RAT para el fichaje: guía y modelo descargable

El registro de actividades de tratamiento fichaje es el documento interno que el art. 30 del Reglamento General de Protección de Datos (RGPD) obliga a mantener a toda empresa que utilice un sistema de control horario. Sin él, la actividad de fichar queda sin respaldo documental ante la Agencia Española de Protección de Datos (AEPD) o ante cualquier auditoría de cumplimiento. En esta guía encontrarás qué campos exige la norma, cómo redactar la entrada correspondiente al fichaje y un modelo completo listo para adaptar.

Qué es el Registro de Actividades de Tratamiento (RAT) y quién lo lleva

El Registro de Actividades de Tratamiento (RAT) es un inventario interno de todos los tratamientos de datos personales que realiza una organización, tanto como responsable (quien decide los fines y los medios del tratamiento) como, en su caso, como encargado (quien trata datos por cuenta de otro). No es un documento público; la ley lo califica de interno y lo pone a disposición de la autoridad supervisora cuando esta lo solicita.

Lo lleva quien trata datos. En la práctica, para la actividad de fichaje:

La empresa actúa como responsable del tratamiento: decide que se va a registrar la jornada, con qué sistema, con qué finalidad y durante cuánto tiempo.
El proveedor del software de fichaje (p. ej. Tempika) actúa como encargado del tratamiento en la medida en que procesa datos de empleados por cuenta de la empresa. Este encargado debe mantener su propio RAT de encargado, que es independiente del RAT del responsable.

Ambos registros son exigibles. El del responsable es el que atañe directamente al departamento de RRHH o al delegado de protección de datos (DPO) de la empresa.

Base legal: art. 30 RGPD y directrices del Comité Europeo

El art. 30 del Reglamento (UE) 2016/679 (RGPD) establece los campos mínimos que debe contener el RAT. Para el responsable del tratamiento (apartado 1), son:

Campo exigido	Descripción resumida
Nombre y datos de contacto del responsable	Razón social, NIF, dirección, email de contacto
Nombre y datos de contacto del DPO (si procede)	Solo si existe obligación de nombrarlo (art. 37 RGPD)
Finalidades del tratamiento	Por qué se tratan esos datos
Descripción de las categorías de interesados	Quiénes son los afectados
Descripción de las categorías de datos	Qué datos se recogen
Destinatarios y categorías de destinatarios	A quién se ceden o comunican los datos
Transferencias internacionales (si las hay)	País destino y garantías
Plazos de supresión previstos	Cuánto tiempo se conservan
Descripción general de las medidas de seguridad	Técnicas y organizativas

El Comité Europeo de Protección de Datos (CEPD/EDPB), en sus directrices sobre el art. 30, aclara que el RAT no es un mero formalismo: debe reflejar fielmente el tratamiento real, mantenerse actualizado y estar disponible para la autoridad supervisora «previa solicitud» (considerando 82 RGPD). La AEPD, por su parte, ofrece una herramienta de RAT en su portal de cumplimiento que sigue exactamente estos campos.

Empresas obligadas a mantener el RAT

El art. 30.5 del RGPD establece una exención limitada para organizaciones con menos de 250 empleados, pero esa exención desaparece si concurre alguna de estas circunstancias:

El tratamiento puede entrañar un riesgo para los derechos y libertades de los interesados.
El tratamiento no es ocasional (es decir, se realiza de forma sistemática o recurrente).
El tratamiento incluye categorías especiales de datos (art. 9 del RGPD) o datos relativos a condenas e infracciones penales (art. 10 RGPD).

El fichaje de empleados es un tratamiento recurrente por naturaleza: se produce cada día laborable, de forma automatizada, para todos los trabajadores. Por tanto, prácticamente ninguna empresa que registre jornada está exenta de mantener el RAT, independientemente de su tamaño. La AEPD lo ha confirmado en múltiples resoluciones en las que ha apreciado la falta del RAT como circunstancia agravante de la infracción principal.

Conclusión práctica: Si tu empresa registra la jornada de sus empleados, necesita el RAT. El tamaño de la plantilla no elimina esta obligación en el contexto del control horario.

Actividad de tratamiento «control de presencia y registro de jornada»

Esta es la entrada central que debes incluir en tu RAT. A continuación se desarrolla campo a campo.

Finalidad del tratamiento

La finalidad principal es el cumplimiento de la obligación legal de registro de jornada prevista en el art. 34.9 del Estatuto de los Trabajadores (Real Decreto Legislativo 2/2015, de 23 de octubre), en la redacción dada por el Real Decreto-ley 8/2019, de 8 de marzo.

