RGPD y datos biométricos en el fichaje: art. 9

Usar la huella dactilar o el reconocimiento facial para que los empleados fichen parece una solución tecnológica cómoda. Pero el RGPD datos biométricos fichaje artículo 9 no es un trámite menor: es la norma que, en la práctica, bloquea ese planteamiento para la inmensa mayoría de empresas españolas. El artículo 9 del Reglamento General de Protección de Datos clasifica los datos biométricos —cuando sirven para identificar a una persona de forma unívoca— como categoría especial, sometida a una prohibición general de tratamiento salvo que concurra una excepción tasada. Ninguna de esas excepciones encaja cómodamente en el fichaje laboral ordinario, y la Agencia Española de Protección de Datos (AEPD) lo ha confirmado en varias resoluciones sancionadoras.

Este artículo analiza con precisión jurídica por qué el art. 9 RGPD convierte la biometría en el fichaje en un territorio de riesgo elevado, qué dicen exactamente las excepciones del art. 9.2, cuál es la posición consolidada de la AEPD, y qué alternativas técnicas permiten cumplir con el Art. 34.9 del Estatuto de los Trabajadores (ET) sin rozar las categorías especiales.

Qué son los datos biométricos según el RGPD

El considerando 51 del RGPD y el propio artículo 4.14 del RGPD ofrecen la definición operativa: son datos biométricos «los datos personales obtenidos a partir de un tratamiento técnico específico, relativos a las características físicas, fisiológicas o conductuales de una persona física que permitan o confirmen la identificación única de dicha persona».

La clave está en la expresión «identificación única». No cualquier dato corporal es biométrico a efectos del RGPD. Una fotografía de empleado en el carné de empresa no lo es per se. Un escaneo de huella que genera una plantilla matemática que identifica unívocamente al titular, sí. El reconocimiento facial basado en geometría facial, también. La geometría del iris, la voz en sistemas de autenticación por voz, la dinámica de tecleo en ciertos contextos: todos pueden serlo cuando se procesan con el fin específico de identificar a la persona.

En el contexto del fichaje, el tratamiento siempre tiene ese fin: confirmar que quien registra la entrada o la salida es exactamente ese empleado y no otro. Por eso, cualquier sistema de control horario que use lectura de huella, reconocimiento facial, geometría de iris o equivalentes trata datos biométricos en el sentido del art. 4.14 y queda sometido al art. 9.

¿Por qué merecen protección reforzada?

La razón es técnica y tiene consecuencias jurídicas directas: los datos biométricos son inmutables y no revocables. Si se produce una brecha de seguridad y un tercero accede a la plantilla de huellas de una empresa, los empleados afectados no pueden «cambiarse la huella» como se cambia una contraseña. El daño es permanente. Esto justifica que el legislador europeo los trate igual que los datos de salud o los datos genéticos: con la máxima protección y la presunción de que su tratamiento es inadecuado salvo prueba en contrario.

Por qué el art. 9 RGPD es la norma clave para el fichaje biométrico

El artículo 9.1 RGPD establece una prohibición general de tratar las categorías especiales de datos, entre ellas los datos biométricos dirigidos a identificación unívoca. Esa prohibición no es una advertencia: es la regla por defecto. Para que el tratamiento sea lícito, el responsable debe acreditar que su caso encaja en alguna de las excepciones del artículo 9.2.

Además del art. 9, el tratamiento biométrico en el ámbito laboral activa otras obligaciones adicionales:

Evaluación de Impacto en la Protección de Datos (EIPD), obligatoria por el art. 35 del RGPD cuando el tratamiento puede entrañar un alto riesgo para los derechos y libertades de las personas. El tratamiento a gran escala de categorías especiales siempre aparece en la lista de los que requieren EIPD previa.
Registro de actividades de tratamiento (art. 30 del RGPD) actualizado con la categoría especial, la base jurídica y las medidas de seguridad adicionales.
Medidas de seguridad reforzadas para las plantillas biométricas (cifrado, control de acceso, pseudonimización, copias de seguridad segregadas).

Cumplir con todos estos requisitos no es imposible, pero tiene un coste jurídico y organizativo elevado. Y ese coste solo se justifica si el tratamiento biométrico es realmente necesario —algo que, como veremos, la AEPD cuestiona sistemáticamente en el contexto del fichaje.

Las excepciones del art. 9.2 RGPD: ¿alguna encaja en el fichaje?

