LOPDGDD art. 22: vigilancia laboral y sus límites

El artículo 22 de la LOPDGDD —Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales— es la norma española que regula con mayor precisión el uso de sistemas de vigilancia laboral y sus límites. Videovigilancia, geolocalización y el registro de actividad en dispositivos digitales conviven en su texto con un requisito transversal que muchas empresas siguen ignorando: la obligación de informar al trabajador antes de activar cualquier sistema de control.

Esta guía analiza el artículo 22 de la LOPDGDD en profundidad: qué sistemas contempla, qué exige el principio de proporcionalidad, cómo debe articularse la información al empleado y cuál es la posición de la Agencia Española de Protección de Datos (AEPD) sobre sus límites. Al final, encontrarás un modelo de cláusula informativa adaptable a cualquier protocolo de empresa.

Qué regula el artículo 22 de la LOPDGDD

El artículo 22 de la Ley Orgánica 3/2018 (LOPDGDD) actúa como norma habilitante específica en el contexto laboral. Desarrolla, dentro del ordenamiento español, los artículos 6, 9 y 13 del Reglamento General de Protección de Datos (RGPD, Reglamento UE 2016/679) aplicados a la relación de trabajo.

Su título oficial es «Tratamiento de datos en el ámbito laboral». El precepto reconoce que el empresario puede realizar ciertos tratamientos de datos de los trabajadores sin necesidad de contar con su consentimiento expreso, porque la base de legitimación es la ejecución del contrato de trabajo y el cumplimiento de obligaciones legales (art. 6.1.b y 6.1.c del artículo 6 del RGPD). Ahora bien, ese reconocimiento no es una carta blanca: viene condicionado por tres exigencias que el artículo 22 impone de forma acumulativa.

Finalidad legítima y limitada. Solo puede tratarse la información necesaria para la finalidad declarada. Controlar el cumplimiento de la jornada laboral es una finalidad legítima; vigilar la vida privada del empleado fuera del horario no lo es.
Proporcionalidad. El sistema elegido debe ser adecuado, necesario y equilibrado: no puede existir una medida menos intrusiva que alcance el mismo objetivo con eficacia suficiente.
Información previa. Los trabajadores y, en su caso, sus representantes legales deben ser informados con carácter previo a la implantación de cualquier sistema de vigilancia o control.

El artículo 22 LOPDGDD no derogó las regulaciones laborales preexistentes —el Estatuto de los Trabajadores (RDLeg 2/2015) sigue siendo aplicable—, sino que añadió la capa de protección de datos sobre ellas. Cualquier sistema de vigilancia laboral debe cumplir simultáneamente con el artículo 20 del Estatuto de los Trabajadores (poder de dirección y control empresarial) y con el artículo 22 de la LOPDGDD.

Los tres sistemas de vigilancia contemplados: videovigilancia, geolocalización y sistemas de control

El artículo 22 LOPDGDD hace referencia a distintos sistemas de vigilancia sin agotar la lista. La AEPD, en sus guías y resoluciones, ha desarrollado el ámbito de aplicación del precepto a tres grandes categorías:

Videovigilancia en el entorno laboral

Las cámaras en el lugar de trabajo son el sistema de vigilancia más extendido y, también, el que más expedientes ha generado ante la AEPD. El artículo 22.1 LOPDGDD permite a los empleadores el tratamiento de imágenes obtenidas a través de cámaras o videocámaras para el ejercicio de funciones de control de los trabajadores, siempre dentro del marco legal y con respeto a los límites legítimos.