Pueden existir finalidades secundarias legítimas, siempre que sean compatibles con la principal y estén documentadas. Por ejemplo:

Gestión de nóminas y retribución variable: el registro de jornada permite calcular horas extraordinarias y complementarias.
Planificación de recursos humanos: organización de turnos y cuadrantes.
Defensa de reclamaciones laborales: conservación del registro para acreditar el tiempo trabajado ante la jurisdicción social o ante la Inspección de Trabajo y Seguridad Social (ITSS).

Cada finalidad secundaria debe tener su base jurídica propia. La gestión de nóminas se apoya en la ejecución del contrato (art. 6.1.b del RGPD); la defensa ante reclamaciones, en el interés legítimo (art. 6.1.f RGPD) o en el cumplimiento de una obligación legal.

Categorías de interesados y de datos

Interesados:

Empleados en activo con contrato de trabajo (tiempo completo, tiempo parcial, fijo, temporal, ETT).
Trabajadores en período de prueba.

No incluir en este apartado a autónomos sin relación laboral, a menos que la empresa haya establecido contractualmente un sistema de registro específico para ellos.

Categorías de datos recogidos:

Categoría de dato	Ejemplos concretos
Datos identificativos	Nombre y apellidos, número de empleado, DNI/NIE (para autenticación)
Datos de contacto	Email corporativo (para notificaciones del sistema)
Datos laborales	Centro de trabajo, departamento, turno asignado, categoría profesional
Datos de tiempo	Hora de entrada, hora de salida, pausas, horas extraordinarias, ausencias
Datos de localización (si aplica)	Coordenadas GPS en el momento del fichaje (solo si hay teletrabajo con geolocalización habilitada)
Datos de dispositivo	Dirección IP del dispositivo de fichaje, identificador del terminal (kiosko, app móvil)

Si el sistema utiliza datos biométricos (huella dactilar, reconocimiento facial) para identificar al empleado en el momento del fichaje, estos son categoría especial según el art. 9 del RGPD. Su tratamiento requiere una base jurídica reforzada (en España, el art. 9.2.b en relación con obligaciones laborales o, más restrictivamente, el consentimiento explícito), una Evaluación de Impacto en Protección de Datos (EIPD) previa obligatoria y, en muchos casos, consulta previa a la Agencia Española de Protección de Datos (AEPD). Tempika no utiliza biometría: la autenticación se realiza mediante PIN o credencial digital, lo que mantiene el tratamiento dentro de los datos ordinarios.

Si el sistema incluye geolocalización, consulta nuestra guía sobre geolocalización en el fichaje y qué es legal según el RGPD antes de incluirla en el RAT.

Destinatarios y terceros (asesorías, inspección)

El RAT debe listar a quién se comunican los datos y en qué condiciones. Para el fichaje, los destinatarios habituales son:

Asesoría laboral o gestoría externa: accede a los registros de jornada para el cálculo de nóminas y la gestión de horas extraordinarias. Es un encargado del tratamiento que debe firmar el contrato de encargo de tratamiento exigido por el art. 28 del RGPD antes de acceder a los datos.
Proveedor del software de fichaje: como se indicó, actúa como encargado. El contrato de encargo (DPA, Data Processing Agreement) debe estar en vigor y documentado en el RAT.
Inspección de Trabajo y Seguridad Social (ITSS): no es un destinatario habitual, sino una autoridad competente que puede solicitar los registros en el marco de una actuación inspectora. Se enmarca en el art. 6.1.c del RGPD (cumplimiento de obligación legal). No requiere acuerdo de encargo.
Juzgado de lo Social o Tribunales: en caso de litigio laboral. También se trata de una comunicación amparada por el art. 6.1.c del RGPD.
Representantes de los trabajadores (comité de empresa, delegados de personal): el art. 64 ET les otorga derechos de información que pueden alcanzar a los cuadrantes y a los datos agregados de jornada, pero no a los registros individuales sin causa justificada.

Indicar en el RAT si hay transferencias internacionales. Si el proveedor aloja los datos en servidores fuera del Espacio Económico Europeo (EEE), debe indicarse el país destino y la garantía adecuada (decisión de adecuación, cláusulas contractuales tipo aprobadas por la Comisión Europea, etc.).

Plazos de supresión

El art. 34.9 del Estatuto de los Trabajadores, en su redacción vigente, exige conservar el registro de jornada durante cuatro años, a disposición de los trabajadores, de sus representantes legales y de la ITSS. Este es el plazo mínimo legal y, por tanto, el plazo de conservación base que debes declarar en el RAT.

