Fichaje por huella o reconocimiento facial: la Guía de la AEPD de 2023 y las alternativas
El fichaje por huella dactilar o reconocimiento facial trata datos biométricos y, según la Guía de la AEPD de noviembre de 2023 sobre control de presencia mediante sistemas biométricos, no se considera necesario con carácter general para registrar la jornada. Para usarlo, la empresa debe justificar su necesidad y proporcionalidad y hacer una evaluación de impacto.
Te explicamos qué dice la guía, por qué la AEPD ha sancionado a empresas por fichar con huella, qué obligaciones tendrías si aun así decides implantarlo y qué alternativas menos invasivas cumplen igual la obligación del artículo 34.9 del Estatuto.
Qué son los datos biométricos y por qué son especiales
Un dato biométrico es el que se obtiene del tratamiento de características físicas, como la huella o el rostro, que permite identificar de forma única a una persona. El Reglamento General de Protección de Datos (RGPD) los considera una categoría especial de datos y su tratamiento exige una cautela reforzada.
La razón es sencilla: una contraseña se puede cambiar si se filtra, pero una huella no. Si una base de datos biométrica se compromete, el daño es permanente. Por eso el tratamiento se mira con mucha más exigencia que el de un simple código o una tarjeta.
Fichar con huella o con la cara es, además, algo que la persona trabajadora no puede evitar con facilidad si la empresa lo impone. El equilibrio entre control empresarial e intimidad es el núcleo de lo que analiza la AEPD.
La Guía de la AEPD de 2023 sobre control de presencia biométrico
En noviembre de 2023, la AEPD publicó su guía sobre el uso de sistemas biométricos para el control de presencia y de acceso. Su conclusión central es que no es necesario con carácter general para registrar la jornada, porque existen medios menos invasivos que logran el mismo fin.
La guía parte del principio de minimización: si hay una alternativa que cumple la finalidad con menos intromisión, el sistema biométrico no es proporcional. Además, el registro de jornada puede hacerse con tarjeta, código personal o aplicación, que no requieren datos biométricos.
Por tanto, la regla práctica es que el fichaje biométrico es la excepción y no la norma. Si una empresa quiere usarlo debe poder explicar por qué ninguna otra solución es suficiente para su caso concreto, algo muy difícil para el mero control horario.
Qué exige la AEPD si decides usarlo
Si, tras valorarlo, una empresa mantiene un fichaje biométrico, debe cumplir varias obligaciones:
1. Justificar la necesidad y la proporcionalidad, por escrito, explicando por qué no sirven alternativas menos invasivas.
2. Realizar una evaluación de impacto en protección de datos (art. 35 RGPD) antes de empezar.
3. Contar con una condición que levante la prohibición de tratar datos biométricos, algo que no es automático por ser un registro obligatorio.
4. Informar de forma clara a las personas trabajadoras y consultar con la RLT.
5. Aplicar medidas de seguridad reforzadas y limitar el acceso y la conservación.
Ten presente que la obligación legal de registrar la jornada (art. 6.1.c RGPD) justifica el registro, pero no justifica por sí sola hacerlo con huella o cara. Esa es la diferencia que más se pasa por alto.
Sanciones: la AEPD ya ha multado por fichar con huella
La AEPD ha sancionado a empresas que implantaron el fichaje por huella sin justificar su necesidad ni hacer la evaluación de impacto. Las cuantías dependen de cada caso y del tipo de infracción, y no conviene fiarse de cifras sueltas: lo relevante es que existen precedentes y que la agencia los aplica.
Los errores más repetidos en esos expedientes son: no haber informado a la plantilla, no haber valorado alternativas, no haber hecho la evaluación de impacto y utilizar el dato biométrico para otras finalidades.
Además de la multa, hay un coste operativo: si la AEPD ordena suprimir el sistema, la empresa debe borrar los datos y reorganizar el registro de jornada con otro método, y mientras tanto no puede dejar de registrar. Mejor elegir bien desde el principio.
Alternativas al fichaje biométrico
Para cumplir el artículo 34.9 no necesitas huella ni cara. Son opciones válidas y menos invasivas:
- Aplicación móvil con usuario personal y, si procede, geolocalización en el momento del fichaje (art. 90 LOPDGDD, con información previa).
- Web de fichaje desde un ordenador o una tableta compartida.
- Tarjeta o código personal en un terminal, con las cautelas sobre suplantación.
La fiabilidad no depende de la biometría, sino de la trazabilidad: hora del servidor, historial inalterable y registro de cada corrección. Un sistema bien auditado supera a un lector de huella sin control de cambios. Para el contexto, consulta fraudes en el fichaje y cómo evitarlos.
El riesgo de suplantación: ¿no es mejor la huella?
El argumento a favor de la huella es evitar que alguien fiche por otra persona. Es un riesgo real, pero se puede mitigar con medios menos invasivos: usuario y contraseña personales, aviso al responsable de fichajes sospechosos, geolocalización en el momento del fichaje y auditoría periódica.
Una app en el móvil de cada persona reduce los fichajes "de favor" porque el dispositivo es personal. Con la hora del servidor y la ubicación, un fichaje fuera de lugar queda a la vista. La AEPD valora precisamente que estos controles se apliquen antes de recurrir a datos biométricos.
Si detectas fraudes, trátalos con medidas disciplinarias proporcionales, con el registro como prueba, y no con un sistema biométrico generalizado. Es una decisión que conviene consensuar con la representación legal de las personas trabajadoras.
Cómo decidir en tu empresa
Antes de comprar un lector de huella o un terminal de reconocimiento facial, responde por escrito a estas preguntas: ¿qué problema concreto quiero resolver?, ¿existe una alternativa menos invasiva que lo resuelva?, ¿puedo justificar la necesidad ante la AEPD?, ¿he consultado a la RLT?
En la mayoría de empresas de comercio, servicios e industria, la respuesta práctica será una aplicación o una web con trazabilidad. Es más barata, evita el riesgo de sanción y es más fácil de explicar a la plantilla.
Para ver cómo encaja con tu protocolo interno, consulta protocolo interno de registro de jornada. Y recuerda: cualquier decisión debe poder demostrarse con documentos.
Cómo te ayuda PontoSimples sin datos biométricos
PontoSimples no utiliza huella ni reconocimiento facial: el fichaje se hace desde la app móvil (Android e iOS) o la web, con geolocalización en el momento del fichaje y usuario personal. La auditoría de fichajes deja trazabilidad de cada corrección y el responsable supervisa las incidencias en tiempo real, de modo que el registro es fiable sin tratar datos biométricos.
Tienes además paneles, estadísticas e informes, control de vacaciones y ausencias, cálculo de horas extra y de plus de nocturnidad, y el cierre de fichaje para preparar la nómina. El Equipo de Éxito del Cliente te ayuda a implantarlo con tu plantilla. Pruébalo gratis durante 30 días y sin permanencia en pontosimples.es.