Los requisitos que la norma y la doctrina de la AEPD exigen para la videovigilancia en el ámbito laboral son:

Requisito	Contenido
Finalidad	Control del cumplimiento de la relación laboral o seguridad de personas y bienes
Proporcionalidad	Las cámaras no pueden apuntar a zonas de descanso, vestuarios o baños
Información	Carteles o distintivos visibles según el modelo del anexo de la AEPD
Conservación	Máximo 30 días naturales (art. 22.3 LOPDGDD), salvo investigación policial o judicial
Acceso	Restringido a quienes lo necesiten por función

El plazo de conservación de 30 días es uno de los límites más conocidos y uno de los más incumplidos. Guardar grabaciones durante meses «por si acaso» constituye una infracción grave del principio de limitación del plazo de conservación (art. 5.1.e del Reglamento General de Protección de Datos).

Geolocalización de trabajadores

La geolocalización laboral queda cubierta por el artículo 22.4 LOPDGDD, que permite a los empleadores tratar los datos obtenidos a través de sistemas de geolocalización para el ejercicio de las funciones de control de los trabajadores, siempre que se les informe previamente de ello y, en particular, sobre si los datos de geolocalización van a ser utilizados para controlar el trayecto del trabajador y no únicamente el lugar en el que presta servicios.

La AEPD distingue dos modalidades con consecuencias jurídicas distintas:

Geolocalización puntual para el fichaje: captura de coordenadas en el momento del registro de entrada o salida. Generalmente proporcional si está vinculada a centros de trabajo o zonas de prestación de servicio claramente definidas.
Rastreo continuo de movimientos: seguimiento permanente de la posición del trabajador durante toda la jornada. Solo admisible si existe una razón de negocio específica y suficiente (flotas de transporte, asistencia a domicilio, por ejemplo) y siempre con información expresa al trabajador.

Para profundizar en los criterios de la AEPD sobre esta modalidad, puedes consultar el artículo Geolocalización en el fichaje: qué es legal según el RGPD.

Sistemas de control de la actividad digital

El artículo 22.6 LOPDGDD habilita a los empleadores a acceder a los contenidos derivados del uso de medios digitales facilitados a los trabajadores, siempre que lo hayan establecido previamente en las condiciones de uso admitidas y que se hayan informado a los trabajadores de que puede haber una supervisión.

Este precepto cubre el control del correo electrónico corporativo, el historial de navegación en dispositivos de empresa y el uso de aplicaciones corporativas. La doctrina del Tribunal Europeo de Derechos Humanos —en particular el asunto Barbulescu c. Rumanía (Gran Sala, 5 de septiembre de 2017, TEDH 2017/68)— y la más reciente sentencia del TJUE de 14 de mayo de 2019 (asunto C-55/18) han marcado los límites con claridad: el trabajador debe haber sido informado de la posibilidad del control antes de que este se produzca.

Límite de la proporcionalidad: cuándo está justificado el control

El principio de proporcionalidad es el eje interpretativo del artículo 22 LOPDGDD. Para determinar si un sistema de vigilancia laboral es conforme a la norma, la Agencia Española de Protección de Datos (AEPD) y los tribunales aplican el denominado triple juicio de proporcionalidad, que proviene de la doctrina constitucional española (STC 98/2000, de 10 de abril):

Juicio de idoneidad. ¿El sistema es adecuado para conseguir la finalidad declarada? Las cámaras enfocadas a la caja registradora son idóneas para prevenir hurtos; las mismas cámaras enfocadas a la pantalla del ordenador de cada empleado raramente lo son para controlar el horario.
Juicio de necesidad. ¿Existe una medida menos intrusiva que alcance el mismo objetivo con eficacia suficiente? Si el control del horario puede lograrse con un sistema de registro digital sin video, instalar videovigilancia sistemática en todos los puestos de trabajo no supera este juicio.
Juicio de proporcionalidad en sentido estricto. ¿Los beneficios que aporta el control superan el coste en derechos del trabajador? Este análisis es el más delicado y debe documentarse, especialmente cuando el tratamiento implica datos sensibles o un riesgo elevado.

La consecuencia práctica es que no basta con que el empresario tenga derecho legal a implantar un sistema de vigilancia: además tiene que justificar por qué ese sistema concreto, en esa empresa concreta, con esa dimensión y alcance concretos, es proporcionado.

