Derechos del trabajador sobre sus datos de fichaje y el RGPD

Cada vez que un empleado ficha —al entrar, al salir, al registrar una pausa—, genera datos personales. Fecha, hora, lugar, dispositivo: todos son datos que el RGPD protege y sobre los que el trabajador tiene derechos concretos. Sin embargo, en la práctica, muy pocos empleados saben qué pueden pedir, cuándo pueden pedirlo y qué tiene que responder la empresa.

Este artículo explica, de forma práctica y con base en la normativa vigente, los derechos del trabajador sobre sus datos de fichaje bajo el RGPD: qué información debe recibir antes de empezar a fichar, cómo solicitar el historial de registros, qué sucede cuando hay un error, cuándo puede pedir que se borren sus datos y qué hacer si la empresa no responde.

Marco legal: RGPD y LOPDGDD en la relación laboral

El registro de jornada genera datos personales de los trabajadores. Esa afirmación, que puede parecer obvia, tiene consecuencias jurídicas precisas: la empresa actúa como responsable del tratamiento y el empleado es el interesado, en el sentido del artículo 4 del Reglamento General de Protección de Datos (RGPD, Reglamento UE 2016/679).

El RGPD no distingue si la relación entre responsable e interesado es laboral o de otro tipo. Los derechos del interesado —acceso, rectificación, supresión, limitación, portabilidad y oposición— se aplican en el contexto laboral exactamente igual que en cualquier otro. La particularidad es que la relación de empleo introduce tensiones específicas: la empresa tiene la obligación legal de conservar los registros durante cuatro años (conforme a la interpretación del art. 34.9 del Estatuto de los Trabajadores y el Criterio Técnico 101/2019 de la ITSS), y esa obligación puede limitar o condicionar algunos de los derechos del trabajador, especialmente el de supresión.

En España, la Ley Orgánica de Protección de Datos y Garantía de los Derechos Digitales (LOPDGDD, LO 3/2018) complementa el RGPD con disposiciones específicas para el ámbito laboral. El artículo 87 LOPDGDD regula el derecho a la intimidad en el uso de dispositivos digitales en el trabajo. El artículo 88 reconoce el derecho a la desconexión digital. El artículo 89 regula la videovigilancia. Aunque ninguno de estos artículos trata el fichaje de forma explícita, el principio subyacente es el mismo: el trabajador conserva sus derechos fundamentales durante la relación laboral, incluido el control sobre sus datos personales.

La Agencia Española de Protección de Datos (AEPD) es la autoridad de control competente para supervisar el cumplimiento de estas normas y resolver las reclamaciones de los trabajadores frente a sus empleadores. Puedes consultar la normativa completa sobre registro de jornada en nuestra guía Ley de registro horario digital: qué obliga hoy.

Información que debe recibir el trabajador antes de empezar a fichar (art. 13 RGPD)

El artículo 13 del RGPD establece que el responsable del tratamiento —en este caso, la empresa— debe facilitar al trabajador información clara y completa antes de que sus datos empiecen a tratarse. No al incorporarse al puesto en general: específicamente antes de que el sistema de registro de jornada comience a capturar sus datos.

Esta información debe incluir, como mínimo:

Elemento obligatorio	Contenido concreto para el fichaje
Identidad y datos de contacto del responsable	Razón social, NIF, domicilio y, si existe, correo del DPD
Finalidad del tratamiento	Cumplir la obligación del art. 34.9 ET: acreditar la jornada diaria de cada trabajador
Base jurídica	Obligación legal (art. 6.1.c RGPD) para el registro básico; interés legítimo (art. 6.1.f) para funciones de control adicionales
Plazo de conservación	Cuatro años, conforme a la prescripción de infracciones laborales
Destinatarios o categorías de destinatarios	Inspección de Trabajo (si requiere acceso), asesoría laboral, gestoría externa
Existencia de transferencias internacionales (si las hay)	Solo si el proveedor del software almacena datos fuera del EEE
Derechos del interesado y cómo ejercerlos	Acceso, rectificación, supresión, limitación, portabilidad, oposición y reclamación ante la AEPD
Datos de contacto del Delegado de Protección de Datos (si existe)	Obligatorio en empresas que deben designar DPD; recomendable en las demás

Esta información suele entregarse mediante una cláusula informativa adjunta al contrato de trabajo, incluida en el manual del empleado o disponible en la intranet corporativa. Lo importante no es el soporte, sino que el trabajador la haya recibido efectivamente y que exista constancia de ello.

