Minimización de datos: qué es estrictamente necesario y qué es excesivo

El art. 5.1.c del Reglamento General de Protección de Datos exige que los datos sean «adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados» —el principio de minimización de datos—. Aplicado al fichaje, esto significa que la empresa solo puede recoger los datos que el fin de control de jornada requiere, y nada más.

Datos que son necesarios y proporcionados:

Identidad del trabajador (nombre, número de empleado o identificador interno).
Momento de entrada y salida (fecha y hora con precisión de minutos).
Centro de trabajo o puesto, cuando sea necesario para el cómputo de jornada.

Datos que pueden ser excesivos si no están justificados:

Localización GPS continua durante toda la jornada para empleados que trabajan en un único centro fijo.
Foto capturada en cada fichaje cuando no existe riesgo de suplantación demostrado.
Tiempo de actividad de aplicaciones o teclado (esto ya no es fichaje; es vigilancia del rendimiento y requiere base propia).
Datos biométricos como huella dactilar o reconocimiento facial (se tratan en la sección específica de biometría).

El DPO debe asegurarse de que la configuración real del sistema —no solo la documentación— recoge únicamente lo necesario. Un proveedor que activa por defecto funciones de geolocalización o reconocimiento facial sin que la empresa las haya analizado y habilitado conscientemente supone un riesgo real.

Geolocalización: proporcionalidad y cuándo aplica la EIPD

La geolocalización de trabajadores merece atención especial porque es un dato especialmente sensible en el contexto laboral. La Agencia Española de Protección de Datos (AEPD) ha publicado criterios claros: la localización continua de la posición de un trabajador durante toda la jornada solo es proporcionada cuando la naturaleza del trabajo hace imposible su control de otro modo (distribución, transporte, servicios en campo) y siempre que se hayan agotado medidas menos intrusivas. El artículo 90 de la LOPDGDD regula específicamente la geolocalización de trabajadores en el ámbito laboral.

Incluso cuando la geolocalización está justificada, el DPO debe verificar tres cosas:

Proporcionalidad documentada: que la empresa ha analizado alternativas menos intrusivas y las ha descartado con razones concretas.
Acotación temporal: que la geolocalización se activa solo durante la jornada efectiva, no antes ni después.
Evaluación de impacto: la AEPD recomienda —y en algunos casos exige— realizar una EIPD cuando la geolocalización es sistemática y cubre a un colectivo amplio de trabajadores. Véase la sección siguiente sobre biometría y la guía completa en «Evaluación de impacto en protección de datos para el sistema de fichaje».

Retención y supresión: los cuatro años de conservación y el cripto-borrado al expirar

El art. 5.1.e del Reglamento General de Protección de Datos establece el principio de limitación del plazo de conservación: los datos no pueden conservarse más tiempo del necesario para los fines del tratamiento.

Para el registro de jornada, el plazo de conservación mínimo exigido por la normativa laboral es de cuatro años, tal como establece el propio art. 34.9 del Estatuto de los Trabajadores, plazo que coincide con la prescripción de las infracciones en materia de Seguridad Social (art. 4.2 de la LISOS), no con la de las infracciones del orden social, que son tres años (art. 4.1). La empresa debe poder presentar los registros a la ITSS durante ese periodo; no puede destruirlos antes.

Pero el RGPD prohíbe conservarlos más allá de ese plazo sin una base que lo justifique. Pasados los cuatro años, los registros deben eliminarse de forma efectiva.

En un sistema con prueba criptográfica del registro, como el ledger verificable que ofrece Tempika, la supresión no puede limitarse a borrar el archivo: hay que garantizar que los datos personales no son recuperables, mientras se mantiene la integridad de la cadena de prueba (que registra que hubo un fichaje y cuándo, sin exponer el dato identificativo). Esta técnica —habitualmente denominada cripto-borrado o anonimización selectiva— cumple simultáneamente con el deber de retención de la prueba y con el deber de supresión del dato personal. El DPO debe verificar que el proveedor implementa este proceso y que está documentado.

