Cristina Pau Tolosa, abogada del Departamento Jurídico-Procesal de SEBASTIÁ Abogados y Economistas, explica las nuevas restricciones al fichaje con huella dactilar y cómo adaptarse para evitar sanciones.

Hasta hace muy poco, el control de presencia mediante huella dactilar o reconocimiento facial era el sistema estrella en muchas empresas españolas. Era cómodo, evitaba que los empleados ficharan por sus compañeros y parecía la solución tecnológica perfecta para cumplir con la obligación de registro de jornada del Estatuto de los Trabajadores. Sin embargo, tras el cambio de criterio de la Agencia Española de Protección de Datos (AEPD) y la publicación de la Guía sobre tratamientos de control de presencia mediante sistemas biométricos, mantener este sistema activo en 2026 supone asumir un riesgo jurídico muy elevado para la empresa.

La AEPD ha endurecido notablemente su interpretación, en línea con las directrices del Comité Europeo de Protección de Datos (CEPD), y ha empezado a imponer sanciones muy elevadas por el uso de datos biométricos en el control horario ordinario de la plantilla. Existen ya resoluciones en las que se sanciona a empresas con importes superiores a los 300.000 euros por utilizar huellas dactilares de manera desproporcionada para el registro de jornada.

La huella dactilar ya no es un simple dato, es "categoría especial".

El núcleo del problema jurídico está en cómo se califica ahora la biometría. La AEPD, interpretando el Reglamento (UE) 2016/679 (RGPD) y las orientaciones del CEPD, considera que los sistemas que permiten identificar de manera unívoca a una persona a partir de su huella o su rostro implican tratamiento de datos biométricos de categoría especial cuando se utilizan con fines de identificación. En estos casos resultan aplicables las restricciones del artículo 9 RGPD, equiparables a las de datos de salud, orientación sexual o ideología.

Por ello, el tratamiento de datos biométricos con fines de control de presencia o acceso con finalidad laboral se considera, por regla general, prohibido, salvo que concurra alguna de las excepciones tasadas del artículo 9.2 RGPD y que, además, el sistema supere un estricto juicio de necesidad y proporcionalidad. La propia guía de la AEPD enfatiza que, en el contexto laboral, el uso de biometría para el mero registro horario raramente superará este test cuando existan alternativas menos intrusivas.

¿Por qué el "consentimiento del trabajador" ya no sirve?

Un error muy frecuente que vemos en empresas es pensar que, si el trabajador firma un documento aceptando fichar con su huella, el tratamiento queda legitimado. Esto no es correcto.

La AEPD recuerda que en el ámbito laboral existe un desequilibrio de poder entre empresario y trabajador que impide considerar el consentimiento como “libre” en el sentido del artículo 4.11 y 7 RGPD. En consecuencia, el consentimiento del trabajador no suele ser válido para levantar la prohibición del artículo 9 RGPD en el tratamiento de datos biométricos con fines de control horario.

Además, tampoco resulta suficiente invocar que el sistema biométrico sea “necesario” para cumplir la obligación de registro de jornada, ya que ni el Estatuto de los Trabajadores ni otra norma española exigen el uso de biometría para esta finalidad. La AEPD insiste en que existen alternativas menos intrusivas -tarjetas de proximidad, códigos PIN, sistemas de fichaje mediante aplicaciones o plataformas digitales- que permiten cumplir igualmente con el deber de registro horario sin impactar de manera tan intensa en los derechos fundamentales de los empleados.

¿Cuándo podría ser legal el fichaje biométrico?

El tratamiento de datos biométricos en el ámbito laboral solo podría considerarse lícito, de forma excepcional, cuando concurra alguna de las bases del artículo 9.2 RGPD y se supere la evaluación de impacto y el test de proporcionalidad exigidos por la AEPD. Entre los supuestos que la doctrina suele citar están:

• Interés público esencial: Por ejemplo, control de acceso a instalaciones críticas (centrales nucleares, infraestructuras estratégicas, laboratorios con agentes biológicos peligrosos), siempre que exista una base legal específica que lo habilite.

