Registro de jornada y protección de datos: qué datos se pueden tratar

Implantar un sistema de fichaje es, desde el punto de vista del RGPD, empezar un tratamiento de datos personales de toda la plantilla, todos los días, durante años. Hacerlo bien no es complicado si tienes claras cinco cosas: con qué base legal, qué datos, quién los ve, cuánto tiempo y con qué proveedor. Vamos punto por punto.

¿Necesito el consentimiento de los trabajadores para el registro de jornada?

No. El registro de jornada es una obligación legal impuesta por el art. 34.9 del Estatuto de los Trabajadores, y el art. 6.1.c del RGPD legitima los tratamientos necesarios para cumplirla. Además, en una relación laboral el consentimiento rara vez es válido, porque el trabajador no está en condiciones de negarse libremente.

Lo que sí necesitas es informar. Los arts. 13 del RGPD y 11 de la LOPDGDD obligan a explicar, como mínimo:

• Quién es el responsable del tratamiento y cómo contactar con él (y con el delegado de protección de datos, si lo hay).
• Para qué se usan los datos: cumplir el registro de jornada y gestionar el tiempo de trabajo.
• La base legal: la obligación del art. 34.9 ET.
• Quién puede acceder: la propia persona, sus responsables, los representantes, la Inspección y, en su caso, el proveedor del sistema como encargado.
• Cuánto tiempo se conservan: cuatro años.
• Cómo ejercer los derechos de acceso, rectificación y demás.

Un documento de una o dos páginas entregado a cada persona, y guardada la constancia de entrega, suele ser suficiente.

¿Qué datos se pueden tratar al fichar?

El principio de minimización (art. 5.1.c RGPD) exige tratar solo los datos adecuados, pertinentes y limitados a lo necesario.

Fichaje biométrico: el criterio de la AEPD

En su guía sobre tratamientos de control de presencia mediante sistemas biométricos (2023), la Agencia Española de Protección de Datos considera que los datos biométricos usados para identificar o autenticar a una persona son datos de categoría especial. Para tratarlos haría falta una excepción del art. 9.2 del RGPD, y la AEPD entiende que la normativa laboral no habilita de forma suficiente el uso de la biometría para el registro de jornada, ni el consentimiento es válido en este contexto. Existiendo alternativas menos intrusivas, como una app, una tarjeta o un PIN, el fichaje biométrico es difícil de justificar.

Es distinto el caso en que el trabajador desbloquea su propio teléfono con su huella o su cara y la empresa nunca recibe ni guarda esa información biométrica. Aun así, si dudas, consulta a tu delegado de protección de datos o a tu asesor.

¿Quién puede ver los datos del registro?

Los accesos deben limitarse a quien los necesita: el propio trabajador, quien gestiona la jornada (por ejemplo, el responsable de su equipo, no todos los responsables), administración, los representantes legales en lo necesario para su función y la Inspección de Trabajo. Lo explicamos en detalle en quién puede consultar el registro de jornada.

Una medida sencilla y eficaz: que cada perfil vea solo lo suyo y que los accesos externos sean de solo lectura y caduquen.

El proveedor del software es encargado del tratamiento

Si usas una aplicación de fichaje en la nube, el proveedor trata los datos por cuenta de tu empresa. El art. 28 del RGPD exige un contrato de encargo del tratamiento con contenido mínimo. Antes de contratar, comprueba:

• Que existe ese contrato o cláusulas, normalmente en las condiciones del servicio.
• Dónde se guardan los datos. Si salen del Espacio Económico Europeo, debe haber garantías para la transferencia.
• Qué medidas de seguridad aplica (art. 32 RGPD): cifrado, copias, control de accesos.
• Qué subencargados usa.
• Qué pasa con los datos cuando terminas el contrato, y cómo puedes exportarlos.

Otras obligaciones que se suelen olvidar

• Registro de actividades de tratamiento (art. 30 RGPD): aunque tengas menos de 250 trabajadores, el registro de jornada es un tratamiento habitual, no ocasional, así que debe figurar.
• Evaluación de impacto (art. 35 RGPD): un fichaje básico no suele requerirla, pero sí puede ser necesaria si añades geolocalización sistemática, biometría u otros controles intensivos. Valóralo antes de implantarlos.
• Plazo de conservación: cuatro años y, después, supresión con el bloqueo previo del art. 32 LOPDGDD. Lo explicamos en cuánto tiempo hay que conservar el registro.
• Brechas de seguridad: si se filtran datos del registro, puede haber que notificarlo a la AEPD en 72 horas (art. 33 RGPD).

Ejemplo: una empresa que quiere añadir ubicación

Supuesto ilustrativo: una empresa de mantenimiento con 20 técnicos quiere guardar la ubicación al fichar para acreditar las visitas a clientes.

1. Valora si es necesario o si basta con el QR del cliente o con el parte de trabajo.
2. Si decide usarla, solo en el momento del fichaje y nunca fuera de la jornada.
3. Informa por escrito antes de activarla, a la plantilla y a los representantes, explicando qué se recoge y para qué (art. 90 LOPDGDD).
4. Limita quién ve la ubicación y durante cuánto tiempo.
5. Lo deja documentado en el registro de actividades.

Tienes la guía completa en geolocalización al fichar: cuándo es legal.

Fichaje con privacidad desde el diseño

Tempo guarda los datos en servidores en España, con el DNI cifrado y accesos por perfil: cada responsable ve solo a su departamento y la representación ve el DNI enmascarado. La ubicación y el QR son opcionales y los decide cada empresa, la ubicación se toma solo al fichar, y la huella del móvil se queda en el propio teléfono. Conoce los detalles en la página de Tempo.