Información a los trabajadores: qué debe decir la cláusula informativa

El artículo 13 del Reglamento General de Protección de Datos obliga a informar a los trabajadores antes de que se produzca el primer tratamiento de sus datos. En el caso del fichaje, esto significa que antes de activar el sistema, todos los empleados deben haber recibido la información exigida.

La cláusula informativa debe recoger, como mínimo:

Contenido obligatorio (art. 13 RGPD)	Texto orientativo para el fichaje
Identidad y datos de contacto del responsable	Nombre, NIF y dirección de la empresa
Datos de contacto del DPO (si existe)	Email o teléfono del DPO
Finalidad del tratamiento	Control del tiempo de trabajo conforme al art. 34.9 ET
Base jurídica	Obligación legal: art. 6.1.c RGPD + art. 34.9 ET
Destinatarios o categorías de destinatarios	ITSS (a requerimiento), asesoría laboral
Plazo de conservación	4 años
Derechos del interesado	Acceso, rectificación, limitación, reclamación a la AEPD
Derecho a reclamar	Agencia Española de Protección de Datos (aepd.es)

Qué no debe decir la cláusula:

Que el tratamiento se basa en el consentimiento del trabajador (es un error técnico que invalida la base jurídica real).
Que los datos se compartirán con terceros no mencionados o con el proveedor de software sin identificarlo como encargado.
Que los datos se conservarán «el tiempo necesario» sin concretar el plazo: esa fórmula vaga no cumple el art. 13.2.a del RGPD.

El canal de entrega importa: correo electrónico corporativo con acuse de recibo, anexo al contrato de trabajo, o entrega física con firma. El DPO debe verificar que existe evidencia de entrega para cada empleado.

Derechos de los interesados: acceso, rectificación y limitación sobre el registro

Los trabajadores son interesados en el tratamiento de sus propios registros de jornada y tienen derechos reconocidos por el RGPD. El DPO debe verificar que la empresa tiene un procedimiento operativo para atenderlos dentro de los plazos legales (un mes prorrogable a tres en casos complejos, art. 12.3 RGPD).

Derecho de acceso (art. 15 RGPD): el trabajador puede solicitar una copia de los datos que la empresa tiene sobre su jornada. La respuesta habitual es exportar el histórico de fichajes correspondiente a esa persona. Tempika permite generar esa exportación desde el panel del empleado y también desde el panel del administrador filtrado por persona.

Derecho de rectificación (art. 16 RGPD): si un registro es erróneo (se fichó mal una hora), el trabajador puede solicitar su corrección. Aquí el DPO debe prestar atención a la integridad del ledger: en un sistema con prueba criptográfica, las correcciones deben registrarse como anotaciones o correcciones trazadas, nunca como modificaciones silenciosas que borran el registro original. El historial de correcciones forma parte de la prueba de integridad.

Derecho de limitación (art. 18 RGPD): permite al interesado pedir que se suspenda el tratamiento mientras se resuelve una controversia (por ejemplo, si impugna la exactitud de los datos). En la práctica, esto puede ser relevante en contextos de conflicto laboral. El procedimiento debe existir y el DPO debe haberse asegurado de que el sistema lo soporta técnicamente.

Derechos que no aplican:

Supresión («derecho al olvido», art. 17 RGPD): no aplica durante el periodo de conservación de cuatro años porque el tratamiento es necesario para cumplir una obligación legal.
Portabilidad (art. 20 RGPD): solo aplica a tratamientos basados en consentimiento o contrato; el fichaje por obligación legal queda fuera de su ámbito.

El DPO debe documentar en la política interna qué derechos aplican, cuáles no y por qué, para poder responder con rigor si un trabajador plantea una reclamación.

Proveedores y encargados del tratamiento: qué cláusulas debe incluir el contrato

Cuando una empresa utiliza un software de fichaje externo, ese proveedor es un encargado del tratamiento en el sentido del art. 4.8 del Reglamento General de Protección de Datos. El art. 28 del mismo Reglamento exige que la relación se regule mediante un contrato escrito —habitualmente denominado Acuerdo de Encargo de Tratamiento o DPA, del inglés Data Processing Agreement— que incluya un conjunto de cláusulas obligatorias.

