Durante años, fichar con la huella fue la respuesta por defecto en España. Era rápido, evitaba que un compañero fichara por otro y no había tarjetas que reponer. En noviembre de 2023 eso cambió: la Agencia Española de Protección de Datos publicó su guía sobre el tratamiento de control de presencia mediante sistemas biométricos, y su criterio dejó a miles de empresas con un sistema que ya no se sostiene.
Este artículo explica qué dice exactamente ese criterio, por qué el consentimiento firmado de sus trabajadores no le protege, cuánto se está sancionando y qué alternativas cumplen. Es información que conviene tener antes de comprar un terminal, no después de recibir una reclamación.
Por qué la huella no es un dato como los demás
El Reglamento General de Protección de Datos clasifica los datos biométricos, cuando se usan para identificar de manera unívoca a una persona, como categoría especial de datos. Es la misma categoría en la que están los datos de salud, la afiliación sindical o las convicciones religiosas.
Esa clasificación no es una etiqueta administrativa: cambia las reglas del juego. Los datos de categoría especial parten de una prohibición general de tratamiento, y solo pueden tratarse si concurre alguna de las excepciones tasadas que la propia norma establece. Es decir, el punto de partida no es "puedo, salvo que me lo prohíban", sino "no puedo, salvo que encuentre una habilitación concreta".
La razón de fondo es sencilla de entender. Una tarjeta de proximidad comprometida se anula y se emite otra. Una contraseña filtrada se cambia. Una huella dactilar comprometida no se puede cambiar: acompaña a esa persona el resto de su vida. Por eso el listón está donde está.
Los dos usos que la AEPD distingue, y que casi nadie separa
Aquí está el matiz que más confusión genera. La biometría puede usarse para dos cosas distintas:
- Identificación: el sistema compara la muestra contra toda la base de datos para averiguar quién es esa persona. Es el "uno contra muchos" típico de un terminal de fichaje: usted pone el dedo y el equipo determina que es usted.
- Autenticación o verificación: el sistema comprueba que usted es quien dice ser, comparando contra una única plantilla. Es el "uno contra uno": usted presenta su tarjeta y además pone el dedo para confirmar que la tarjeta es suya.
La guía de la Agencia considera que ambos casos suponen tratamiento de categoría especial cuando el propósito es identificar de forma unívoca a la persona. Esto sorprendió a buena parte del sector, porque durante años se dio por hecho que la verificación uno-contra-uno quedaba fuera del régimen reforzado. Ya no se puede trabajar con esa presunción.
El problema de fondo: no hay ley que lo habilite
Para tratar datos de categoría especial en el ámbito laboral hace falta una habilitación con rango de ley. Y en España no existe ninguna norma con rango de ley que autorice expresamente el uso de datos biométricos para el control horario.
El artículo 34.9 del Estatuto de los Trabajadores obliga a las empresas a registrar la jornada, sí. Pero obliga a registrarla; no dice cómo, ni habilita a tratar datos biométricos para conseguirlo. Esa distinción es la que sostiene todo el criterio de la Agencia: la obligación de fichar no es una autorización para hacerlo con la huella.
Sin esa habilitación legal, el tratamiento no encuentra base y resulta ilícito, por muy bien intencionado que sea y por mucho que el sistema funcione a las mil maravillas.
"Pero mis trabajadores firmaron un consentimiento"
Es la objeción más repetida y conviene desmontarla con calma, porque mucha gente cree que ese papel firmado le cubre.
El RGPD exige que el consentimiento sea libre. En una relación laboral existe un desequilibrio evidente entre las partes: quien decide si entrega su huella es la misma persona cuya nómina depende de esa empresa. Tanto la AEPD como el resto de autoridades europeas vienen considerando que, en ese contexto, el consentimiento no es una base jurídica sólida, porque difícilmente puede considerarse libre.
Hay un segundo problema, más práctico: el consentimiento es revocable en cualquier momento y sin justificación. Si mañana la mitad de su plantilla lo retira, ¿qué hace? Si la respuesta es "no pueden retirarlo", entonces nunca fue libre. Si la respuesta es "les pongo tarjeta", entonces la tarjeta era viable desde el principio, y ese es justamente el argumento que invalida la necesidad de la biometría.
Ese razonamiento circular es el que hace fracasar la mayoría de justificaciones que hemos visto.
El triple test que hay que superar
Aunque encontrase una base habilitante, seguiría siendo necesario acreditar tres cosas, y en este orden:
- Idoneidad. ¿El sistema sirve para el fin perseguido? Aquí la biometría suele aprobar sin problema: identifica bien.
- Necesidad. ¿Existe una forma menos intrusiva de conseguir lo mismo? Aquí es donde cae. Para saber a qué hora entra y sale una persona, una tarjeta de proximidad cumple exactamente el mismo objetivo sin tocar datos sensibles.
- Proporcionalidad en sentido estricto. ¿El beneficio compensa el sacrificio de derechos? Ahorrarse la gestión de tarjetas no suele considerarse un beneficio suficiente frente al tratamiento de un dato irreversible.
