Biometría en el fichaje: por qué la AEPD la frena

Cuando una empresa instala un lector de huella dactilar o de reconocimiento facial para que sus empleados fichen, está manipulando datos biométricos. No es un tecnicismo menor: el Reglamento General de Protección de Datos (RGPD) los clasifica en la categoría especial de mayor protección, y la Agencia Española de Protección de Datos (AEPD) ha publicado criterios tan restrictivos que la mayoría de empresas no pueden cumplirlos. El resultado práctico es sencillo: en el contexto laboral, usar biometría para controlar la presencia es un riesgo RGPD elevado que casi ninguna organización estándar debería asumir.

Este artículo explica por qué, qué dice exactamente la AEPD, por qué el consentimiento del trabajador no salva la situación, y qué alternativas ofrecen la misma fiabilidad sin heredar ese riesgo.

Por qué la huella o el rostro son datos de categoría especial (art. 9 RGPD)

El artículo 9 del RGPD prohíbe, como regla general, tratar datos que revelen el origen étnico, las opiniones políticas, los datos genéticos, los datos de salud… y los datos biométricos dirigidos a identificar de forma unívoca a una persona física. La huella dactilar y el reconocimiento facial encajan exactamente en esa definición.

¿Por qué merecen esta protección especial? Porque son inmutables. Si un atacante se hace con la plantilla de una huella, la persona afectada no puede cambiarse el dedo. A diferencia de una contraseña o un PIN, los datos biométricos no son revocables. Un incidente de seguridad con una base de datos de huellas es un daño permanente que no tiene solución técnica posterior.

Esto no significa que el uso de biometría sea siempre ilegal. El propio art. 9.2 del RGPD enumera excepciones: consentimiento explícito, necesidad en el ámbito del empleo cuando lo autorice el Derecho de la Unión o de los Estados miembros, o interés vital, entre otras. El problema, como veremos, es que en el contexto del fichaje laboral esas excepciones son muy difíciles de satisfacer.

El criterio restrictivo de la AEPD sobre biometría para control de presencia

La AEPD ha publicado orientaciones específicas sobre el uso de datos biométricos en el ámbito laboral. El hilo conductor de su doctrina es el principio de minimización de datos: si existe una alternativa menos intrusiva que permita alcanzar el mismo fin, el tratamiento biométrico no supera el test de necesidad.

El control de presencia —saber si un empleado ha entrado y salido a su hora— es un objetivo perfectamente alcanzable con sistemas que no implican datos de categoría especial: una tarjeta RFID, un código PIN, una aplicación en el móvil con verificación de cuenta o un kiosko con número de empleado. Frente a estas alternativas, la biometría no aporta una ventaja de seguridad que justifique el sobreriesgo normativo. La AEPD ha sido explícita: la comodidad o la rapidez del proceso no constituyen una necesidad que ampare el tratamiento de categoría especial.

Adicionalmente, cualquier tratamiento de categoría especial en el ámbito laboral requiere una Evaluación de Impacto en la Protección de Datos (EIPD) previa al despliegue, conforme al art. 35 del RGPD. Esta evaluación debe demostrar que el tratamiento es necesario, proporcional y que los riesgos residuales son aceptables. La AEPD puede —y en la práctica ha tendido a— cuestionar que esa necesidad exista cuando hay alternativas razonables disponibles. En consecuencia, superar la EIPD para el fichaje biométrico es un obstáculo real, no formal.

El consentimiento del trabajador no basta: la relación laboral lo condiciona

Una de las ideas más extendidas —y peligrosas— es que basta con que el empleado firme un consentimiento para que el tratamiento biométrico sea válido. No es así.

El RGPD exige, para que el consentimiento sea válido, que sea libre, específico, informado e inequívoco. La AEPD ha subrayado en múltiples resoluciones que la relación laboral genera un desequilibrio de poder estructural: el trabajador teme consecuencias si no consiente. Ese desequilibrio hace que, en la mayoría de los casos, el consentimiento prestado en el marco de la relación de empleo no sea genuinamente libre.

Esto no es solo teoría. El Comité Europeo de Protección de Datos (CEPD) lo ha recogido en sus directrices sobre el tratamiento de datos en el contexto laboral: en términos generales, el consentimiento no es una base jurídica apropiada para el tratamiento de datos de empleados, precisamente porque la libertad del consentimiento es difícil de garantizar.

¿Existe alguna salvaguarda alternativa en el Derecho español? El art. 9 RGPD permite el tratamiento de categoría especial «en el ámbito del Derecho laboral y de la seguridad y protección social, en la medida en que así lo autorice el Derecho de la Unión o de los Estados miembros». España no ha aprobado una norma sectorial que autorice expresamente el uso de biometría para el control horario. Sin esa norma habilitante específica, la base jurídica queda en el aire.