El artículo 9.2 RGPD enumera diez excepciones a la prohibición general. Analizamos las tres que las empresas citan con más frecuencia para justificar el fichaje biométrico, y por qué ninguna resuelve el problema de forma definitiva.

La excepción del interés público: posición de la AEPD

La letra g) del art. 9.2 permite el tratamiento cuando «es necesario por razones de interés público esencial, sobre la base del Derecho de la Unión o de los Estados miembros, que debe ser proporcional al objetivo perseguido, respetar en lo esencial el derecho a la protección de datos y establecer medidas adecuadas y específicas para proteger los intereses y derechos fundamentales del interesado».

Algunas empresas han intentado argumentar que la obligación de llevar un registro de jornada impuesta por el art. 34.9 del Estatuto de los Trabajadores constituye un «interés público esencial» que habilita el tratamiento biométrico. La AEPD ha rechazado este argumento con claridad en sus pronunciamientos. La obligación de registrar la jornada es una obligación empresarial en el ámbito de una relación privada: no es un interés público esencial en el sentido de la norma. Y aunque lo fuera, la excepción exige que el tratamiento sea necesario para ese interés, lo que implica que no existan medios menos intrusivos capaces de conseguir el mismo fin. Dado que el registro de jornada puede hacerse perfectamente con PIN, tarjeta o aplicación móvil, la biometría no supera el test de necesidad.

La excepción del contrato: por qué no basta para biometría laboral

La letra b) del art. 9.2 permite el tratamiento cuando es «necesario para el cumplimiento de obligaciones y el ejercicio de derechos específicos del responsable del tratamiento o del interesado en el ámbito del Derecho laboral y de la seguridad y protección social, en la medida en que así lo autorice el Derecho de la Unión o de los Estados miembros».

Esta excepción tiene dos requisitos acumulativos que con frecuencia se ignoran. Primero, que el tratamiento sea necesario (y ya hemos visto que la biometría no supera ese test). Segundo, y más importante, que lo autorice el Derecho de la Unión o de los Estados miembros. España no ha aprobado una norma sectorial que habilite expresamente el uso de datos biométricos para el control horario laboral. Sin esa norma habilitante, la excepción no puede invocarse. El contrato de trabajo o el convenio colectivo no son «Derecho de los Estados miembros» en el sentido que requiere el art. 9.2.b): se necesita una norma con rango legal o reglamentario que contemple específicamente este tratamiento.

El consentimiento del trabajador como base: por qué la AEPD lo descarta

La letra a) del art. 9.2 permite el tratamiento con el «consentimiento explícito del interesado». Es la excepción que más empresas intentan aplicar: piden a sus empleados que firmen un documento autorizando el uso de su huella o su rostro para fichar.

La AEPD ha sido inequívoca al respecto. El consentimiento en el contexto laboral presenta un problema estructural: la relación de dependencia entre empleado y empleador hace que el consentimiento no sea genuinamente libre. Si un trabajador percibe que negarse a dar su consentimiento puede acarrear consecuencias laborales —aunque el empleador no lo diga explícitamente—, ese consentimiento no cumple el requisito de libertad que exige el art. 7 RGPD. Y si el consentimiento no es libre, tampoco puede ser «explícito» en el sentido del art. 9.2.a).

Esta posición no es exclusiva de la AEPD española. El Comité Europeo de Protección de Datos (CEPD), en sus Directrices 05/2020 sobre el consentimiento, establece que en el contexto laboral el consentimiento «en términos generales» no es una base jurídica apropiada, precisamente porque la libertad es difícil de garantizar. La exigencia de libertad del consentimiento se ancla en el artículo 7 del RGPD. Las autoridades de control de varios Estados miembros —incluyendo la francesa CNIL y la alemana DSK— comparten esta doctrina.

La conclusión práctica es clara: obtener la firma del empleado no basta para legitimar el tratamiento biométrico en el fichaje. La empresa que confíe en esa firma está asumiendo un riesgo que, con alta probabilidad, una inspección o una reclamación ante la AEPD pondría de manifiesto.

