Tu proveedor de fichaje es encargado del tratamiento: qué firmar

Cuando una empresa contrata un software de fichaje, no está comprando solo una herramienta: está entregando a un tercero los datos de jornada de toda su plantilla. Esa entrega tiene nombre en el Reglamento General de Protección de Datos y tiene contrato obligatorio. La empresa sigue siendo responsable del tratamiento; el proveedor es encargado.

La confusión habitual es pensar que si los datos están en el servidor del proveedor, la responsabilidad también. No funciona así. Quien decide para qué se registran las horas y qué se hace con ellas es la empresa, y quien responde ante la plantilla y ante la autoridad de control es la empresa.

TL;DR

El artículo 28.3 del RGPD exige que el tratamiento por el encargado se rija por un contrato u otro acto jurídico que fije objeto, duración, naturaleza, finalidad, tipo de datos, categorías de interesados y obligaciones y derechos del responsable.

Ese contrato consta por escrito, inclusive en formato electrónico (artículo 28.9).

El encargado no puede recurrir a otro encargado sin autorización previa por escrito del responsable (artículo 28.2).

Al terminar el servicio, el encargado suprimirá o devolverá los datos a elección del responsable (artículo 28.3.g).

El artículo 33.2 de la LOPDGDD advierte: quien figurando como encargado use los datos para sus propias finalidades pasa a ser responsable.

Quién es quién

En un sistema de control horario el reparto es estable y conviene tenerlo claro antes de leer ninguna cláusula:

Papel	Quién lo ocupa	Qué decide
Responsable del tratamiento	La empresa empleadora	Por qué se registra, qué se registra, cuánto se conserva, quién accede
Encargado del tratamiento	El proveedor del software	Nada por su cuenta: trata siguiendo instrucciones documentadas
Subencargado	Proveedores del proveedor (alojamiento, correo, copias)	Lo que el encargado le encomiende, con las mismas obligaciones
Interesados	Las personas trabajadoras	Ejercen sus derechos frente al responsable

El artículo 33.1 de la LOPDGDD despeja una duda frecuente: «El acceso por parte de un encargado de tratamiento a los datos personales que resulten necesarios para la prestación de un servicio al responsable no se considerará comunicación de datos siempre que se cumpla lo establecido en el Reglamento (UE) 2016/679, en la presente ley orgánica y en sus normas de desarrollo». Es decir, contratar un software no es «ceder» los datos, siempre que el marco esté bien montado.

Lo que el artículo 28 exige que esté en el contrato

El artículo 28.3 del RGPD establece que el tratamiento por el encargado «se regirá por un contrato u otro acto jurídico con arreglo al Derecho de la Unión o de los Estados miembros, que vincule al encargado respecto del responsable y establezca el objeto, la duración, la naturaleza y la finalidad del tratamiento, el tipo de datos personales y categorías de interesados, y las obligaciones y derechos del responsable». Y estipula, en particular, que el encargado:

a) Tratará los datos únicamente siguiendo instrucciones documentadas del responsable, incluidas las transferencias a terceros países, salvo obligación legal, en cuyo caso deberá informar de esa exigencia antes del tratamiento salvo prohibición por razones importantes de interés público.

b) Garantizará el compromiso de confidencialidad de las personas autorizadas para tratar los datos, o su sujeción a una obligación de confidencialidad de naturaleza estatutaria.

c) Tomará todas las medidas necesarias de conformidad con el artículo 32 (seguridad del tratamiento).

d) Respetará las condiciones para recurrir a otro encargado, que son las de los apartados 2 y 4.

e) Asistirá al responsable con medidas técnicas y organizativas apropiadas para que pueda responder a las solicitudes de ejercicio de derechos de los interesados.

f) Ayudará al responsable a cumplir las obligaciones de los artículos 32 a 36, teniendo en cuenta la naturaleza del tratamiento y la información de que disponga.

g) A elección del responsable, suprimirá o devolverá todos los datos una vez finalice la prestación, y suprimirá las copias existentes salvo obligación legal de conservación.

h) Pondrá a disposición del responsable toda la información necesaria para demostrar el cumplimiento, y permitirá y contribuirá a auditorías, incluidas inspecciones, por el responsable o por otro auditor autorizado por él.

El párrafo final del apartado añade una obligación que se olvida al negociar: «el encargado informará inmediatamente al responsable si, en su opinión, una instrucción infringe el presente Reglamento u otras disposiciones en materia de protección de datos». Un proveedor que acepta cualquier instrucción sin decir nada no está cumpliendo esa letra.

Y el artículo 28.9 cierra la forma: «El contrato u otro acto jurídico a que se refieren los apartados 3 y 4 constará por escrito, inclusive en formato electrónico». Un acuerdo verbal no vale, y un correo con condiciones aceptadas sí puede valer si contiene el contenido exigido.

Los subencargados: la parte que nadie lee

Casi todo proveedor de software apoya su servicio en otros: alojamiento, copias de seguridad, envío de correo transaccional, mensajería. Todos ellos tratan datos de la plantilla del cliente. El artículo 28.2 es tajante:

«El encargado del tratamiento no recurrirá a otro encargado sin la autorización previa por escrito, específica o general, del responsable. En este último caso, el encargado informará al responsable de cualquier cambio previsto en la incorporación o sustitución de otros encargados, dando así al responsable la oportunidad de oponerse a dichos cambios.»

Y el 28.4 impone a esos subencargados «las mismas obligaciones de protección de datos» que las estipuladas entre responsable y encargado, con la advertencia de que «si ese otro encargado incumple sus obligaciones de protección de datos, el encargado inicial seguirá siendo plenamente responsable ante el responsable del tratamiento».