El DPO debe verificar que el contrato con el proveedor contiene, como mínimo:

Cláusula obligatoria (art. 28 RGPD)	Por qué importa en el fichaje
Instrucciones documentadas del responsable	El proveedor solo puede tratar los datos según lo que la empresa le indique
Confidencialidad del personal del encargado	Las personas que acceden a los registros de jornada deben estar sujetas a secreto
Medidas de seguridad (art. 32 RGPD)	Cifrado, control de acceso, gestión de incidentes
Uso de subencargados solo con autorización previa	El proveedor no puede ceder los datos a terceros sin consentimiento de la empresa
Asistencia al responsable para atender derechos	El proveedor debe facilitar las exportaciones necesarias para responder solicitudes de acceso
Devolución o destrucción de datos al finalizar el contrato	Al resolver el contrato, el proveedor no puede conservar los datos
Auditoría o inspección por el responsable	El responsable puede verificar el cumplimiento del encargado

Un proveedor que se niega a firmar un acuerdo de encargo o que propone términos que no incluyen estas cláusulas no cumple el art. 28 RGPD, y la empresa que lo usa incurre en una infracción. La AEPD ha sancionado esta situación. El DPO debe tener el DPA firmado antes de activar el sistema, no después.

Si el proveedor tiene servidores fuera del Espacio Económico Europeo (EEE), la empresa además necesita garantías específicas para la transferencia internacional: cláusulas contractuales tipo de la Comisión Europea, una decisión de adecuación vigente para el país de destino u otro mecanismo del Capítulo V del Reglamento General de Protección de Datos.

Biometría: por qué una EIPD positiva no basta para usar la huella dactilar

La huella dactilar, el reconocimiento facial y la geometría del iris son datos biométricos tratados para identificar de forma unívoca a personas físicas. El artículo 9 del Reglamento General de Protección de Datos los clasifica, en su apartado 1, como categorías especiales de datos y prohíbe su tratamiento salvo que concurra alguna de las excepciones del art. 9.2.

En el contexto laboral, las excepciones habitualmente invocadas son:

Art. 9.2.b: tratamiento necesario para el cumplimiento de obligaciones y el ejercicio de derechos en materia de Derecho laboral, con sujeción a la legislación de la Unión o de los Estados miembros.
Art. 9.2.a: consentimiento explícito del interesado.

La Agencia Española de Protección de Datos (AEPD) ha sido explícita en su guía sobre el uso de datos biométricos en el control de presencia: el consentimiento en el ámbito laboral raramente puede considerarse libre (desequilibrio de poder), y la base del art. 9.2.b solo cubre lo estrictamente necesario para cumplir la obligación laboral. El Criterio Técnico 101/2019 de la ITSS no exige biometría; cualquier método fiable de identificación es válido. Por tanto, la huella dactilar no es necesaria para cumplir el art. 34.9 del Estatuto de los Trabajadores, y eso la convierte en un tratamiento difícil de amparar en una base sólida.

El mensaje práctico para el DPO es claro: una EIPD bien hecha y con resultado aceptable es condición necesaria pero no suficiente para usar biometría en el fichaje. También necesita una base jurídica reforzada del art. 9.2 RGPD que aguante un escrutinio estricto. La AEPD ha sancionado a empresas que implantaron lectores de huella sin cumplir estos requisitos (véase la resolución PS/00189/2022 y otras analizadas en el artículo «AEPD: resoluciones sobre control horario de empresas»).

Una solución preparada para el cumplimiento, como Tempika, opta por métodos de identificación que no implican categorías especiales —código QR, NFC, PIN, kiosko con PIN— precisamente para evitar este foco de riesgo. Eso no significa que la biometría sea ilegal en todos los casos: significa que el umbral de justificación es alto y que el DPO debe documentar con precisión por qué es necesaria en ese contexto concreto.

Checklist de cierre: 20 puntos que el DPO debe verificar antes de dar el visto bueno

Este checklist resume los puntos de control que el delegado de protección de datos o el responsable de cumplimiento debe verificar antes de emitir la validación del sistema de fichaje. Está pensado para usarse como herramienta de auditoría, con evidencia documentada para cada punto.

