Llegas a la oficina a las ocho y media de la mañana, con el café todavía echando humo en una mano, y estiras la otra para poner el dedo sobre el lector biométrico de la entrada. Un pitido verde y listo: tu jornada laboral ha comenzado oficialmente. Te resulta un gesto tan cotidiano, cómodo y moderno que probablemente nunca te has parado a pensar si esa maquinita cumple con la legislación vigente. Pues bien, tenemos noticias: esa práctica tan habitual se ha convertido en una auténtica bomba de relojería jurídica en España.
De la noche a la mañana, miles de empresas en nuestro país se han encontrado con que el sistema que instalaron para cumplir con la obligación del registro de jornada es, paradójicamente, ilegal. Si eres trabajador, esto te interesa porque afecta directamente a tu privacidad y a tus datos más íntimos. Y si eres empresario o gestionas un equipo, más te vale seguir leyendo si no quieres que la Inspección de Trabajo o la Agencia Española de Protección de Datos (AEPD) te den un susto de seis cifras.
El giro copernicano de la Protección de Datos en España
Para entender cómo hemos llegado hasta aquí, conviene hacer un poco de historia reciente. Durante años, fichar con la huella dactilar o incluso mediante reconocimiento facial se consideraba una solución perfecta. Era un sistema limpio, rápido y, sobre todo, evitaba el famoso «fichaje por el compañero», ese clásico del picaresco ibérico donde alguien pasaba la tarjeta del colega que se había quedado dormido.
Sin embargo, a finales de 2023, la Agencia Española de Protección de Datos (AEPD) dio un golpe sobre la mesa al actualizar sus criterios para adecuar la normativa española a las directrices del Comité Europeo de Protección de Datos (CEPD). La conclusión a la que llegaron fue contundente: el uso de datos biométricos para el control de presencia cotidiano no está justificado salvo en casos objetivamente excepcionales.
¿Y por qué este cambio tan drástico? Porque la AEPD pasó a considerar que tanto la identificación biométrica (saber quién eres entre muchos) como la verificación biométrica (comprobar que eres quien dices ser) procesan datos de categoría especial según el Reglamento General de Protección de Datos (RGPD). Dicho en plata: tu huella dactilar no es como una contraseña que puedes cambiar si te la roban. Si tus datos biométricos se filtran, te los han robado para toda la vida.
El principio de minimización: ¿matar moscas a cañonazos?
El núcleo del problema jurídico radica en un principio fundamental del derecho de protección de datos: el principio de minimización de datos. Este principio establece que solo se deben tratar los datos estrictamente necesarios para cumplir una finalidad concreta.
El objetivo de la empresa es registrar las horas de entrada y salida de sus empleados para cumplir con la ley laboral. Para conseguir ese objetivo, existen decenas de métodos al alcance de cualquiera: una tarjeta magnética, una aplicación en el móvil, un código PIN o incluso una firma en papel. Por tanto, exigir a un trabajador que entregue el mapa biológico de su dedo o el patrón matemático de su cara para saber a qué hora entra a trabajar se considera una medida desproporcionada. Es, literalmente, matar moscas a cañonazos.
¿Y qué pasa si el trabajador firma un consentimiento?
Aquí es donde cae la mayoría de las empresas. Muchas compañías pensaban que bastaba con incluir un anexo en el contrato de trabajo donde el empleado daba su «consentimiento explícito» para que le escanean la huella. Craso error.
La jurisprudencia y las autoridades de control han dejado muy claro que en el ámbito de las relaciones laborales existe un desequilibrio de poder inherente entre la empresa y el trabajador. Por ese motivo, el consentimiento del empleado rara vez se considera voluntario y libre. Si tu jefe te pide que firmes un documento para poder fichar y empezar a trabajar, difícilmente vas a decir que no. Al no ser un consentimiento plenamente libre, carece de validez jurídica a los ojos de la AEPD.
¿Hay excepciones a la regla?
Como en casi todo en el derecho, no existe un «jamás» absoluto, pero las excepciones son tan estrechas que el 99% de las empresas ordinarias no entran en ellas. Para que el uso de la huella dactilar o la cara fuera legal en el control horario, tendría que darse una de las siguientes condiciones:
- Una norma con rango de ley que lo autorice expresamente: En el ordenamiento jurídico español actual, no existe ninguna ley que obligue ni autorice de forma explícita el uso de datos biométricos para el control de jornada en el ámbito laboral general.
- Alto interés público por razones de seguridad crítica: Esto podría aplicar en instalaciones de alta seguridad, como centrales nucleares, zonas restringidas de aeropuertos o infraestructuras críticas del Estado, donde el acceso no autorizado suponga un riesgo grave para la seguridad nacional. Un taller mecánico, un despacho de abogados o un supermercado no entran en este supuesto bajo ningún concepto.
Multas que quitan el hipo
Si estás pensando que esto es pura teoría y que «nunca pasa nada», conviene echar un vistazo a las resoluciones recientes de la AEPD. Las sanciones por tratar datos biométricos sin una base legitimadora sólida no son simples apercibimientos por escrito.
Las multas económicas por vulnerar el RGPD en esta materia pueden alcanzar fácilmente las decenas o cientos de miles de euros, dependiendo del tamaño de la empresa, el número de afectados y el tiempo que haya durado la infracción. De hecho, ya se han dictado resoluciones con sanciones de 20.000, 50.000 y más de 200.000 euros a pymes y grandes empresas que continuaron utilizando sistemas biométricos tras las advertencias del organismo regulador.
¿Qué deben hacer las empresas ahora mismo?
Si en tu empresa todavía se ficha tocando un sensor con el dedo, es el momento de actuar con rapidez. La inacción ya no es una opción excusable. Los pasos recomendados para evitar problemas legales son los siguientes:
1. Retirar inmediatamente los dispositivos biométricos
El primer paso práctico es suspender el uso de lectores de huella y sistemas de reconocimiento facial para el control horario y sustituirlos provisionalmente por métodos analógicos o digitales no invasivos.
2. Destruir las bases de datos biométricas
No basta con desenchufar la máquina. La empresa debe garantizar la supresión irreversible de plantillas biométricas, algoritmos y patrones faciales o dactilares que tenga almacenados en sus servidores o en la memoria de los propios dispositivos.
3. Implantar sistemas alternativos y seguros
Existen múltiples alternativas 100% legales en el mercado: tarjetas RFID de proximidad, llaveros electrónicos, códigos de acceso personalizados, aplicaciones móviles corporativas (sin geolocalización permanente) o intranets de empresa.
Conclusión: Tecnología sí, pero con garantías
El registro de jornada vino para quedarse y proteger a los trabajadores frente a las horas extraordinarias no pagadas, pero la tecnología utilizada para llevarlo a cabo no puede convertirse en un coladero para los derechos fundamentales. El derecho a la protección de datos no es una simple traba burocrática, sino un escudo que garantiza que tu cuerpo y tu identidad sigan perteneciéndote a ti, y no al servidor informático de tu empresa. La lección para el tejido empresarial español es clara: la comodidad del fichaje biométrico sale hoy demasiado cara.