Resoluciones sancionadoras de la AEPD en materia de biometría laboral

La AEPD no solo ha publicado criterios orientativos: también ha sancionado empresas que implantaron sistemas biométricos en el entorno laboral sin cumplir los requisitos del art. 9 RGPD. El patrón recurrente en las resoluciones es el siguiente:

Fallo detectado	Consecuencia frecuente
Falta de base jurídica válida del art. 9.2	Infracción grave (art. 83.5 RGPD), multa significativa
Ausencia de EIPD previa al despliegue	Infracción adicional por incumplimiento del art. 35 RGPD
Consentimiento del empleado como única base	Base rechazada; tratamiento declarado ilícito
No registro en el RoPA de la categoría especial	Infracción del art. 30 RGPD
Sin medidas de seguridad reforzadas para las plantillas	Infracción del art. 32 RGPD

Las multas del RGPD para infracciones del art. 9 (categorías especiales) se encuadran en el tramo máximo del art. 83.5 del RGPD: hasta 20 millones de euros o el 4% del volumen de negocio mundial anual, la cifra que sea mayor. En la práctica, para empresas medianas y pequeñas, las resoluciones de la AEPD en esta materia han impuesto multas de decenas de miles a cientos de miles de euros, dependiendo de la gravedad y la reincidencia.

Además de la multa, la AEPD puede ordenar la cesación inmediata del tratamiento y la destrucción de los datos ya recogidos. Esto significa que una empresa que lleva dos años usando biometría podría verse obligada a borrar toda la base de plantillas biométricas y migrar a un sistema alternativo, asumiendo el coste del cambio encima de la sanción.

El principio de minimización y proporcionalidad aplicados al fichaje

El art. 5.1.c) del RGPD recoge el principio de minimización de datos: los datos deben ser adecuados, pertinentes y limitados a lo necesario para los fines del tratamiento. Es un principio que aplica a todos los tratamientos, pero adquiere especial relevancia cuando el responsable pretende tratar datos de categoría especial, porque el test de necesidad se vuelve más exigente.

Aplicado al fichaje, el razonamiento es el siguiente:

Fin legítimo: registrar la hora de entrada y salida de cada empleado para cumplir el Art. 34.9 ET y gestionar la nómina.
Pregunta de minimización: ¿existe algún medio menos intrusivo que la biometría que permita alcanzar ese fin con eficacia suficiente?
Respuesta: sí. Un sistema con PIN + número de empleado, o con tarjeta RFID, o con app autenticada, registra la misma información (quién, cuándo, dónde) sin tratar ningún dato de categoría especial.
Conclusión: la biometría no supera el test de minimización, porque no es el medio menos intrusivo disponible.

El principio de proporcionalidad refuerza la misma conclusión: el beneficio marginal que aporta la biometría frente a un sistema de tarjeta o PIN (reducción del fraude de suplantación, que en entornos ordinarios es mínima) no compensa el riesgo normativo, el coste de la EIPD, las medidas de seguridad adicionales y la exposición ante la AEPD.

Alternativas técnicas que ofrecen la misma seguridad sin datos biométricos

Rechazar la biometría no significa aceptar un sistema débil. Las siguientes opciones ofrecen identificación suficientemente fiable para el fichaje laboral ordinario sin tocar el art. 9 RGPD:

Tarjeta RFID o NFC

Cada empleado porta una tarjeta vinculada a su identidad en el sistema. El terminal lee la tarjeta y registra el fichaje. Las tarjetas son revocables (a diferencia de una huella): si se pierde, se desactiva en segundos. El lector no trata ningún dato de categoría especial. Es el estándar en industria, sanidad y logística. El único riesgo —préstamo de la tarjeta— se mitiga con políticas internas y alertas de anomalías (por ejemplo, un empleado que no debería estar en turno pero cuya tarjeta registra entrada).

PIN personal con número de empleado

Simple, sin hardware especial, funciona en un kiosko táctil básico. El PIN puede renovarse periódicamente. Para entornos de alta rotación o con empleados sin smartphone, es la opción de menor coste y menor fricción. La suplantación por préstamo de PIN es poco frecuente en entornos con supervisión directa.

Aplicación móvil con autenticación de cuenta

El empleado ficha desde su smartphone, autenticado con usuario y contraseña (o segundo factor). El sistema registra la hora, el dispositivo y, opcionalmente, la ubicación GPS si el empleado ha prestado consentimiento válido para ello (un consentimiento que en este contexto sí puede ser libre, porque el empleado puede optar por fichar desde el kiosko si no quiere compartir ubicación). Si necesitas profundizar en el régimen del GPS en el fichaje, te recomendamos nuestro artículo sobre geolocalización en el fichaje: qué es legal y qué no.