Plazos adicionales a tener en cuenta:

Normativa	Plazo	Dato afectado
Art. 34.9 ET	4 años	Registro de jornada completo
Art. 59.1 ET (prescripción acción laboral)	1 año (prescripción general acción salarial)	Relevante para defensa en juicio
Art. 66 LGT	4 años	Si hay implicaciones fiscales (IRPF empleado)
Plazos de Seguridad Social	4 años (art. 21.1 del TRLGSS, RDLeg 8/2015)	Cotizaciones vinculadas a jornada

La práctica más segura es alinear todos los plazos en cuatro años desde la extinción del contrato, salvo que exista un procedimiento judicial en curso, en cuyo caso la conservación se prolonga hasta la firmeza de la sentencia.

Para un análisis detallado de este punto, consulta nuestra guía sobre conservación del registro de jornada durante cuatro años.

Medidas técnicas y organizativas de seguridad

El art. 32 del RGPD exige implementar medidas «apropiadas» al nivel de riesgo. Para el tratamiento de fichaje, el RAT debe mencionar, al menos, las siguientes:

Medidas técnicas:

Cifrado de los datos en tránsito (TLS 1.2 mínimo) y en reposo.
Control de acceso basado en roles: solo el personal de RRHH autorizado puede consultar registros individuales; los mandos intermedios acceden únicamente a los datos de su equipo.
Registro de auditoría (audit log) de quién ha accedido, modificado o exportado registros de jornada, con sellado de tiempo.
Copias de seguridad periódicas con prueba de restauración.
Pseudonimización o disociación de los datos para análisis agregados.

Medidas organizativas:

Contrato de encargo de tratamiento en vigor con el proveedor de software y con la asesoría laboral.
Cláusula informativa en el contrato de trabajo o en el convenio de empresa (art. 13 del RGPD).
Política interna de acceso a los datos de fichaje, accesible al personal de RRHH.
Procedimiento de respuesta a solicitudes de derechos de los interesados (acceso, rectificación, supresión, limitación, portabilidad).
Formación anual del personal de RRHH que gestiona el sistema.

Diferencia entre el RAT y la política de privacidad

Es un error frecuente confundir el RAT con la política de privacidad o con el aviso legal. Son documentos con funciones y destinatarios distintos:

Característica	RAT (art. 30 RGPD)	Política de privacidad / cláusula informativa (arts. 13-14 RGPD)
Destinatario	Interno (responsable, DPO, autoridad supervisora)	Externo (los propios interesados)
Finalidad	Inventariar y documentar los tratamientos	Informar a los afectados de cómo se tratan sus datos
Obligatoriedad de publicarlo	No: es documento interno	Sí: debe ser accesible para los interesados
Nivel de detalle técnico	Alto (medidas de seguridad, plazos exactos, encargados)	Adaptado al ciudadano (lenguaje comprensible)
Actualización	Continua, ante cualquier cambio en el tratamiento	Cuando cambia algún elemento informado

La cláusula informativa que debe recibir el empleado al iniciarse el registro de jornada (normalmente incluida en el contrato de trabajo o comunicada por escrito en el momento de implantar el sistema) es un documento diferente al RAT, aunque ambos deben ser coherentes entre sí. La obligación de informar al interesado cuando sus datos se obtienen de él directamente se recoge en el art. 13 del RGPD.

Cuándo actualizar la actividad de fichaje en el RAT

El RAT no es un documento estático. Debe revisarse y actualizarse cada vez que cambie alguno de los elementos del tratamiento. Los supuestos más habituales en el ámbito del fichaje son:

Cambio de proveedor de software: nuevo encargado del tratamiento, nuevo DPA, posiblemente nuevas transferencias internacionales.
Incorporación de nuevas funcionalidades: si el sistema añade geolocalización, reconocimiento facial u otras tecnologías que amplíen las categorías de datos recogidos.
Cambio en los plazos de conservación: p. ej., por modificación legislativa.
Cambio en los destinatarios: nueva asesoría externa, integración con un nuevo sistema de nóminas.
Apertura de nuevos centros de trabajo: si implica nuevos encargados o responsables conjuntos.
Modificación de las medidas de seguridad: actualización significativa de la arquitectura técnica.
Resultado de la EIPD o de una auditoría interna: si se identifican riesgos que obligan a revisar el tratamiento.

La AEPD recomienda realizar una revisión formal del RAT al menos una vez al año, aunque sea para constatar que no ha habido cambios y dejar registro de la revisión con fecha y firma del responsable o del DPO.

Modelo descargable de actividad de tratamiento para el fichaje

El siguiente modelo sigue los campos del art. 30 RGPD y las recomendaciones de la AEPD. Está pensado para ser incorporado como una entrada más del RAT general de la empresa. Adapta los datos en negrita a tu organización.

