Qué hace especial a un dato biométrico
Entre un número de empleado y una huella dactilar hay una diferencia que va más allá de la privacidad en abstracto. Si alguien descubre tu contraseña, la cambias. Si alguien se hace con tu huella, no puedes cambiar de huella. Por eso el RGPD trata estos datos aparte.
Son datos biométricos los que permiten identificar a una persona por sus características físicas o de comportamiento: la huella, la geometría de la mano, la cara, el iris o la voz. Cuando en 2019 se hizo obligatorio el registro de jornada, muchas empresas compraron terminales de huella porque se los vendían como la opción más cómoda, y pocas se pararon a pensar en la protección de datos.
Definición legal (RGPD, art. 4.14): son datos biométricos los "datos personales obtenidos a partir de un tratamiento técnico específico, relativos a las características físicas, fisiológicas o conductuales de una persona física que permitan o confirmen la identificación única de dicha persona".
El artículo 9 del RGPD y el problema de la base legal
El artículo 9 del RGPD parte de una prohibición: los datos biométricos usados para identificar a una persona no se pueden tratar, salvo que se cumpla alguna de las excepciones del propio artículo. Para el control horario, las dos que se suelen plantear son:
- Art. 9.2.b: que el tratamiento sea necesario para cumplir obligaciones laborales y lo autorice el Derecho de la Unión o del Estado (para la AEPD, en España, una norma con rango de ley) o un convenio colectivo, con garantías adecuadas.
- Art. 9.2.a: el consentimiento explícito del trabajador, que en una relación laboral tiene un problema que vemos más abajo.
El problema de la primera vía es fácil de explicar: no hay ninguna ley que autorice la biometría para el registro de jornada. El artículo 34.9 del Estatuto de los Trabajadores obliga a registrar la hora de entrada y salida de cada trabajador, pero no dice que haya que hacerlo con huella. Eso se puede conseguir con un código personal, una tarjeta o una app.
Y aquí entra el principio de minimización del RGPD (art. 5.1.c): si puedes cumplir la obligación con un método menos invasivo, usar datos biométricos es tratar más datos de los necesarios.
Hoy no hay ninguna ley en España que autorice expresamente la biometría para fichar. Sin esa base, o un convenio que la dé con garantías, el tratamiento difícilmente se sostiene aunque el trabajador haya firmado un consentimiento.
Qué dice la AEPD y qué pasó con su guía
El 23 de noviembre de 2023 la AEPD publicó una Guía sobre tratamientos de control de presencia mediante sistemas biométricos. Su conclusión era muy restrictiva: para el control de presencia de los trabajadores hacía falta una norma con rango de ley que lo autorizara, el consentimiento no valía y había que hacer una evaluación de impacto antes de empezar.
El 30 de junio de 2026, la Audiencia Nacional anuló esa guía. Pero ojo con el motivo: la anuló por un defecto de forma. El tribunal entendió que, aunque se llamaba guía, funcionaba en la práctica como una circular, y la anuló por eso. No entró a valorar si sus criterios eran correctos o no, ni declaró legal el fichaje con huella (Iberley, Confilegal).
En la práctica cambia poco. Lo que prohíbe la biometría por defecto no es la guía, es el artículo 9 del RGPD, y ese sigue igual. Las multas que verás abajo se basan en el RGPD, no en la guía.
Lo que implica: para justificar la biometría tendrías que demostrar que tienes una base legal, que ningún método menos invasivo te sirve y haber hecho antes una evaluación de impacto. En casi cualquier empresa, un código personal o una tarjeta hacen el mismo trabajo sin tratar datos de categoría especial.