Un error frecuente es entregar la información de forma genérica, sin mencionar el sistema de fichaje específico o sin indicar qué datos concretos se capturan (solo hora de entrada/salida, o también localización GPS, o también el terminal desde el que se ficha). Cuanto más específica es la información, más difícil resulta cuestionarla.

Al final de este artículo encontrarás un modelo de cláusula informativa que puedes adaptar.

Derecho de acceso: cómo solicitar el historial de fichajes

El derecho de acceso (art. 15 del RGPD) permite al trabajador solicitar a la empresa una copia de todos los datos personales que se están tratando sobre él, incluido el historial completo de sus registros de jornada.

Qué puede pedir exactamente

El trabajador tiene derecho a recibir:

Confirmación de si se están tratando o no datos suyos.
Copia de los datos (el historial de fichajes: fecha, hora de entrada, hora de salida, pausas, terminal, ubicación si se captura).
Información sobre las finalidades, las categorías de datos, los destinatarios y los plazos de conservación.
Información sobre si existe toma de decisiones automatizada y, en su caso, la lógica aplicada.

Cómo ejercer el acceso en la práctica

El trabajador presenta una solicitud escrita al responsable del tratamiento (el empleador). No existe un formulario obligatorio: una carta o un correo electrónico son suficientes si identifican al solicitante y especifican el derecho que se ejerce. Muchos sistemas modernos de fichaje —como Tempika— ofrecen un portal del empleado donde el propio trabajador puede descargarse en cualquier momento su historial sin necesidad de solicitud formal.

Qué debe hacer la empresa

El empleador tiene un mes para responder (art. 12.3 del RGPD). Si la solicitud es compleja o numerosa, puede prorrogar el plazo otros dos meses, siempre que informe al trabajador del motivo dentro del primer mes.

La respuesta debe ser gratuita (art. 12.5 del RGPD). Solo si las solicitudes son manifiestamente excesivas o repetitivas puede la empresa cobrar una tasa razonable o negarse a actuar, pero debe justificarlo.

Derecho de rectificación: errores en los registros

El derecho de rectificación (art. 16 del RGPD) permite al trabajador corregir datos inexactos o completar datos incompletos. En el contexto del fichaje, los errores más habituales son:

Fichajes no registrados: el sistema no capturó la entrada o la salida (fallo técnico, pérdida de cobertura, error de sincronización).
Fichajes erróneos: se registró una hora incorrecta por un problema en el dispositivo o en la sincronización del servidor.
Fichajes duplicados: el sistema generó dos registros para el mismo evento.
Datos de perfil incorrectos: nombre mal escrito, centro de trabajo asignado incorrectamente, cuadrante equivocado.

Cómo funciona la rectificación

El trabajador comunica el error por escrito —o a través del portal del empleado si existe esa funcionalidad— y aporta, si puede, evidencia de la discrepancia (mensaje de WhatsApp al responsable indicando la hora real, correo de ese día, testigo). La empresa tiene un mes para resolver.

Un punto importante: la rectificación del dato en el sistema de fichaje no implica automáticamente que cambie el cómputo de horas en la nómina. Si el error ha generado una incidencia retributiva, la rectificación del registro es el primer paso, pero habrá que tramitar también la corrección en el departamento de RRHH o de gestión laboral.

Lo que distingue un buen sistema de uno mediocre

Un sistema de fichaje bien diseñado deja trazabilidad de las correcciones: qué dato se modificó, cuándo, quién lo modificó y por qué. Esa trazabilidad es útil tanto para el trabajador (puede comprobar que la rectificación se aplicó) como para la empresa (puede demostrar que actuó de buena fe ante una inspección o una reclamación). El sistema no debe permitir modificar registros sin dejar rastro —práctica que podría constituir una alteración ilícita de los datos conforme al art. 34.9 ET.

Derecho de supresión: límites en el contexto laboral

El derecho de supresión (art. 17 del RGPD), conocido coloquialmente como «derecho al olvido», permite al trabajador solicitar que se borren sus datos cuando ya no son necesarios para la finalidad para la que se recogieron, cuando retira el consentimiento (si era la base jurídica), o en otros supuestos tasados.