Bloque A — Base jurídica y documentación

#	Punto de control	Evidencia esperada
1	La base jurídica es art. 6.1.c RGPD (obligación legal) y está correctamente documentada	RAT actualizado con la base jurídica correcta
2	El tratamiento no recurre al consentimiento del trabajador como base	Revisión de contratos de trabajo y formularios de alta
3	Existe entrada actualizada en el RAT (art. 30 RGPD) con todos los campos	RAT firmado o aprobado por el responsable
4	Si la empresa actúa como encargado de otro responsable, existe RAT de encargado	RAT de encargado según art. 30.2 RGPD

Bloque B — Minimización y configuración técnica

#	Punto de control	Evidencia esperada
5	El sistema recoge solo los datos necesarios para el control de jornada	Inventario de campos recogidos vs. campos necesarios
6	La geolocalización está desactivada o, si activa, documentada su proporcionalidad	Análisis de necesidad; EIPD si aplica
7	No se recogen datos biométricos sin base jurídica reforzada (art. 9.2 RGPD) y EIPD previa	Documento de análisis de biometría; EIPD aprobada
8	Las funciones del sistema que exceden la obligación legal están desactivadas por defecto	Revisión de la configuración del proveedor

Bloque C — Retención y seguridad

#	Punto de control	Evidencia esperada
9	El plazo de conservación es de 4 años y existe procedimiento documentado de supresión	Política de retención; log de eliminaciones
10	Los datos están cifrados en tránsito (TLS) y en reposo	Certificado TLS activo; documentación técnica del proveedor
11	Existen copias de seguridad y se ha verificado la restauración	Política de copias de seguridad; evidencia de prueba de restauración
12	Existe log de auditoría de accesos al sistema (quién consultó qué y cuándo)	Revisión del log de accesos del sistema

Bloque D — Transparencia e información

#	Punto de control	Evidencia esperada
13	Todos los trabajadores han recibido la cláusula informativa del art. 13 RGPD antes del primer fichaje	Acuses de recibo firmados o correos con confirmación de lectura
14	La cláusula informativa menciona el plazo de conservación concreto (4 años)	Texto de la cláusula en vigor
15	La cláusula informativa identifica al DPO (si existe) y su forma de contacto	Texto de la cláusula en vigor

Bloque E — Derechos de los interesados

#	Punto de control	Evidencia esperada
16	Existe procedimiento documentado para responder solicitudes de acceso y rectificación en plazo	Procedimiento interno; plantilla de respuesta
17	Las correcciones en el registro de jornada son trazadas (no sobrescriben el original)	Prueba en el sistema: test de corrección con log visible

Bloque F — Contratos con encargados y transferencias

#	Punto de control	Evidencia esperada
18	Existe DPA firmado con el proveedor de software de fichaje que cumple el art. 28 RGPD	DPA en archivo; fecha de firma anterior a la activación del sistema
19	Si el proveedor tiene servidores fuera del EEE, existe mecanismo de transferencia internacional válido	Cláusulas contractuales tipo o decisión de adecuación documentada

Bloque G — EIPD (cuando aplica)

#	Punto de control	Evidencia esperada
20	Si el sistema incluye biometría o geolocalización sistemática, existe EIPD documentada y aprobada con riesgo residual aceptable	EIPD firmada; fecha anterior a la activación de la funcionalidad

Un sistema de fichaje que supera los 20 puntos con evidencia concreta está preparado para el cumplimiento del RGPD. Si algún punto falla, el DPO debe bloquear la validación hasta que se subsane.

FAQ — Preguntas frecuentes sobre el RGPD y el fichaje

¿Necesito el consentimiento de los trabajadores para implantar un sistema de fichaje?

No. El tratamiento de datos de fichaje se basa en el art. 6.1.c del RGPD (obligación legal derivada del art. 34.9 ET). Pedir el consentimiento además de la obligación legal no solo es innecesario, sino técnicamente incorrecto: en una relación laboral, el consentimiento raramente puede considerarse libremente prestado, según el considerando 43 del RGPD y la doctrina consolidada de la AEPD.

¿Cuánto tiempo debo conservar los registros de jornada?