Multas y sentencias publicadas, con nombres y cifras
No es teoría. Estos son casos publicados. El primero es justo el que más se parece al de una pyme: una empresa que hacía fichar a su plantilla con la huella.
| Quién | Qué pasó | Importe |
|---|---|---|
| CTC Externalización (AEPD, 2024) | Fichaje con huella de los empleados. La AEPD sancionó por no informar bien a la plantilla, por la seguridad del tratamiento y por no haber hecho la evaluación de impacto (arts. 13, 32 y 35 del RGPD). | 365.000 euros 200.000 + 65.000 + 100.000 euros, según la infracción |
| Una trabajadora (TSJ de Galicia, 2026) | La empresa implantó el fichaje con reconocimiento facial sin contar con ella. El tribunal le dio la razón para extinguir su contrato, por eso y por los retrasos en el pago del salario. | 46.266,90 + 7.501 euros indemnización por la extinción y por daños morales |
| Gimnasios Supera (AEPD, 2025) | Reconocimiento facial como único método de acceso para los socios, sin evaluación de impacto previa. | 160.000 euros 96.000 euros pagados tras las reducciones por reconocer la responsabilidad y pagar pronto |
| LaLiga (AEPD, 2025) | Datos biométricos para el acceso de aficionados a zonas de los estadios. | 1.000.000 de euros LaLiga anunció que lo recurriría |
Fuentes: GDPR Enforcement Tracker (CTC) y Xataka; STSJ de Galicia 144/2026, de 15 de enero (rec. 3564/2025); Xataka (Supera); Genbeta (LaLiga). La multa a CTC no era firme cuando se publicó y LaLiga anunció que recurriría la suya.
Fíjate en el caso de CTC: la mayor parte de la multa no fue por usar la huella en sí, sino por no explicarlo bien a los trabajadores y por no haber hecho la evaluación de impacto. Son obligaciones que muchas empresas con terminales de huella tampoco han cumplido.
Por qué el consentimiento firmado no te protege
"Pero mis empleados firmaron el consentimiento cuando entraron." Es lo que más se oye, y se entiende: si el trabajador aceptó, ¿dónde está el problema?
El RGPD exige que el consentimiento sea libre, específico, informado e inequívoco. En una relación laboral, el Comité Europeo de Protección de Datos (en sus directrices sobre el consentimiento) considera que es difícil que sea libre: quien necesita el trabajo puede sentir que no tiene opción real de decir que no. La AEPD sigue el mismo criterio.
Por eso, si tu sistema de fichaje depende de que el trabajador "acepte" la huella, tienes un problema de base. Y si no le ofreces otra forma de fichar, todavía más.
Cuándo podría estar justificado
El RGPD no prohíbe la biometría en todos los casos. Pero para usarla en el trabajo tendrían que darse varias cosas a la vez:
- Una base legal de las del artículo 9.2, que para el simple registro de jornada hoy no existe.
- Una necesidad real que no se pueda cubrir con otro método, como zonas de alta seguridad con acceso muy restringido.
- Una evaluación de impacto hecha antes de empezar (art. 35 del RGPD), información clara a la plantilla (art. 13) y medidas de seguridad adecuadas (art. 32).
Para una tienda, una obra, una oficina o un bar, esa necesidad no existe. Y que la huella sea más cómoda o que nadie se la olvide en casa no es una base legal.
Qué hacer si tienes terminales de huella activos
Cualquier empleado, actual o antiguo, puede reclamar ante la AEPD en cualquier momento. Si estás leyendo esto con terminales de huella funcionando, conviene hacer tres cosas.
El tercer paso importa más de lo que parece. Hay empresas que quitan el terminal de huella y vuelven a un cuaderno o a un Excel. Resuelven un problema de protección de datos y se crean otro: un Excel que cualquiera puede cambiar sin dejar rastro es difícil de defender ante la Inspección de Trabajo. Aquí explicamos los problemas del Excel.
Alternativas que no usan datos biométricos
Hay varias opciones que permiten llevar el registro sin tratar datos de categoría especial. Lo importante no es cuál parece más moderna, sino cuál encaja con cómo trabaja tu equipo.
Código personal. Cada empleado tiene un código y ficha con él desde cualquier dispositivo con navegador, sea su móvil o una tablet en la entrada. Es la opción más sencilla para equipos que no tienen móvil de empresa o que no se llevan bien con la tecnología.
QR. El empleado escanea un código QR al entrar y al salir. Práctico para equipos que ya usan el móvil durante la jornada.