Por qué este derecho tiene límites importantes en el fichaje

El artículo 17.3 del RGPD establece que el derecho de supresión no se aplica cuando el tratamiento es necesario para el cumplimiento de una obligación legal. Y aquí está la clave: la empresa tiene la obligación legal de conservar los registros de jornada durante cuatro años (interpretación del art. 34.9 del Estatuto de los Trabajadores en relación con el plazo sancionador de la LISOS (RDLeg 5/2000)).

Esto significa que un trabajador no puede solicitar que se borren sus fichajes mientras esté vigente la relación laboral ni durante los cuatro años posteriores a su extinción. La empresa estaría incumpliendo su obligación legal si accediera a esa solicitud.

Sin embargo, el derecho de supresión sí puede ejercerse respecto a:

Datos auxiliares no obligatorios capturados durante el fichaje pero que exceden la finalidad del registro de jornada (por ejemplo, fotografías tomadas al fichar si no son necesarias para el control de presencia, datos de geolocalización una vez transcurrido el plazo de conservación necesario para cada finalidad específica).
Datos del sistema no relacionados con el registro obligatorio (preferencias de notificación, datos de perfil no necesarios, etc.).
Datos de ex-empleados una vez transcurridos los cuatro años de conservación obligatoria.

Derecho de limitación del tratamiento

El derecho de limitación (art. 18 del RGPD) permite al trabajador solicitar que sus datos se «congelen»: no se suprimen, pero tampoco se usan para ningún fin más allá de la mera conservación. Es un derecho intermedio entre el acceso y la supresión.

En el contexto del fichaje, este derecho procede cuando:

El trabajador impugna la exactitud de los datos (mientras la empresa verifica si son correctos).
El tratamiento es ilícito pero el trabajador prefiere la limitación a la supresión (por ejemplo, quiere conservar los datos como prueba en un litigio laboral).
La empresa ya no necesita los datos para la finalidad original, pero el trabajador los necesita para el ejercicio o defensa de reclamaciones.
El trabajador se ha opuesto al tratamiento (art. 21 del RGPD) y está pendiente la verificación de si los motivos legítimos del responsable prevalecen.

La limitación es especialmente relevante cuando existe un conflicto laboral en curso: el trabajador puede solicitar que sus registros de jornada queden congelados para usarlos como prueba, impidiendo que la empresa los modifique o suprima mientras dure el procedimiento.

Derecho de portabilidad: ¿aplica al fichaje?

El derecho de portabilidad (art. 20 del RGPD) permite recibir los datos en un formato estructurado, de uso común y lectura mecánica, y transmitirlos a otro responsable. Es el derecho más ligado al entorno digital y uno de los que más interés genera en el contexto del fichaje.

Cuándo aplica y cuándo no

El derecho de portabilidad solo se activa cuando se cumplen dos condiciones simultáneamente:

El tratamiento se basa en el consentimiento (art. 6.1.a o 9.2.a del RGPD) o en la ejecución de un contrato (art. 6.1.b).
El tratamiento se efectúa por medios automatizados.

El fichaje laboral se basa habitualmente en el cumplimiento de una obligación legal (art. 6.1.c del RGPD), no en el consentimiento ni en el contrato. Por tanto, en la mayoría de los casos, el derecho de portabilidad no es aplicable al historial de registros de jornada en sentido estricto.

Sin embargo, en la práctica existe un mecanismo equivalente: el trabajador puede ejercer el derecho de acceso (art. 15 del RGPD) y solicitar una copia en formato electrónico legible. La mayoría de los sistemas modernos permiten exportar el historial en CSV o PDF, lo que cubre la necesidad práctica del trabajador aunque no sea técnicamente el derecho de portabilidad.

Portabilidad real en sistemas bien diseñados

Aunque el derecho de portabilidad stricto sensu no aplique, los sistemas de control horario de calidad ofrecen exportación libre del historial del empleado porque:

El trabajador puede necesitarlo para demostrar ante un tribunal que trabajó más horas de las declaradas.
Puede querer comparar los registros con los recibos de nómina.
Puede incorporarse a otro empleador y querer acreditar su historial de puntualidad o asistencia.