Obligación de informar al trabajador antes de implantar el sistema

La exigencia de información previa es quizás el elemento más operativo del artículo 22 LOPDGDD y, a la vez, el que más frecuentemente se incumple. La norma no permite implantar un sistema de vigilancia y notificarlo después: la información debe producirse antes de que el sistema entre en funcionamiento.

Quién debe ser informado: trabajador, representantes y sindicatos

El artículo 22 LOPDGDD establece que la información debe proporcionarse:

A los trabajadores afectados, individualmente o a través del canal habitual de comunicación interna de la empresa.
A los representantes legales de los trabajadores (comité de empresa, delegados de personal o delegados sindicales), con carácter previo a la implantación. Esta obligación convive con el deber de consulta que el artículo 64.5.d del Estatuto de los Trabajadores atribuye al comité de empresa en materia de vigilancia y control.

El incumplimiento de la obligación de informar a los representantes no convierte automáticamente en ilícito el tratamiento posterior, pero sí puede constituir una infracción de la normativa laboral y, si se combina con ausencia de información individual, pone en riesgo la licitud del tratamiento desde la perspectiva del RGPD.

Forma y contenido mínimo de la información

La LOPDGDD no exige una forma específica —podría ser carta, correo electrónico, cláusula en el contrato o protocolo interno—, pero sí que sea inequívoca y que contenga, al menos:

La existencia del sistema y su naturaleza (cámaras, GPS, registro de actividad digital, etc.).
La finalidad del tratamiento (control de la jornada, seguridad de las instalaciones, gestión de flotas, etc.).
La identidad del responsable del tratamiento y, si procede, del delegado de protección de datos (DPD).
El plazo de conservación de los datos.
Los derechos que asisten al trabajador: acceso, rectificación, supresión, oposición, portabilidad y limitación del tratamiento (arts. 15-22 del Reglamento General de Protección de Datos).
La posibilidad de presentar reclamación ante la Agencia Española de Protección de Datos (AEPD).

Además, cuando el tratamiento implique una evaluación de impacto en protección de datos (EIPD), el responsable debe llevarla a cabo antes de implantarlo. Puedes ver cuándo es obligatoria en el artículo Evaluación de Impacto (EIPD) para el sistema de fichaje: guía práctica.

El registro de jornada dentro del art. 22: ¿es vigilancia?

Esta es una de las preguntas que más frecuentemente formulan los responsables de cumplimiento. La respuesta es matizada.

El registro de jornada laboral es una obligación legal establecida en el artículo 34.9 del Estatuto de los Trabajadores, introducido por el Real Decreto-ley 8/2019, de 8 de marzo. Su finalidad no es vigilar al trabajador, sino garantizar que los tiempos de trabajo se documentan correctamente y que el empleado puede demostrar que se respetan sus derechos en materia de descanso y limitación de jornada.

Desde la perspectiva del artículo 22 LOPDGDD, el registro de jornada presenta estas características:

No es vigilancia en sentido estricto si se limita a registrar hora de entrada y salida: no implica monitorización de movimientos ni de actividad.
Sí puede convertirse en vigilancia si se añaden capas que van más allá de la hora de fichaje: videovigilancia del puesto de trabajo, GPS continuo, registro de pantalla o actividad de teclado vinculada al registro de presencia.
Requiere igualmente información previa al trabajador, por aplicación del artículo 13 del RGPD, aunque la base de legitimación sea el cumplimiento de una obligación legal (art. 6.1.c del RGPD).

En otras palabras: el registro de jornada es un tratamiento de datos amparado por la ley, pero no exime al empleador de informar al trabajador ni de aplicar el principio de minimización. Registrar la hora de entrada es obligatorio y proporcional; registrar, además, la ubicación GPS con actualización cada cinco minutos para validar el fichaje raramente lo es.

Para un análisis más amplio del marco normativo del registro de jornada, consulta la página Ley de registro horario digital.