En la práctica, esto se traduce en tres preguntas que conviene hacer antes de firmar:

¿Existe una lista de subencargados y está actualizada? Si el contrato dice «podrá recurrir a terceros» sin más, no hay autorización específica ni general informada.
¿Cómo se comunican los cambios y con cuánta antelación? El 28.2 exige dar al responsable la oportunidad de oponerse, lo que solo es real si hay preaviso.
¿Dónde se alojan los datos? No es una pregunta ideológica: determina si hay o no transferencia internacional y qué garantías hacen falta.

Lo que la empresa sigue teniendo que hacer, tenga el contrato que tenga

Firmar el contrato de encargado no traslada las obligaciones de fondo. La empresa sigue siendo quien:

Registra la jornada. El artículo 34.9 del ET impone el registro a la empresa, y también la conservación durante cuatro años y la puesta a disposición de la plantilla, sus representantes y la Inspección.
Informa a la plantilla. Si el sistema usa geolocalización, el artículo 90.2 de la LOPDGDD exige informar de forma expresa, clara e inequívoca y con carácter previo sobre la existencia y características del dispositivo y sobre el ejercicio de los derechos de acceso, rectificación, limitación y supresión.
Fija los criterios de uso de los dispositivos digitales. El artículo 87.3 de la LOPDGDD exige establecerlos con participación de los representantes de los trabajadores.
Decide quién accede a qué. El reparto de perfiles está desarrollado en roles y permisos en el software de fichaje.
Atiende los derechos de la plantilla. El detalle está en derechos del trabajador sobre sus datos de fichaje.

Hay una advertencia adicional en el artículo 33.2 de la LOPDGDD que conviene tener presente al elegir proveedor: «Tendrá asimismo la consideración de responsable del tratamiento quien figurando como encargado utilizase los datos para sus propias finalidades». Un proveedor que reutilice los datos de jornada de sus clientes para fines propios deja de ser encargado. No es una cuestión de etiquetas: cambia el régimen de responsabilidad entero.

La salida: qué pasa cuando se cambia de proveedor

El punto que más problemas da no es la firma, sino el final. Dos preceptos lo gobiernan.

El artículo 28.3.g) del RGPD: el encargado, a elección del responsable, suprimirá o devolverá todos los datos personales una vez finalice la prestación de los servicios, y suprimirá las copias existentes a menos que se requiera su conservación en virtud del Derecho de la Unión o de los Estados miembros.

El artículo 33.3 de la LOPDGDD: «El responsable del tratamiento determinará si, cuando finalice la prestación de los servicios del encargado, los datos personales deben ser destruidos, devueltos al responsable o entregados, en su caso, a un nuevo encargado».

Elige el responsable, no el proveedor. Conviene ejercer esa elección antes de dar de baja el servicio, porque los cuatro años de conservación del artículo 34.9 del ET siguen corriendo aunque el contrato con el proveedor haya terminado. Cómo hacerlo sin perder el histórico está en conservar el histórico de fichajes en una migración.

Preguntas frecuentes

¿Quién es el responsable del tratamiento de los fichajes: la empresa o el proveedor?

La empresa. Es quien determina los fines y medios del tratamiento. El proveedor es encargado y trata los datos siguiendo instrucciones documentadas, según el artículo 28.3.a) del RGPD.

¿Hace falta un contrato aparte o basta con las condiciones del servicio?

Basta con que exista un contrato u otro acto jurídico con el contenido del artículo 28.3, por escrito, inclusive en formato electrónico (artículo 28.9). Puede ir integrado en las condiciones si las recoge de verdad.

¿Puede el proveedor subcontratar el alojamiento sin decírmelo?

No sin autorización previa por escrito, específica o general. En el caso de autorización general, el artículo 28.2 obliga al encargado a informar de cualquier cambio previsto en la incorporación o sustitución de otros encargados, para dar oportunidad de oponerse.

¿Puedo auditar a mi proveedor de fichaje?

El artículo 28.3.h) obliga al encargado a poner a disposición del responsable toda la información necesaria para demostrar el cumplimiento y a permitir y contribuir a la realización de auditorías, incluidas inspecciones, por el responsable o por otro auditor autorizado por él.

Al terminar el contrato, ¿quién decide si se borran o se devuelven los datos?

El responsable. Lo dicen el artículo 28.3.g) del RGPD y el artículo 33.3 de la LOPDGDD.

Si el proveedor sufre una brecha, ¿quién responde?

El reparto lo fija el propio artículo 28: el encargado debe ayudar al responsable a cumplir las obligaciones de los artículos 32 a 36, entre las que está la notificación de violaciones de seguridad. La posición del responsable frente a los interesados no desaparece por el hecho de que el incidente haya ocurrido en el proveedor.

Cómo lo resuelve Tempika

Tempika actúa como encargado del tratamiento y la empresa cliente mantiene su condición de responsable. El acceso está segmentado por perfil y por ámbito, de modo que quien administra un centro no ve la plantilla de otro, y las acciones sobre los datos quedan registradas.

El histórico es exportable en cualquier momento en CSV, XML y PDFue la elección del artículo 28.3.g) sobre devolución o supresión se puede ejercer de verdad y no depende de una gestión manual del proveedor. Cada apunte se encadena con hash con el anterior y las correcciones quedan trazadas con autor, fecha y motivo.

Puedes revisar el planteamiento completo en la página de cumplimiento o consultar las funcionalidades de Tempika.

Contenido elaborado por el Equipo Tempika (Summum Marketing) con el texto del Reglamento (UE) 2016/679, de la LOPDGDD y del Estatuto de los Trabajadores consultado a 31 de julio de 2026. Tiene carácter informativo y no sustituye al asesoramiento jurídico especializado.