Desde el portal del empleado de Tempika, el trabajador puede descargar en cualquier momento su historial completo en formato CSV o PDF, sin necesidad de solicitud formal y sin depender del departamento de RRHH.

Plazos de respuesta del empleador ante una solicitud de derechos

Conocer los plazos es fundamental para saber cuándo una empresa ha incumplido y cuándo todavía está dentro de los términos legales.

Situación	Plazo
Respuesta ordinaria	1 mes desde la recepción de la solicitud (art. 12.3 del RGPD)
Prórroga justificada	Hasta 2 meses adicionales (total: 3 meses), informando al solicitante dentro del primer mes
Solicitud incompleta	La empresa puede pedir la información necesaria para identificar al solicitante; el plazo se suspende hasta que se aporta
Solicitudes manifiestamente infundadas o excesivas	La empresa puede cobrar una tasa razonable o negarse, pero debe justificarlo por escrito

El incumplimiento del plazo es en sí mismo una infracción del RGPD. El trabajador no tiene que demostrar que sufrió un perjuicio concreto: el simple hecho de no haber recibido respuesta en el plazo legal es suficiente para presentar una reclamación ante la AEPD.

Un detalle práctico: la solicitud se puede presentar por cualquier medio que permita acreditar la recepción (correo electrónico con confirmación de lectura, carta certificada, entrega en mano con sello de recepción). Guardar esa constancia es esencial si más adelante hay que demostrar que el plazo empezó a correr.

Reclamación ante la AEPD si la empresa no responde

Si el empleador no atiende la solicitud en plazo, responde de forma insatisfactoria o deniega el ejercicio de un derecho sin justificación válida, el trabajador puede reclamar directamente ante la Agencia Española de Protección de Datos (AEPD).

Cómo presentar la reclamación

Sede electrónica de la AEPD (www.aepd.es): el canal habitual es el formulario de reclamación disponible en la web de la AEPD, accesible con certificado digital, cl@ve o incluso sin identificación en algunos procedimientos.
Documentación a aportar: copia de la solicitud presentada a la empresa, acreditación de su recepción, respuesta de la empresa (o constancia de la falta de respuesta), y cualquier otro documento relevante.
La AEPD investiga de oficio: una vez admitida la reclamación, la AEPD puede requerir información a la empresa, realizar actuaciones de investigación y, en su caso, abrir un procedimiento sancionador.

Régimen sancionador aplicable

Las infracciones relacionadas con el incumplimiento de los derechos de los interesados se clasifican como infracciones muy graves y se incardinan en el art. 83.5 del RGPD (vulneración de los derechos reconocidos en los artículos 12 a 22) y pueden suponer multas de hasta 20 millones de euros o el 4% del volumen de negocio mundial de la empresa (el importe que sea mayor). En la práctica, la AEPD tiene en cuenta el tamaño de la empresa, la buena fe y la subsanación, pero las sanciones a PYMEs por incumplimientos en materia de derechos de los interesados son una realidad documentada.

Además de la vía administrativa ante la AEPD, el trabajador puede acudir a los juzgados de lo social si el incumplimiento en materia de datos se conecta con un conflicto laboral (por ejemplo, si la empresa modificó irregularmente los registros para justificar un despido).

Cómo Tempika facilita el ejercicio de derechos desde el portal del empleado

Un sistema de fichaje bien diseñado no solo registra la jornada: también facilita al trabajador el ejercicio de sus derechos sin necesidad de que el departamento de RRHH actúe como intermediario en cada solicitud rutinaria.

En Tempika, el portal del empleado incorpora de forma nativa las siguientes funcionalidades orientadas al cumplimiento del RGPD:

Acceso autónomo al historial

Cada empleado puede consultar en tiempo real todos sus registros de jornada: fecha, hora de entrada, hora de salida, pausas, centro de trabajo y, si está activa, coordenada de geolocalización. No necesita pedir el historial al responsable de RRHH: está disponible desde la primera sesión.

Descarga en formato legible

El trabajador puede exportar su historial completo o un rango de fechas concreto en PDF o CSV. Este mecanismo cubre la necesidad práctica del derecho de acceso y, en los casos donde aplica, del derecho de portabilidad, sin requerir intervención manual del administrador.