Fíjese en que el orden importa: no se llega a valorar la proporcionalidad si ya ha fallado la necesidad. Y para el control horario ordinario, la necesidad falla casi siempre, precisamente porque existen alternativas maduras y baratas.
La evaluación de impacto no es opcional
Un tratamiento a gran escala de datos de categoría especial en el ámbito laboral exige, con carácter previo, una evaluación de impacto relativa a la protección de datos. No es un trámite: es el documento que acredita que usted analizó las alternativas, valoró los riesgos y justificó la decisión.
En la práctica, la ausencia de esa evaluación es lo primero que se detecta cuando llega una reclamación, y por sí sola ya constituye un incumplimiento. Muchas empresas que nos consultan descubren en ese momento que su instalador les vendió el equipo, lo configuró y se marchó, sin que nadie documentase nada.
Cuánto está costando
No hablamos de un riesgo teórico. Hay resoluciones sancionadoras publicadas por este motivo, con importes que van desde los 12.000 hasta los 200.000 euros según el caso, el número de personas afectadas y la actitud de la empresa.
Conviene entender de dónde vienen esas reclamaciones, porque rara vez son inspecciones aleatorias: lo habitual es que las presente alguien que ya no trabaja en la empresa, y que sabe perfectamente dónde está el punto débil. Un despido conflictivo y un sistema de huella sin documentar es una combinación cara.
Entonces, ¿la biometría está prohibida?
No, y esta es la parte que se suele contar mal. Lo que ocurre es que el listón está muy alto para el control horario ordinario, que es el uso más extendido y el que menos lo justifica.
El análisis cambia por completo cuando la finalidad ya no es contar horas, sino impedir físicamente el paso a una zona restringida: un laboratorio, una cámara frigorífica con producto sensible, un almacén de material peligroso, una sala con documentación confidencial o un centro de proceso de datos. Ahí hay un riesgo objetivo que proteger, la población afectada es mucho menor y la justificación es infinitamente más sólida.
Por eso, en los proyectos que planteamos hoy, lo habitual es separar las dos cosas:
- Control horario de toda la plantilla con tarjeta de proximidad o código personal. Cumple el artículo 34.9 sin entrar en datos sensibles.
- Control reforzado solo en los puntos críticos, donde la biometría se justifica, se documenta y afecta a pocas personas.
Qué alternativas cumplen y qué se pierde con cada una
La objeción práctica siempre es la misma: "si pongo tarjetas, se las prestarán". Vamos por partes.
Tarjeta o llavero de proximidad. Es el sistema más extendido y el que resuelve la mayoría de casos. Lectura en menos de un segundo, funciona con guantes y en condiciones donde un lector de huella falla, y la misma credencial sirve para fichar y para abrir puertas. Puede verlos en nuestros relojes de fichar.
Código personal en teclado. Sin logística de tarjetas y muy resistente. Es la opción natural en exteriores y obras, como el terminal KeyPad Prox, antivandálico y pensado para intemperie.
Fichaje desde aplicación o navegador. Imprescindible para comerciales, técnicos en ruta y teletrabajo, con control de presencia en la nube.
Y sobre el préstamo de tarjetas, una reflexión honesta después de bastantes instalaciones: en una empresa donde alguien ficha por un compañero, el problema no es tecnológico. Es un problema de organización y de supervisión que un lector de huella no arregla, solo disimula. Además, las incoherencias entre fichaje y accesos a zonas —alguien que consta trabajando pero no ha pasado por ninguna puerta— se detectan solas cuando ambos sistemas comparten la misma credencial.
Qué hacer si ya tiene huella instalada
Si está leyendo esto con veinte terminales de huella funcionando, este es el orden razonable:
- Averigüe qué guarda exactamente el equipo. No es lo mismo almacenar la imagen de la huella que una plantilla matemática irreversible, ni es lo mismo que resida en el terminal, en un servidor propio o en la tarjeta del propio trabajador.
- Compruebe si existe evaluación de impacto. Si no la hay, ya tiene un incumplimiento con independencia de lo demás.
- Documente qué alternativas valoró y por qué las descartó. Si no puede hacerlo de forma convincente, tiene la respuesta.
- Revise si el equipo admite otro modo de funcionamiento. Muchos terminales biométricos leen también tarjeta: en bastantes casos se puede cambiar el modo sin tirar el hardware.
- Informe a la plantilla y a su representación legal del cambio, y déjelo por escrito.
Ese cuarto punto salva más presupuestos de los que parece: en varias instalaciones que hemos revisado, el cambio consistió en reconfigurar los equipos existentes y repartir tarjetas, sin sustituir un solo terminal.
Antes de decidir
El criterio de la AEPD y la normativa de protección de datos evolucionan, y cada caso tiene circunstancias propias que pueden cambiar el análisis. Consulte la guía publicada por la Agencia Española de Protección de Datos y contraste la decisión con su asesor antes de implantar o de retirar un sistema.
Si quiere que revisemos qué tiene instalado y qué opciones reales tiene —incluida la de aprovechar los equipos actuales—, cuéntenos su caso: cuántas personas, cuántos centros, qué terminales tiene y desde cuándo. En Neikom llevamos desde 2007 en control de tiempos y hemos hecho ya bastantes de estas migraciones.