Kiosko con doble factor no biométrico

Combina número de empleado (algo que sabes) con un token físico o tarjeta (algo que tienes). Es el nivel más alto de seguridad posible sin biometría, adecuado para entornos con acceso a zonas restringidas o con normativas sectoriales exigentes.

Cómo documentar la decisión de no implantar biometría (registro de actividades)

Tomar la decisión de no usar biometría es, en sí misma, una decisión de cumplimiento que conviene dejar documentada. Hay dos razones:

Si en el futuro la empresa recibe una inspección de la AEPD o una reclamación de un empleado, poder acreditar que se analizaron las opciones y se optó por la menos intrusiva demuestra diligencia debida y cultura de privacidad desde el diseño (art. 25 del RGPD, privacy by design).
Si un proveedor externo propone implantar biometría como parte de un sistema integrado, la documentación previa evita que la decisión quede diluida en un contrato de servicios sin revisión jurídica.

El Registro de Actividades de Tratamiento (RoPA), exigido por el art. 30 del RGPD, debe reflejar todos los tratamientos de datos personales de la empresa. La entrada correspondiente al control horario debe incluir:

Finalidad: registro de jornada conforme al art. 34.9 del Estatuto de los Trabajadores.
Categorías de datos: datos de identificación (nombre, número de empleado), datos de tiempo (hora entrada/salida, terminal). Sin categorías especiales.
Base jurídica: art. 6.1.c) del RGPD (cumplimiento de obligación legal), en relación con el art. 34.9 ET.
Plazo de conservación: cuatro años, conforme al art. 34.9 ET (el registro debe estar disponible para la Inspección durante ese período).
Destinatarios: responsables de RRHH, Inspección de Trabajo si se requiere, en su caso la gestoría para nóminas.
Medidas de seguridad: control de acceso al sistema, registro de auditoría de los propios registros, cifrado en tránsito y en reposo.

Si la empresa ha evaluado la opción biométrica y la ha descartado, puede añadir una nota en el RoPA o en la documentación de privacidad interna: «Se evaluó el uso de datos biométricos para la identificación en el fichaje; descartado por aplicación del principio de minimización (art. 5.1.c del RGPD) al existir alternativas menos intrusivas con eficacia equivalente».

Esta documentación, junto con la EIPD (que en el caso de no tratar categorías especiales puede ser más ligera o incluso sustituirse por un análisis de riesgo abreviado), compone el expediente de cumplimiento que una empresa diligente debería tener en carpeta antes de que llegue cualquier inspección.

Cómo afecta el art. 13 RGPD a la información que debes dar a los empleados

El art. 13 del RGPD obliga al responsable a informar al interesado, en el momento en que se recogen sus datos, de la finalidad, la base jurídica, el plazo de conservación y sus derechos. En el contexto del fichaje, esa información debe llegarse a los empleados antes de que empiecen a fichar con el nuevo sistema.

Si el sistema no trata datos biométricos, la información es relativamente sencilla:

Finalidad: control del tiempo de trabajo conforme al Art. 34.9 ET.
Base jurídica: art. 6.1.c) RGPD.
Plazo: cuatro años.
Derechos: acceso, rectificación, supresión (con los límites propios de la obligación legal), oposición, portabilidad.
Responsable: la empresa, con los datos de contacto del DPO si lo hay.

Si el sistema tratara datos biométricos, la información sería más compleja: tendría que especificar la categoría especial, la excepción del art. 9.2 aplicable (con la norma habilitante concreta), las medidas técnicas de protección de las plantillas y el responsable de las decisiones sobre la base de datos biométrica. Es un ejercicio que, una vez redactado con rigor, pone de manifiesto cuántos requisitos quedan sin cobertura legal clara.

Preguntas frecuentes

¿Puedo usar reconocimiento facial para el fichaje si cifro las plantillas?

No. El cifrado es una medida de seguridad técnica (art. 32 RGPD), no una base jurídica. Cifrar las plantillas biométricas no convierte un tratamiento ilícito en lícito; solo reduce el riesgo de daño en caso de brecha. El problema de fondo —la falta de una excepción válida del art. 9.2 para el fichaje laboral ordinario— no se resuelve con medidas técnicas.

¿Qué pasa si el convenio colectivo de mi sector autoriza la biometría en el fichaje?