Solicitud de rectificación integrada

Si el trabajador detecta un error en un registro, puede marcar el fichaje afectado y enviar una solicitud de corrección con notas explicativas directamente desde el portal. El responsable de RRHH recibe la solicitud, puede aprobarla o rechazarla con comentario, y el sistema conserva el rastro completo de la modificación: quién solicitó, quién aprobó, qué dato cambió y cuándo. Esta trazabilidad es determinista y verificable, no una función de inteligencia artificial.

Registro inmutable del historial

Cada fichaje genera un hash criptográfico encadenado con el registro anterior. Esto garantiza que el historial no puede alterarse retroactivamente sin que el sistema lo detecte. El trabajador —y la Inspección de Trabajo— pueden confiar en que lo que ven en el historial es lo que realmente ocurrió. Se trata de un mecanismo determinista de verificación, no de un sistema de aprendizaje automático.

Cláusula informativa accesible

La información exigida por el art. 13 RGPD está disponible de forma permanente en el portal del empleado, no solo durante el onboarding. El trabajador puede consultarla en cualquier momento sin necesidad de pedirla al departamento de RRHH.

Para ver en detalle cómo funciona el portal del empleado y las opciones de cumplimiento RGPD, visita la página de funcionalidades de Tempika o consulta nuestra guía de cumplimiento normativo del registro de jornada.

Modelo de cláusula informativa sobre el tratamiento de datos de fichaje

La siguiente cláusula es un modelo orientativo que las empresas pueden adaptar a su situación concreta. No sustituye al asesoramiento jurídico especializado. Antes de utilizarla, consulta con tu asesoría o con el Delegado de Protección de Datos si tu empresa tiene uno.

INFORMACIÓN SOBRE PROTECCIÓN DE DATOS — REGISTRO DE JORNADA

Responsable del tratamiento: [Denominación social de la empresa], [NIF], domicilio en [dirección completa]. Contacto DPD: [correo del DPD o, si no existe, del responsable de protección de datos designado].

Finalidad: Registrar la jornada laboral diaria de los trabajadores en cumplimiento del artículo 34.9 del Estatuto de los Trabajadores y la normativa de desarrollo aplicable.

Base jurídica: Cumplimiento de una obligación legal (art. 6.1.c del RGPD) derivada del art. 34.9 ET. En su caso, interés legítimo del empleador (art. 6.1.f del RGPD) para las funciones de control de presencia y prevención del fraude en el fichaje.

Datos tratados: Fecha, hora de entrada y salida de la jornada, pausas, identificador del empleado, terminal o dispositivo desde el que se registra el fichaje, y [si aplica] coordenada de geolocalización en el momento del fichaje.

Plazo de conservación: Cuatro años desde la fecha del registro, conforme al deber de conservación que establece el artículo 34.9 del Estatuto de los Trabajadores.

Destinatarios: Los registros pueden ser requeridos por la Inspección de Trabajo y Seguridad Social (ITSS) en el ejercicio de sus funciones de control. [Si aplica: también pueden acceder a los datos los encargados del tratamiento que prestan servicios de software de gestión de RRHH a la empresa, con los que se ha suscrito el correspondiente contrato de encargado del tratamiento conforme al art. 28 del RGPD.]

Transferencias internacionales: [Si no hay: No se prevén transferencias internacionales de datos. / Si las hay: Los datos pueden ser tratados en servidores ubicados en [país/región], amparados por [Decisión de adecuación / Cláusulas Contractuales Tipo / BCR].]

Derechos del trabajador: Puede ejercer los derechos de acceso, rectificación, supresión, limitación, portabilidad y oposición dirigiéndose por escrito a [dirección o correo del responsable], indicando el derecho que desea ejercer y adjuntando copia de su DNI o documento identificativo. Tiene derecho a presentar reclamación ante la Agencia Española de Protección de Datos (AEPD) si considera que el tratamiento vulnera sus derechos.

Esta cláusula debe entregarse antes del primer uso del sistema de fichaje y adaptarse cuando cambien las condiciones del tratamiento (nuevo proveedor, nueva finalidad, nueva categoría de datos).

Para una guía completa sobre cómo implantar el registro de jornada cumpliendo todos los requisitos legales vigentes, consulta nuestro artículo sobre qué debe incluir el registro de jornada según la normativa y nuestra guía de cumplimiento normativo del fichaje.