Posición de la AEPD: resoluciones que delimitan el artículo 22

La AEPD ha ido construyendo, a través de sus resoluciones sancionadoras y de sus guías orientadoras, un cuerpo de criterios que concretan el alcance del artículo 22 LOPDGDD. Las líneas más relevantes son:

Sobre videovigilancia encubierta. La AEPD ha sancionado de forma reiterada la instalación de cámaras sin informar a los trabajadores. En la resolución PS/00163/2020, impuso una sanción de 30.000 euros a una empresa por instalar cámaras ocultas bajo la apariencia de detectores de humo, sin señalización visible ni información al comité de empresa. El fundamento fue la vulneración de los artículos 5.1.a y 13 RGPD, en relación con el artículo 22.4 LOPDGDD.

Sobre proporcionalidad en la videovigilancia. En la resolución R/02148/2018, la AEPD analizó un sistema de cámaras que captaba de forma permanente el puesto de trabajo de cada empleado. Concluyó que, si la finalidad era únicamente el control del horario, existían medios menos intrusivos igualmente eficaces. El sistema fue considerado desproporcionado.

Sobre geolocalización. La AEPD ha publicado la «Guía sobre el uso de dispositivos de geolocalización en el ámbito laboral» (actualización 2022), en la que distingue la captura puntual de la posición en el momento del fichaje —que puede ser proporcional— del rastreo continuo de movimientos —que exige una justificación específica—. Recalca que en ambos casos es necesaria la información previa.

Sobre el principio de transparencia en el registro de jornada. La AEPD ha precisado en su «Guía de protección de datos en las relaciones laborales» (2021) que el registro de jornada del artículo 34.9 ET no elimina la obligación de informar al trabajador conforme al artículo 13 del RGPD sobre quién trata sus datos de fichaje, con qué finalidad, durante cuánto tiempo y qué derechos le asisten.

Para un análisis detallado de las principales resoluciones, puedes consultar el artículo AEPD y control horario: resoluciones que debes conocer.

Diferencia entre registrar la presencia y monitorizar la actividad

Esta distinción es clave para entender el alcance del artículo 22 LOPDGDD y para diseñar sistemas de control conformes. La tabla siguiente resume las diferencias:

Dimensión	Registro de presencia	Monitorización de actividad
Qué captura	Hora de entrada y salida	Pantalla, teclado, aplicaciones usadas, URLs visitadas
Base legal habitual	Art. 6.1.c RGPD (obligación legal, art. 34.9 ET)	Art. 6.1.b RGPD (contrato) o interés legítimo con balance
Nivel de intrusión	Bajo: solo datos de tiempo	Alto: puede revelar hábitos, salud, vida privada
Exige EIPD	Generalmente no (salvo biometría o GPS continuo)	Generalmente sí (art. 35.3 del RGPD; lista AEPD 2019)
Información mínima	Cláusula contractual o protocolo interno	Protocolo detallado + política de uso de TIC
Riesgo de exceso	Bajo si se limita al fichaje	Alto: tendencia al alcance expansivo

El error más habitual no es implantar sistemas de monitorización de actividad sin decirlo —eso es una infracción obvia—, sino que el alcance del sistema se expande gradualmente. Se empieza registrando hora de entrada; después se añade un módulo de control de pausas; más tarde se incorpora el seguimiento de aplicaciones activas. Cada ampliación requiere una nueva evaluación de proporcionalidad y una actualización de la información proporcionada al trabajador.

Sistemas que incumplen el art. 22: ejemplos y sanciones

A continuación, algunos patrones de incumplimiento del artículo 22 LOPDGDD documentados en resoluciones de la AEPD y en sentencias de la Audiencia Nacional:

Cámaras sin señalización o señalización insuficiente

Instalar cámaras sin el distintivo informativo previsto en el Anexo de la Instrucción 1/2006 de la AEPD —o su equivalente actualizado— es una infracción frecuente. La señalización debe ser visible, legible e indicar que se trata de una zona videovigilada. No es suficiente un cartel genérico en la entrada del edificio cuando las cámaras cubren zonas diferenciadas como salas de reuniones o puestos individuales.