Un convenio colectivo no es una «norma del Derecho de la Unión o de los Estados miembros» en el sentido que exige la excepción del art. 9.2.b) RGPD. Para que esa excepción operara, sería necesaria una ley o un reglamento estatal o autonómico que habilitara expresamente el tratamiento. En la actualidad, España no dispone de esa norma para el fichaje horario. La AEPD ha dejado claro en sus pronunciamientos que la autonomía colectiva no puede suplir la habilitación legal que el art. 9.2.b) requiere.

¿Estoy obligado a hacer una EIPD aunque no use biometría?

No necesariamente. La EIPD es obligatoria cuando el tratamiento «pueda entrañar un alto riesgo» para los derechos y libertades de las personas (art. 35 RGPD). El tratamiento a gran escala de categorías especiales siempre entra en esa categoría. Pero un fichaje con PIN o tarjeta que solo trata datos de identidad y tiempo —sin categorías especiales, sin geolocalización continua, sin elaboración de perfiles— generalmente no activa la obligación de EIPD. Sí conviene realizar un análisis de riesgo abreviado para documentar esa conclusión. Puedes consultar cómo Tempika gestiona este análisis en nuestra sección de cumplimiento normativo RGPD.

¿Cuánto tiempo debo conservar los registros de jornada?

El Art. 34.9 del Estatuto de los Trabajadores establece que los registros deben conservarse durante cuatro años y estar a disposición de los trabajadores, sus representantes sindicales y la Inspección de Trabajo y Seguridad Social. Este plazo coincide con la prescripción de las infracciones en materia de Seguridad Social (cuatro años), no con la de las infracciones del orden social, que prescriben a los tres años. Puedes ampliar este punto en nuestra guía sobre qué debe incluir el registro de jornada.

¿La AEPD puede sancionar a mi empresa si ya tenemos biometría implantada?

Sí. La AEPD puede iniciar actuaciones de investigación de oficio, por denuncia de un empleado o como resultado de una brecha de seguridad notificada. Si la investigación concluye que el tratamiento biométrico carece de base jurídica válida, la AEPD puede imponer una multa (tramo máximo del art. 83.5 RGPD: hasta 20 millones de euros o el 4% del volumen de negocio mundial) y ordenar la cesación del tratamiento. Lo más prudente es realizar una auditoría de cumplimiento antes de que llegue la inspección y migrar a un sistema alternativo si la base jurídica actual no es sólida.

Conclusión: el riesgo legal de la biometría frente al coste de la alternativa

El cuadro que emerge del análisis del RGPD datos biométricos fichaje artículo 9 es inequívoco: la biometría en el control horario laboral es un tratamiento de alto riesgo normativo que la mayoría de empresas españolas no pueden justificar.

La prohibición general del art. 9.1 RGPD no tiene una excepción evidente para el fichaje ordinario. El consentimiento del empleado no es libre en el contexto de la relación laboral. No existe norma española que habilite el tratamiento conforme al art. 9.2.b). El principio de minimización opera en contra, porque hay alternativas menos intrusivas que cubren exactamente el mismo fin. Y la AEPD ha demostrado, con resoluciones sancionadoras concretas, que no es un riesgo teórico.

Las alternativas —tarjeta RFID, PIN, aplicación móvil, kiosko con doble factor— no son soluciones de segunda categoría. Son soluciones proporcionales, auditables y que permiten cumplir con el Art. 34.9 ET y superar sin problemas una inspección de la ITSS. Si a eso se añade un ledger con registro encadenado e inalterable que demuestra la integridad de cada fichaje, el nivel de garantía para la empresa es mayor que el que ofrece cualquier sistema biométrico: no solo se sabe quién fichó y cuándo, sino que se puede demostrar que nadie ha modificado ese registro a posteriori.

Para entender la obligación de registro de jornada en su conjunto —antes de decidir qué sistema implantar— te recomendamos nuestra guía completa: Ley de registro horario digital: qué obliga hoy y qué va a cambiar.

Si quieres ver cómo Tempika implementa el fichaje sin biometría con ledger verificable y sin huella ni rostro, visita nuestra descripción de funcionalidades del sistema de fichaje o consulta los planes y precios de Tempika.

Artículo elaborado por el Equipo Tempika. Información actualizada a junio de 2026. Este contenido tiene carácter informativo general y no constituye asesoramiento jurídico. Para situaciones concretas, consulte con un profesional especializado en protección de datos.