Preguntas frecuentes sobre los derechos del trabajador y el fichaje

¿Puede la empresa denegar mi solicitud de acceso al historial de fichajes?

La empresa puede denegar una solicitud de acceso únicamente en casos muy tasados: si la solicitud es manifiestamente infundada o excesiva (por ejemplo, solicitudes repetitivas y sin motivo), o si atender la solicitud requeriría revelar datos de terceros que no pueden disociarse (lo que en el contexto del fichaje individual es infrecuente). En todos los demás casos, está obligada a facilitar el historial en un plazo máximo de un mes. Si deniega sin justificación válida, el trabajador puede reclamar ante la AEPD.

¿Qué pasa con mis datos de fichaje cuando me voy de la empresa?

Los datos de registro de jornada deben conservarse durante cuatro años desde la fecha del registro, aunque la relación laboral haya terminado. Durante ese plazo, el trabajador conserva sus derechos de acceso y rectificación. Una vez transcurridos los cuatro años, la empresa debe suprimir o anonimizar los datos de forma irreversible. El ex-trabajador puede solicitar confirmación de que la supresión se ha llevado a cabo.

¿Tiene la empresa obligación de nombrar un Delegado de Protección de Datos (DPD) para gestionar los fichajes?

La obligación de designar DPD depende del tipo de empresa y del tratamiento que realice, no del hecho de usar un sistema de fichaje. El artículo 37 del RGPD y el artículo 34 de la LOPDGDD establecen los supuestos obligatorios: entidades públicas, empresas cuya actividad principal implique observación sistemática a gran escala de interesados o tratamiento a gran escala de categorías especiales. Muchas empresas no están obligadas, pero designar un DPD voluntariamente (interno o externo) es una buena práctica que facilita la gestión de solicitudes de derechos.

¿Puedo pedir que se rectifiquen fichajes incorrectos aunque ya hayan pasado meses?

Sí. El derecho de rectificación no tiene un plazo interno de caducidad: mientras los datos estén siendo tratados (es decir, durante los cuatro años de conservación), el trabajador puede solicitar la corrección de datos inexactos. La empresa tiene un mes para resolver. Eso sí, cuanto más tiempo haya pasado, más difícil puede resultar aportar evidencia de la hora real de entrada o salida, por lo que es recomendable reclamar las discrepancias cuanto antes.

¿Puede el trabajador oponerse a que sus datos de fichaje sean utilizados para evaluarle el rendimiento?

El derecho de oposición (art. 21 del RGPD) permite al trabajador oponerse a tratamientos basados en el interés legítimo del empleador. Si la empresa utiliza los datos del registro de jornada no solo para cumplir la obligación del art. 34.9 del ET sino también para evaluar el rendimiento, la productividad o la puntualidad, esa finalidad adicional tiene su propia base jurídica y el trabajador puede oponerse si tiene motivos relacionados con su situación particular. La empresa puede seguir tratando los datos si acredita motivos legítimos imperiosos que prevalezcan sobre los intereses del trabajador.

Conclusión: el fichaje genera datos y los datos generan derechos

El registro de jornada no es un proceso administrativo neutro: cada fichaje produce datos personales que el RGPD protege y sobre los que el trabajador tiene derechos concretos y exigibles. Conocerlos —y saber cómo ejercerlos— es tan importante para el empleado como para la empresa, que tiene la obligación de facilitar su ejercicio y de responder en plazo.

El ciclo completo es sencillo de resumir: la empresa informa antes de fichar (art. 13 del RGPD), conserva los registros durante cuatro años (art. 34.9 del ET), responde en un mes a las solicitudes de acceso, rectificación o limitación, y suprime los datos al vencer el plazo. El trabajador puede reclamar ante la AEPD en cualquier paso que se incumpla.

Si tu empresa está evaluando cómo implantar un sistema de fichaje que cumpla todos estos requisitos y facilite el ejercicio de derechos desde el primer día, consulta nuestra guía sobre biometría en el fichaje y sus alternativas según la AEPD y explora cómo Tempika está preparado para cumplir la normativa vigente en nuestra página de funcionalidades de Tempika.

¿Quieres ver cómo funciona el portal del empleado de Tempika y las funcionalidades de cumplimiento RGPD en la práctica? Consulta nuestros planes y precios o solicita una demostración.