REGISTRO DE ACTIVIDADES DE TRATAMIENTO

Actividad: Control de presencia y registro de jornada laboral

Campo	Contenido
Identificador interno	RAT-RRHH-001
Fecha de alta	[DD/MM/AAAA]
Fecha de última revisión	[DD/MM/AAAA]
Responsable del tratamiento	[Razón social de la empresa], NIF [NIF], [dirección], [email de contacto]
Delegado de Protección de Datos (si procede)	[Nombre], [email] / No aplica
Nombre de la actividad	Control de presencia y registro de jornada laboral
Finalidad principal	Cumplimiento de la obligación legal de registro diario de jornada (art. 34.9 ET, redacción dada por el RDL 8/2019)
Finalidades secundarias	Cálculo de nómina y horas extraordinarias; planificación de turnos; defensa ante reclamaciones laborales
Base jurídica principal	Art. 6.1.c RGPD: cumplimiento de obligación legal
Bases jurídicas secundarias	Art. 6.1.b RGPD (ejecución del contrato de trabajo) para cálculo de retribución; art. 6.1.f RGPD (interés legítimo) para defensa en juicio
Categorías de interesados	Empleados en activo con contrato de trabajo (tiempo completo y parcial, fijos y temporales, ETT)
Categorías de datos	Identificativos (nombre, nº empleado, DNI/NIE); laborales (centro, departamento, turno); temporales (hora entrada/salida, pausas, horas extra); dispositivo (IP, ID terminal)
¿Incluye categorías especiales (art. 9 RGPD)?	No (si se usa biometría, cambiar a «Sí» y completar la EIPD)
Encargados del tratamiento	[Nombre del proveedor de software de fichaje], [país de alojamiento], DPA firmado en fecha [fecha]; [Nombre de la asesoría laboral], DPA firmado en fecha [fecha]
Transferencias internacionales	No / Sí: destino [país], garantía: [decisión de adecuación / cláusulas contractuales tipo]
Destinatarios (comunicaciones)	ITSS (previa solicitud en actuación inspectora, art. 6.1.c RGPD); Juzgado de lo Social (en caso de litigio, art. 6.1.c RGPD)
Plazo de supresión	4 años desde la extinción del contrato de trabajo (art. 34.9 ET). Si existe procedimiento judicial, hasta firmeza de la sentencia
Medidas de seguridad técnicas	Cifrado TLS en tránsito y AES-256 en reposo; control de acceso por roles; registro de auditoría inmutable con sellado de tiempo; copias de seguridad diarias con prueba de restauración
Medidas de seguridad organizativas	DPA en vigor con encargados; cláusula informativa en contrato de trabajo; política interna de acceso; procedimiento de derechos ARSLOP; formación anual del personal de RRHH
EIPD realizada	No (tratamiento ordinario sin riesgo elevado) / Sí, fecha [fecha], resultado [aprobado/pendiente de consulta previa]
Observaciones	[Cualquier particularidad relevante]

Nota sobre la EIPD: Si tu sistema de fichaje utiliza geolocalización sistemática o cualquier forma de vigilancia continua del comportamiento, el tratamiento puede requerir una Evaluación de Impacto en Protección de Datos previa (art. 35 RGPD). Consulta nuestra guía completa sobre cómo hacer la EIPD para el sistema de fichaje.

Cómo un DPO externo debe revisar el RAT del fichaje

Las empresas con DPO externo (o con asesoría especializada en protección de datos) deben incluir la revisión del RAT del fichaje en el calendario anual de cumplimiento. Estas son las verificaciones clave:

1. Coherencia entre el RAT y el tratamiento real

El DPO debe contrastar que los datos declarados en el RAT se corresponden con los que el sistema recoge efectivamente. Una forma práctica es solicitar al proveedor un informe de los tipos de datos que se almacenan en la plataforma y compararlo campo a campo con el RAT.

2. Vigencia de los contratos de encargo

Verificar que el DPA con el proveedor de software y con la asesoría laboral esté en vigor y refleje la versión actual de las cláusulas contractuales tipo de la Comisión Europea (Decisión de Ejecución (UE) 2021/914), en el marco del art. 28 del RGPD.

3. Adecuación de los plazos de supresión

Confirmar que los datos de empleados que han causado baja se eliminan o bloquean en el sistema al vencer el plazo de cuatro años. Si el proveedor no ofrece esta funcionalidad automática, establecer un procedimiento manual revisado cada seis meses.