• Obligación legal o habilitación normativa específica: Una ley nacional o normativa sectorial que imponga medidas reforzadas de seguridad y prevea expresamente el uso de biometría.

• Convenio colectivo o acuerdos colectivos, siempre que recojan de forma clara el sistema, sus finalidades y garantías, y que aun así se superen los requisitos de proporcionalidad, necesidad y minimización que exige la AEPD.

Incluso en estos escenarios, la empresa debe realizar una Evaluación de Impacto en Protección de Datos (EIPD), acreditar que no existen medios menos intrusivos y aplicar medidas técnicas avanzadas (cifrado, control estricto de accesos, imposibilidad de reutilización de plantillas, etc.).

¿Qué debes hacer si tu empresa tiene tornos biométricos?

Si tu organización sigue utilizando huellas dactilares o reconocimiento facial para abrir puertas, controlar accesos o registrar la jornada, la recomendación jurídica actual es revisar el sistema de inmediato para mitigar el riesgo de sanción ante una posible reclamación o inspección.

Al menos, deberías:

• Paralizar o reevaluar el tratamiento biométrico: Suspende temporalmente el uso del lector de huella o reconocimiento facial para el control horario estándar y analiza, con apoyo jurídico y de tu Delegado de Protección de Datos (DPO), si realmente puedes justificarlo bajo las nuevas directrices de la AEPD. En la mayoría de empresas será más prudente migrar a alternativas como tarjetas RFID, códigos o aplicaciones.

• Sustituir el sistema por alternativas menos intrusivas: Implanta sistemas de fichaje que no impliquen tratamiento de datos biométricos: tarjetas de proximidad, contraseñas alfanuméricas, soluciones de registro mediante app o portal del empleado, siempre con autenticación adecuada y registros fiables. Estos mecanismos cumplen con el registro de jornada exigido por la normativa laboral sin tratar datos de categoría especial.

• Suprimir las plantillas biométricas almacenadas: No basta con “desenchufar” el torno. Debes suprimir las plantillas biométricas y registros asociados tanto de los dispositivos como de los servidores y copias de seguridad, aplicando políticas de borrado seguro. La guía de la AEPD exige que los datos biométricos se supriman cuando dejen de ser necesarios para la finalidad que justificó su tratamiento.

• Actualizar la documentación y la política de privacidad: La actualización del sistema de fichaje debe reflejarse en tu registro de actividades de tratamiento, en la documentación interna de cumplimiento y en las cláusulas de información a los trabajadores. Es esencial informar de forma clara a la plantilla sobre el nuevo sistema, la base jurídica, los plazos de conservación y los derechos que pueden ejercer.

• Realizar auditorías y revisiones periódicas: La AEPD insiste en la necesidad de integrar la protección de datos “desde el diseño y por defecto” y de reevaluar periódicamente los sistemas de control de presencia y acceso. Una auditoría interna o externa permitirá detectar tratamientos de alto riesgo y corregirlos antes de que se traduzcan en sanciones.

La revisión de los sistemas biométricos forma parte de una estrategia más amplia de cumplimiento normativo. Contar con un programa de Compliance ayuda a identificar riesgos legales antes de que se conviertan en sanciones.

La digitalización de las empresas no puede avanzar de espaldas a la protección de los derechos fundamentales. Desde el departamento jurídico de SEBASTIÁ Abogados y Economistas, recomendamos auditar los sistemas de control de presencia.

¿Tienes dudas sobre si tu sistema de fichaje cumple la ley en 2026? Contacta con nuestro equipo de abogados especializados en Compliance y Protección de Datos. Analizaremos tu situación y te propondremos alternativas legales para garantizar el control horario sin exponerte a sanciones de la AEPD.

📩 Contacta con nosotros

Cristina Pau Tolosa abogada

Abogada del Departamento Jurídico-Procesal