Registro de jornada y protección de datos: base legal, información a la plantilla, conservación y derechos
El registro de jornada es un tratamiento de datos personales, y la empresa puede hacerlo sin pedir consentimiento porque se apoya en una obligación legal: el artículo 34.9 del Estatuto de los Trabajadores (art. 6.1.c del RGPD). Aun así, tiene que informar a la plantilla, recoger solo los datos necesarios, guardarlos cuatro años y atender los derechos de las personas trabajadoras.
Muchas empresas se preocupan por la protección de datos cuando eligen un sistema de fichaje y otras la olvidan por completo. Las dos posturas son un error. En este artículo repasamos qué base legal ampara el registro, qué hay que contar a la plantilla, qué datos conviene evitar, cuánto tiempo se guardan y cómo responder cuando alguien ejerce sus derechos.
La base legal: obligación legal, no consentimiento
El artículo 34.9 del Estatuto de los Trabajadores obliga a toda empresa con personas trabajadoras a llevar un registro diario de jornada con la hora concreta de inicio y fin de cada una. Cuando una norma impone un tratamiento, la base que lo legitima es la obligación legal del artículo 6.1.c del RGPD. No hace falta pedir el consentimiento de nadie, y de hecho no conviene hacerlo: un consentimiento en una relación laboral difícilmente es libre, porque la persona trabajadora no puede negarse sin consecuencias.
Esta base tiene una consecuencia práctica: la plantilla no puede negarse a fichar alegando protección de datos. Lo que sí puede exigir es que el tratamiento se limite a lo que la ley pide y que se haga con las garantías debidas.
La obligación legal cubre el registro de la hora de inicio y fin de la jornada. No cubre cualquier dato adicional que a la empresa se le ocurra recoger por comodidad, y ahí es donde aparecen los problemas.
Qué datos puedes recoger y cuáles conviene evitar
El principio de minimización del RGPD dice que solo se tratan los datos adecuados, pertinentes y limitados a lo necesario. Para el registro de jornada, lo necesario es la identidad de la persona, la fecha, la hora de inicio y de fin, las pausas si el convenio o la empresa las computan y las incidencias o correcciones con su justificación.
Conviene pensar con cuidado antes de añadir otros datos:
- La geolocalización solo se justifica en trabajos fuera del centro y, aun así, limitada al momento del fichaje. Lo tratamos a fondo en geolocalización de la plantilla.
- Los datos biométricos (huella, rostro) no se consideran necesarios con carácter general según la Guía de la AEPD de noviembre de 2023, y exigen justificar necesidad y proporcionalidad y hacer una evaluación de impacto (art. 35 RGPD). Hay sanciones de la AEPD a empresas por fichar con huella.
- Las fotografías o capturas al fichar, el seguimiento continuo del móvil o la monitorización de la actividad en pantalla no forman parte del registro de jornada y exigen una base y una justificación propias.
La regla sencilla: si un dato no te sirve para demostrar cuándo empieza y termina cada persona su jornada, probablemente no deberías recogerlo.
Información a la plantilla: el deber de transparencia
Antes de empezar a registrar, la empresa debe informar de forma clara a cada persona trabajadora. Es el deber de información de los artículos 13 y 14 del RGPD. Basta un texto breve, entregado por escrito o publicado en un lugar accesible, que diga:
1. Quién es el responsable del tratamiento (la empresa) y cómo contactar con ella.
2. Para qué se tratan los datos (cumplir el registro de jornada del art. 34.9 ET) y cuál es la base legal.
3. Qué datos se recogen y quién puede acceder a ellos: la propia persona, la representación legal de las personas trabajadoras (RLT) y la Inspección de Trabajo y Seguridad Social (ITSS).
4. Durante cuánto tiempo se conservan.
5. Qué derechos tiene y cómo ejercerlos.
Si el sistema usa geolocalización, el artículo 90 de la LOPDGDD exige informar previamente, de forma expresa, clara e inequívoca. Esa información debe llegar antes del primer fichaje, no después. Lo ideal es incluirla en el protocolo interno de registro, que se consulta con la RLT, como explicamos en protocolo interno de registro de jornada.