Geolocalización sin información ni protocolo

Activar el GPS en los dispositivos corporativos o en los vehículos de empresa sin haber informado previamente a los trabajadores y sin haber establecido un protocolo que delimite el alcance del tratamiento vulnera los artículos 13 RGPD y 22.4 LOPDGDD. Las sanciones en este ámbito han oscilado entre los 6.000 y los 60.000 euros dependiendo del número de afectados y del carácter doloso o negligente de la conducta.

Conservación de datos de videovigilancia más de 30 días

El artículo 22.3 LOPDGDD establece que las grabaciones deben destruirse en el plazo máximo de un mes. Conservarlas más tiempo sin una causa legal que lo justifique —como una investigación policial o judicial en curso— es una infracción del principio de limitación del plazo de conservación (art. 5.1.e del Reglamento General de Protección de Datos).

Control de correo y actividad digital sin política de uso de TIC

El acceso al correo electrónico o al historial de navegación de los empleados sin que exista una política de uso de los medios tecnológicos previamente comunicada e implantada es contrario al artículo 22.6 de la Ley Orgánica 3/2018 (LOPDGDD) y a la doctrina del TEDH citada en la sentencia Barbulescu c. Rumanía. La Audiencia Nacional española ha aplicado esta doctrina en diversas sentencias sobre despidos disciplinarios basados en la monitorización del correo corporativo.

Sanciones por vulneración del art. 22 LOPDGDD

Las infracciones del artículo 22 LOPDGDD se reconducen, en términos sancionadores, a los tipos del artículo 83 del RGPD:

Tipo de infracción	Marco sancionador (art. 83 RGPD)
Falta de información al trabajador (art. 13 RGPD)	Hasta 20 M€ o el 4 % del volumen de negocio anual mundial (el mayor)
Tratamiento desproporcionado (art. 5 RGPD)	Hasta 20 M€ o el 4 % del volumen de negocio anual mundial (el mayor)
Exceso en el plazo de conservación (art. 5 RGPD)	Hasta 20 M€ o el 4 % del volumen de negocio anual mundial (el mayor)
Base de legitimación insuficiente (art. 6 RGPD)	Hasta 20 M€ o el 4 % del volumen de negocio anual mundial (el mayor)

Para las pymes y microempresas, la Agencia Española de Protección de Datos (AEPD) aplica criterios de graduación (art. 83.2 del RGPD) que reducen las cuantías, pero el marco máximo es el mismo. El historial de resoluciones muestra sanciones efectivas que van desde los 3.000 euros para empresas pequeñas con infracciones formales hasta los 75.000 euros en casos de videovigilancia encubierta con alto número de afectados.

Cómo diseñar un sistema de fichaje que no exceda el art. 22 LOPDGDD

El cumplimiento del artículo 22 LOPDGDD en el diseño de un sistema de registro de jornada implica aplicar el principio de privacidad desde el diseño (privacy by design, art. 25 del Reglamento General de Protección de Datos) desde la fase de selección del sistema, no solo en la fase de implantación.

Los pasos recomendados son:

Define la finalidad de forma precisa y documentada. «Controlar el horario» no es suficiente: ¿entrada y salida? ¿pausas? ¿desplazamientos? Cada finalidad adicional requiere su propia justificación.
Selecciona el método de fichaje más proporcional para esa finalidad. Para equipos de oficina, un fichaje por PIN o tarjeta es generalmente suficiente. La biometría o el GPS solo se justifican cuando existen razones específicas que los hagan necesarios. Puedes ampliar esta perspectiva en el artículo Biometría y fichaje: por qué la AEPD recomienda evitarla.
Analiza si es necesaria una EIPD. Si el sistema implica datos biométricos, geolocalización continua o una evaluación sistemática de trabajadores a gran escala, la evaluación de impacto es obligatoria antes de implantarlo.
Redacta la cláusula informativa adaptada a ese sistema concreto (véase el modelo al final de este artículo).
Entrega la información a trabajadores y representantes antes de la puesta en marcha. Guarda acuse de recibo documental.
Configura los plazos de conservación en el propio sistema para que los datos se eliminen automáticamente transcurrido el plazo legal o el que hayas establecido en tu política de privacidad.
Restringe el acceso a los datos de fichaje: solo deben poder consultarlos quienes lo necesiten por razón de su función (RRHH, dirección, mánager directo para la gestión de la jornada de su equipo).
Revisa el sistema cuando cambies de proveedor, amplíes sus funciones o se produzcan cambios normativos relevantes.

Si tu empresa opera en varios sectores o cuenta con colectivos con particularidades específicas (teletrabajadores, trabajadores a tiempo parcial, trabajadores de construcción u hostelería), las exigencias pueden variar. Consulta los artículos de sectores de Tempika para ver las particularidades aplicables.

Modelo de cláusula informativa conforme al art. 22 para el protocolo de empresa

El siguiente modelo de cláusula informativa puede incorporarse al protocolo interno de control horario, al contrato de trabajo o a un documento específico de política de uso del sistema de fichaje. Debe adaptarse a cada empresa, sistema concreto y finalidades declaradas.

INFORMACIÓN SOBRE EL TRATAMIENTO DE DATOS EN EL SISTEMA DE REGISTRO DE JORNADA

Conforme al artículo 13 del Reglamento (UE) 2016/679 (RGPD) y al artículo 22 de la Ley Orgánica 3/2018 (LOPDGDD)

Responsable del tratamiento: [Razón social de la empresa] — [NIF] — [Dirección] — [Correo electrónico de contacto]

Delegado de Protección de Datos (si procede): [Nombre o correo electrónico del DPD]

Finalidad: Gestión del registro obligatorio de la jornada laboral, conforme al artículo 34.9 del Estatuto de los Trabajadores. Los datos recogidos son: fecha, hora de inicio y fin de la jornada, y [indicar si se recogen pausas / localización puntual / dispositivo empleado].

Base de legitimación: Artículo 6.1.c RGPD (cumplimiento de una obligación legal impuesta al responsable del tratamiento).

Destinatarios: Los datos podrán ser comunicados a la Inspección de Trabajo y Seguridad Social en el marco de actuaciones de comprobación, y a asesores laborales y jurídicos bajo deber de confidencialidad. No se realizan transferencias internacionales de datos.

Plazo de conservación: Los registros de jornada se conservarán durante cuatro años, conforme al artículo 34.9 del Estatuto de los Trabajadores y al Criterio Técnico 101/2019 de la ITSS, y posteriormente serán destruidos de forma segura.

Derechos: Puede ejercer sus derechos de acceso, rectificación, supresión, oposición, limitación del tratamiento y portabilidad dirigiendo comunicación escrita al responsable del tratamiento en la dirección indicada, adjuntando copia de su documento de identidad. Tiene derecho a presentar una reclamación ante la Agencia Española de Protección de Datos (www.aepd.es).

[En caso de geolocalización añadir: Sobre la geolocalización: El sistema registra la posición GPS del dispositivo exclusivamente en el momento del fichaje de entrada y salida, con la finalidad de verificar la prestación de servicios en los centros de trabajo autorizados. No se realiza rastreo continuo de movimientos fuera de ese momento.]

Este modelo recoge los elementos mínimos exigidos por el artículo 13 RGPD y el artículo 22 LOPDGDD. La adaptación a cada caso concreto es imprescindible: un sistema que incorpora biometría, rastreo GPS continuo o control de actividad digital exige cláusulas más detalladas y, en muchos supuestos, una EIPD previa.