Alternativas igual de fiables sin biometría: PIN, tarjeta, app, kiosko

Rechazar la biometría no significa perder control ni aceptar fraude. Existen varias opciones técnicas que ofrecen una identificación suficientemente fiable para el fichaje laboral sin rozar los datos de categoría especial:

PIN personal o código numérico. Simple, universal, funciona sin smartphone. El inconveniente —que alguien comparta su PIN— se puede mitigar con alertas automáticas de anomalías (por ejemplo, varios fichajes simultáneos del mismo empleado desde terminales distintos).
Tarjeta RFID o NFC. Cada empleado lleva su tarjeta. La tarjeta puede desactivarse inmediatamente si se pierde. No trata ningún dato biométrico. Es el estándar en muchos sectores industriales y sanitarios.
App en el móvil corporativo o personal. El empleado ficha desde su dispositivo, identificado por su cuenta de usuario (login). Si se necesita geolocalización, aplica un régimen RGPD diferente y menos restrictivo, siempre que se cumplan las condiciones de la AEPD para el GPS (propósito específico, acotado a horario laboral, no seguimiento continuo). Puedes profundizar en este punto en nuestro artículo sobre geolocalización en el fichaje.
Kiosko con número de empleado. Ideal para centros de trabajo sin smartphone ni ordenador personal. El empleado introduce su número y un PIN de confirmación. El sistema registra hora, terminal y empleado sin ningún dato biométrico.

Ninguna de estas soluciones es perfecta —un PIN puede prestarse, una tarjeta puede olvidarse—, pero el nivel de fraude en el fichaje laboral en entornos con supervisión ordinaria es bajo, y el coste normativo de la biometría supera ampliamente cualquier ventaja marginal de seguridad.

Cómo demostrar identidad en el fichaje sin tratar datos biométricos

La objeción que más escuchamos es: «necesito saber que quien ficha es realmente esa persona». Es una preocupación legítima, especialmente en entornos con alta rotación, trabajo a turnos o múltiples centros. Pero demostrar identidad no exige biometría.

Un sistema de fichaje bien diseñado combina varios factores de baja intrusividad:

Algo que tienes: la tarjeta o el dispositivo móvil vinculado a tu cuenta.
Algo que sabes: el PIN o la contraseña de la app.
Contexto verificable: el terminal concreto desde el que se registra (que solo está en la planta de producción), la franja horaria esperada según el cuadrante, la ubicación si se consiente.

La combinación de estos factores genera un rastro verificable que puede presentarse ante la Inspección de Trabajo (ITSS) como evidencia del registro, sin tocar en ningún momento un dato de categoría especial. Desde Tempika, cada fichaje genera un hash encadenado que garantiza que el registro no ha sido alterado a posteriori —un mecanismo determinista y auditable, sin biometría ni inteligencia artificial—. Puedes ver cómo funciona en detalle en nuestra página de producto.

Qué exigir a tu proveedor para no heredar un riesgo AEPD

Si estás evaluando un nuevo sistema de control horario o estás revisando el que ya tienes, estas son las preguntas que debes hacerle a cualquier proveedor:

¿Tratáis datos biométricos en algún punto del proceso? Algunos sistemas afirman que «no guardan la huella», pero sí almacenan la plantilla matemática derivada de ella, que el RGPD también considera dato biométrico cuando sirve para identificar unívocamente a una persona.
¿Habéis realizado una EIPD para el módulo biométrico? Si la respuesta es no, el proveedor no cumple con el art. 35 RGPD.
¿Cuál es la base jurídica del tratamiento? Si dicen «consentimiento», ya sabes cuál es el problema.
¿Ofrecéis alternativas sin biometría que cubran el mismo caso de uso? Un proveedor serio debe poder proponerte una solución PIN/tarjeta/app con garantías equivalentes.
¿Dónde residen los datos y bajo qué régimen de acceso? Los datos del registro horario deben conservarse durante cuatro años según el art. 34.9 del Estatuto de los Trabajadores. Asegúrate de que el contrato con el proveedor garantiza esa conservación y la exportación en formato utilizable si decides cambiar de herramienta.

En Tempika hemos optado desde el primer día por diseñar el sistema sin ningún módulo biométrico, no como una restricción técnica, sino como una decisión de arquitectura. La razón es sencilla: el riesgo normativo no lo asume el proveedor, lo asume la empresa que trata los datos. Nuestro compromiso es que ese riesgo sea el más bajo posible desde el primer clic. Puedes consultar cómo abordamos el cumplimiento normativo completo en nuestra página de cumplimiento.

Conclusión: el cumplimiento sin biometría es más robusto, no menos

La biometría en el fichaje parece una solución técnicamente elegante, pero desde el punto de vista normativo introduce un riesgo desproporcionado para la mayoría de empresas españolas. La AEPD aplica criterios de necesidad estrictos, el consentimiento de los empleados no es una base jurídica sólida, y no existe una norma sectorial española que habilite expresamente este tratamiento para el control de presencia.

Las alternativas —PIN, tarjeta, app, kiosko— cubren el mismo objetivo de forma suficientemente fiable y sin tocar datos de categoría especial. Un registro de jornada que combine estas herramientas con un rastro inmutable y verificable cumple con el art. 34.9 del Estatuto de los Trabajadores, resiste una inspección de la ITSS y no genera una exposición AEPD evitable.

Si quieres entender qué exige hoy la normativa vigente sobre el registro de jornada —antes de que entre en vigor cualquier desarrollo reglamentario futuro—, te recomendamos nuestra guía completa: Ley de registro horario digital: qué obliga hoy.

¿Listo para implantar un control horario que no te complique la vida regulatoria? Consulta nuestros planes y precios o explora cómo funciona Tempika en la página de producto.