Conservación: cuatro años y después, supresión
El artículo 34.9 fija que los registros se conservan cuatro años a disposición de las personas trabajadoras, de la RLT y de la ITSS. Ese plazo marca el límite del tratamiento: durante cuatro años tienes base legal para guardar los datos, y pasado ese plazo debes suprimirlos o bloquearlos, salvo que haya un procedimiento judicial o administrativo abierto que justifique mantenerlos.
Un ejemplo concreto: un registro de octubre de 2026 se conserva hasta octubre de 2030. En 2031 ya no tendrías motivo legal para mantenerlo. Fijar la política de borrado evita dos errores opuestos, destruir datos demasiado pronto, con el riesgo de sanción, o guardarlos indefinidamente, con el riesgo de incumplir el principio de limitación del plazo de conservación. Para el detalle del acceso y la entrega, consulta cuatro años de conservación.
Los derechos de las personas trabajadoras
La plantilla conserva sus derechos del RGPD sobre estos datos. Los más habituales en control horario son:
- Acceso: pedir copia de sus propios fichajes. Es el más frecuente y suele coincidir con una reclamación de horas extra.
- Rectificación: pedir que se corrija un fichaje erróneo, con el procedimiento de incidencias que tenga la empresa.
- Supresión y oposición: están muy limitados mientras dure la obligación legal de conservar, y la empresa puede explicarlo en su respuesta.
La empresa dispone de un mes para responder a la solicitud, prorrogable en casos complejos según el RGPD. Conviene tener un cauce claro, por ejemplo un correo del departamento de RR. HH., y guardar la respuesta. Un sistema que permite a cada persona consultar sus propios fichajes desde la app reduce mucho estas solicitudes, porque el acceso ya es inmediato.
Proveedores, seguridad y documentación interna
Si usas una aplicación en la nube, el proveedor actúa normalmente como encargado del tratamiento y debe firmar contigo el contrato del artículo 28 del RGPD. Pide que ese contrato indique qué datos trata, para qué, qué medidas de seguridad aplica y qué ocurre con los datos si terminas el servicio. Pregunta también dónde se alojan los datos y si hay transferencias fuera del Espacio Económico Europeo.
Dentro de la empresa, anota el registro de jornada en tu registro de actividades de tratamiento (art. 30 RGPD) y limita los accesos por roles: cada responsable ve a su equipo, RR. HH. ve todo, y la persona trabajadora ve lo suyo. La seguridad también es una cuestión de fiabilidad: un registro que cualquiera puede alterar pierde valor probatorio, algo que verás en fraudes en el fichaje.
Errores frecuentes que conviene evitar
- Pedir un consentimiento firmado y tratarlo como base legal. La base es la ley.
- Instalar una app sin informar antes a la plantilla ni consultar a la RLT.
- Activar geolocalización continua cuando basta con la del momento del fichaje.
- No definir cuándo se borran los registros.
- Dar acceso a los fichajes a personas que no los necesitan para su trabajo.
Ninguno de estos errores cuesta mucho corregirlo si se detecta al empezar. Lo caro es descubrirlo en una reclamación o una inspección.
Cómo te ayuda PontoSimples a cumplir el registro y la protección de datos
PontoSimples registra el fichaje desde la app (Android e iOS) o la web, con geolocalización en el momento del fichaje, y guarda el historial de cada persona para que puedas consultarlo y entregarlo cuando haga falta. Los accesos se organizan por perfiles, y la auditoría de fichajes deja constancia de cada cambio, de modo que el registro conserve su fiabilidad.
Nuestro Equipo de Éxito del Cliente te ayuda a configurar el sistema y a resolver tus dudas de uso. Prueba PontoSimples 30 días gratis y sin permanencia en pontosimples.es.