Preguntas frecuentes sobre el artículo 22 de la LOPDGDD

¿El artículo 22 LOPDGDD exige el consentimiento del trabajador para implantar un sistema de fichaje?

No. La base de legitimación habitual para el registro de jornada es el cumplimiento de una obligación legal (art. 6.1.c RGPD, en relación con el art. 34.9 ET). El consentimiento no es la base adecuada en el ámbito laboral para tratamientos vinculados a la ejecución del contrato o a obligaciones normativas, porque el desequilibrio de poder entre empleador y empleado hace que el consentimiento raramente sea libre. Lo que sí exige el artículo 22 LOPDGDD es la información previa, que no es lo mismo que el consentimiento.

¿Puede el empresario instalar cámaras sin decírselo a los trabajadores para investigar un robo concreto?

La jurisprudencia española —Sentencia del Tribunal Supremo de 31 de enero de 2017, rec. 3331/2015— ha admitido la validez de la videovigilancia oculta durante un periodo limitado de tiempo cuando existe una sospecha razonada y fundada de infracción grave, y cuando el sistema ha sido señalado de forma genérica (carteles que advierten de que las instalaciones están videovigiladas). Sin embargo, esta excepción es estricta, temporal y no ampara la videovigilancia encubierta sistemática como forma de control habitual.

¿Qué pasa si los representantes de los trabajadores no han sido informados antes de instalar el sistema?

La ausencia de información a los representantes puede constituir una infracción de la normativa laboral (art. 64 ET) y debilita la posición del empleador en caso de impugnación judicial del sistema. Además, si tampoco existe información individual al trabajador, el tratamiento puede carecer de transparencia suficiente conforme al artículo 5.1.a RGPD, lo que expone al responsable a una sanción de la AEPD.

¿El registro de jornada de cuatro años exige conservar también los datos de geolocalización durante ese periodo?

No necesariamente. El artículo 34.9 del Estatuto de los Trabajadores y la doctrina de la ITSS (Criterio Técnico 101/2019 de la ITSS) exigen conservar el registro de jornada (hora de entrada, salida y pausas) durante cuatro años. Si la geolocalización se usa únicamente para validar el fichaje en el momento del registro, la lógica del principio de minimización y la limitación del plazo de conservación (art. 5.1.e RGPD) aconsejan no mantener las coordenadas GPS durante los mismos cuatro años: el dato de localización puntual cumple su función en el momento del fichaje y puede no ser necesario conservarlo en la misma granularidad que el registro de tiempo.

¿Cómo afecta el art. 22 LOPDGDD a las empresas que usan un SaaS de fichaje como Tempika?

Cuando una empresa usa un software de terceros para gestionar el registro de jornada, el proveedor del software actúa como encargado del tratamiento (art. 28 RGPD). El responsable del tratamiento sigue siendo la empresa empleadora. Es la empresa la que debe cumplir las obligaciones del artículo 22 LOPDGDD —información, proporcionalidad, conservación—, mientras que el proveedor debe garantizar medidas técnicas y organizativas adecuadas. Los sistemas preparados para el cumplimiento normativo ofrecen configuración de plazos de borrado, exportación para inspecciones y documentación del tratamiento.

Si quieres conocer cómo Tempika gestiona la cadena de responsabilidades en materia de protección de datos, visita la página de funcionalidades del sistema de fichaje Tempika o consulta los planes y precios de Tempika.

Para saber más

Texto redactado por el Equipo Tempika con base en la Ley Orgánica 3/2018 (LOPDGDD), el Reglamento (UE) 2016/679 (RGPD), el Estatuto de los Trabajadores (RDLeg 2/2015), el Criterio Técnico 101/2019 de la ITSS y las guías y resoluciones públicas de la Agencia Española de Protección de Datos (AEPD). Este artículo tiene carácter informativo general y no sustituye al asesoramiento jurídico especializado.