4. Actualización ante cambios normativos

La normativa laboral española está en proceso de reforma. El borrador de la nueva Ley de Registro Horario Digital, en tramitación parlamentaria, podría modificar los requisitos técnicos del registro de jornada y, con ello, las categorías de datos o los plazos. El DPO debe hacer seguimiento de estos cambios y actualizar el RAT tan pronto como la norma sea aprobada y publicada en el BOE. Consulta nuestra página sobre la ley de registro horario digital para seguir la evolución del proyecto normativo.

5. Integración con la EIPD (si procede)

Si en la última revisión de la EIPD se identificaron medidas adicionales de seguridad o se modificó la descripción del tratamiento, estas modificaciones deben trasladarse al RAT. La obligación de realizar la EIPD cuando el tratamiento pueda entrañar un alto riesgo está recogida en el art. 35 del RGPD.

6. Derechos ejercidos por trabajadores

El DPO debe registrar en el propio expediente de cumplimiento las solicitudes de derechos (acceso, rectificación, supresión, oposición, portabilidad, limitación) recibidas en relación con el fichaje y los plazos de respuesta, para acreditar ante la AEPD que el sistema de respuesta funciona correctamente.

Preguntas frecuentes sobre el RAT y el fichaje

¿Estoy obligado a tener el RAT si tengo menos de 250 empleados?

En la práctica, sí. La exención del art. 30.5 RGPD para empresas de menos de 250 empleados no se aplica a tratamientos recurrentes ni a los que puedan entrañar riesgo para los derechos de los interesados. El fichaje es un tratamiento recurrente (diario y sistemático) por definición, por lo que la exención no opera. Así lo ha confirmado la AEPD en varias resoluciones.

¿El RAT del fichaje es lo mismo que la política de privacidad de mi empresa?

No. Son documentos distintos con destinatarios diferentes. El RAT es un documento interno de gestión del cumplimiento, que la autoridad supervisora puede solicitar en cualquier momento. La política de privacidad o la cláusula informativa está dirigida a los propios trabajadores para informarles de cómo se tratan sus datos. Ambos deben existir y ser coherentes entre sí, pero no se sustituyen mutuamente.

¿Tiene que firmar el RAT del fichaje el proveedor de software?

No el RAT en sí, pero sí el contrato de encargo del tratamiento (DPA). El RAT menciona al proveedor como encargado y debe hacer referencia a la existencia del DPA. Es el DPA el que contiene las obligaciones específicas del encargado (art. 28 RGPD).

¿Qué pasa si la AEPD me pide el RAT y no lo tengo?

La ausencia del RAT es una infracción del art. 30 del Reglamento General de Protección de Datos, tipificada como grave en el art. 83.4 del propio RGPD, con multas de hasta 10.000.000 € o el 2 % del volumen de negocio anual global. En el caso de pymes, la cuantía real suele ser muy inferior, pero la AEPD puede sancionar desde el primer requerimiento incumplido. Además, la falta del RAT agrava la valoración de otras infracciones que se detecten en la misma actuación.

¿Cuánto tiempo debo conservar los propios documentos del RAT (no los fichajes)?

El RGPD no establece un plazo específico para conservar el RAT como documento en sí. La práctica recomendada por la AEPD es conservar las versiones históricas del RAT de forma indefinida (o al menos durante el plazo de prescripción de las infracciones administrativas, que puede alcanzar los tres años), para poder acreditar el estado del cumplimiento en fechas pasadas si fuera necesario.

Comprueba si tu sistema de fichaje facilita el cumplimiento del RAT

Un sistema de fichaje bien diseñado reduce la carga de cumplimiento del RGPD porque proporciona documentación técnica verificable: registros inmutables con sellado de tiempo, control de acceso por roles auditado y contratos de encargo preparados para firmar. Si quieres comprobar cómo Tempika facilita esta documentación, consulta la descripción completa de la plataforma Tempika o revisa los derechos del trabajador sobre sus datos de fichaje para entender el marco completo.

Para empresas que están evaluando alternativas a su herramienta actual, la sección de controles de cumplimiento normativo de Tempika detalla la documentación que incluye la plataforma de serie.

Artículo elaborado por el Equipo Tempika con base en el RGPD (Reglamento (UE) 2016/679), el Real Decreto Legislativo 2/2015 (ET), el Real Decreto-ley 8/2019, la Ley Orgánica 3/2018 (LOPDGDD) y las directrices publicadas por la Agencia Española de Protección de Datos (AEPD) y el Comité Europeo de Protección de Datos (EDPB). Este artículo tiene carácter informativo y no constituye asesoramiento jurídico. Consulta a tu DPO o asesor legal para adaptar el modelo a las circunstancias concretas de tu organización.