El plazo mínimo exigido por la normativa laboral es de cuatro años, establecido en el propio art. 34.9 del Estatuto de los Trabajadores, cuyo incumplimiento constituye infracción grave conforme al artículo 7.5 de la LISOS. Pasados esos cuatro años, el principio de limitación del plazo de conservación del art. 5.1.e del Reglamento General de Protección de Datos obliga a suprimir los datos. Conservarlos indefinidamente sin base que lo justifique es una infracción del RGPD.

¿Cuándo es obligatoria una EIPD para el sistema de fichaje?

La EIPD es obligatoria —conforme al art. 35 del Reglamento General de Protección de Datos— cuando el tratamiento «entraña un alto riesgo para los derechos y libertades de las personas». Para el fichaje, los supuestos más habituales son: uso de datos biométricos para identificar a los trabajadores, geolocalización sistemática de trabajadores durante su jornada, y sistemas que combinan fichaje con vigilancia o análisis del rendimiento. Un sistema de fichaje básico sin biometría ni geolocalización continua generalmente no obliga a realizar una EIPD, aunque siempre es recomendable documentar el análisis de riesgo previo.

¿Puede el trabajador solicitar que se eliminen sus datos de fichaje?

No durante el periodo de conservación de cuatro años. El derecho de supresión del art. 17 RGPD no aplica cuando el tratamiento es necesario para el cumplimiento de una obligación legal (art. 17.3.b RGPD). Pasado ese plazo, la empresa debe eliminar los datos de forma proactiva y el trabajador puede exigir su supresión si no se ha hecho.

¿El proveedor de software de fichaje necesita firmar un contrato de encargado de tratamiento?

Sí, siempre. El proveedor que almacena o procesa los datos de jornada en nombre de la empresa es un encargado del tratamiento en el sentido del art. 4.8 RGPD, y el art. 28 RGPD exige que la relación se regule mediante un contrato escrito con las cláusulas obligatorias. Operar sin ese contrato firmado es una infracción directa del RGPD, independientemente de que el proveedor sea fiable en la práctica.

Conclusión y próximos pasos

El fichaje es un tratamiento de datos personales con una base jurídica clara —la obligación legal del art. 6.1.c del RGPD— pero con una cadena de cumplimiento que exige atención en varios frentes: documentar correctamente el RAT, informar a los trabajadores antes de empezar, acotar la recogida de datos a lo estrictamente necesario, gestionar los contratos con proveedores y preparar los procedimientos para atender los derechos de los trabajadores.

El checklist de 20 puntos de este artículo es el punto de partida para que el DPO estructure su validación. Cada punto debe quedar respaldado por evidencia concreta, no por declaraciones de intención.

Si tu empresa está evaluando qué sistema de fichaje implantar, Tempika está preparada para el cumplimiento: sin biometría por defecto, con prueba criptográfica verificable del registro, con acuerdo de encargo de tratamiento disponible y con exportaciones adaptadas al formato que exige la ITSS. Consulta cómo funciona en la página de producto o compara con otras opciones en la guía de alternativas a Sesame HR.

Para profundizar en aspectos concretos del cumplimiento normativo, estos artículos de la academia son los más relevantes:

«Evaluación de impacto en protección de datos para el sistema de fichaje»: guía práctica para la EIPD, incluyendo el análisis de biometría y geolocalización.
«Registro de actividades de tratamiento para el fichaje: guía y modelo»: modelo completo del RAT para copiar y adaptar.
«La ley de registro horario digital en España»: referencia completa sobre las obligaciones del art. 34.9 ET y el borrador del reglamento de desarrollo.

Artículo elaborado por el Equipo Tempika con base en el Reglamento General de Protección de Datos (RGPD, Reglamento UE 2016/679), la Ley Orgánica 3/2018 de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), el Real Decreto-ley 8/2019, de 8 de marzo, el Criterio Técnico 101/2019 de la ITSS, la LISOS (Real Decreto Legislativo 5/2000) y las guías publicadas por la Agencia Española de Protección de Datos (AEPD). La información tiene carácter informativo y no sustituye el asesoramiento jurídico personalizado.