Tarjeta. Necesita un lector en la entrada, lo que supone comprar y mantener un aparato. Tiene sentido en empresas con una sola entrada y mucha gente a la vez, menos en trabajos que se hacen fuera.
En los tres casos, lo que cuenta es que el registro sea fiable: que cada fichaje quede asociado a una persona y que, si alguien lo corrige, quede constancia. Si además guardas la ubicación solo en el momento de fichar, no tratas ningún dato de categoría especial, aunque sí tienes que informar a la plantilla. Aquí explicamos cómo fichar sin máquina.
CheckInGO funciona con código personal y, si quieres, ubicación en el momento de fichar. Sin biometría.
Pruébalo 7 días gratis →Reconocimiento facial: el mismo problema
La huella se lleva casi todas las preguntas, pero el reconocimiento facial tiene el mismo tratamiento en el RGPD: dato de categoría especial, prohibido por defecto y con excepciones muy estrictas. Las multas a Supera y a LaLiga, y la sentencia del TSJ de Galicia, son precisamente por reconocimiento facial o biometría.
Ojo con los aparatos y las apps que traen el reconocimiento facial como una función más. Que el proveedor lo ofrezca no significa que puedas usarlo: el responsable del tratamiento es tu empresa, no quien te lo vendió.
La sentencia de Galicia añade un riesgo que no es de la AEPD, sino laboral: la trabajadora pudo extinguir su contrato con indemnización y además cobrar 7.501 euros por daños morales.
Ficha sin huella y sin complicarte
Código personal, ubicación opcional en el momento de fichar y la hora del servidor cuando hay conexión. Desde 19 €/mes hasta 10 empleados, sin permanencia.
Pruébalo 7 días gratis →Preguntas frecuentes
¿Está prohibido fichar con huella dactilar en España?
No hay una prohibición expresa solo para fichar, pero el artículo 9 del RGPD prohíbe tratar datos biométricos salvo excepciones, y para el registro de jornada no hay ninguna ley que lo autorice. Con alternativas menos invasivas disponibles, es muy difícil justificarlo. La AEPD ha multado con 365.000 euros a una empresa por el fichaje con huella de su plantilla.
¿La anulación de la guía de la AEPD permite volver a fichar con huella?
No. La Audiencia Nacional anuló la guía el 30 de junio de 2026 por un defecto de forma, porque debía haberse tramitado como una circular. No dijo que el fichaje con huella fuera legal. Las reglas que lo limitan están en el RGPD, y siguen igual.
¿Puedo usar reconocimiento facial en lugar de huella?
Tiene el mismo problema. La cara también es un dato biométrico de categoría especial. Una cadena de gimnasios recibió una multa de 160.000 euros (pagó 96.000) por imponerlo a sus socios, y en 2026 el TSJ de Galicia reconoció a una trabajadora el derecho a extinguir su contrato, en parte por el fichaje con reconocimiento facial.
Mis empleados firmaron un consentimiento. ¿Me protege?
Muy poco. En una relación laboral es difícil que el consentimiento sea libre, porque el trabajador depende de la empresa. Así lo ven el Comité Europeo de Protección de Datos y la AEPD.
¿Qué pasa si un empleado reclama ante la AEPD?
La AEPD puede abrir un procedimiento sancionador. La multa a CTC empezó así, con la reclamación de un trabajador. Además, el empleado puede reclamar por la vía laboral, como en el caso de Galicia.
Si quito el terminal de huella, ¿con qué cumplo el registro de jornada?
Con cualquier sistema que registre cada día la hora de entrada y salida de cada trabajador y que sea fiable. Un código personal sirve y no trata datos biométricos. Aquí explicamos qué buscar en un sistema de fichaje.
¿La ubicación también es un dato sensible?
No es un dato de categoría especial como la huella, pero tienes que informar a la plantilla y limitarla a lo necesario. Lo razonable es guardarla solo en el momento de fichar, sin seguimiento durante la jornada. Así lo hace CheckInGO.