Fichaje digital y protección de datos: lo que toda empresa debe saber antes de implantar el sistema
Cuando una empresa decide digitalizar su control horario, el primer debate suele girar en torno al cumplimiento del artículo 34.9 del Estatuto de los Trabajadores. Sin embargo, hay otra normativa que pocas asesorías mencionan en ese primer momento: el Reglamento General de Protección de Datos (RGPD) y su transposición española, la Ley Orgánica 3/2018 (LOPDGDD).
Implantar un sistema de fichaje digital supone, casi siempre, tratar datos personales de los empleados: horarios de entrada y salida, ubicaciones GPS, identificadores de tarjeta o el simple historial de presencia vinculado a una persona. ¿Significa esto que no se puede hacer? En absoluto. Significa que hay que hacerlo bien.
¿Qué datos personales trata un sistema de fichaje digital?
Dependiendo del método de fichaje elegido, la empresa puede estar procesando:
- Datos de identificación y horario: nombre del empleado, hora exacta de entrada y salida, días trabajados.
- Datos de localización: cuando se utiliza fichaje por GPS, se registra la posición del trabajador en el momento del fichaje.
- Datos de identificación física: si se usa tarjeta RFID o PIN, se asocia un identificador único a cada persona.
- Datos biométricos: en sistemas que usan reconocimiento facial o huella dactilar, se trata una categoría especial de datos con requisitos reforzados bajo el artículo 9 del RGPD.
Todos estos datos quedan sujetos al RGPD desde el momento en que permiten identificar a una persona física concreta.
¿Cuál es la base jurídica para tratar estos datos?
Aquí está la buena noticia: la base jurídica ya está contemplada en el propio RGPD. El artículo 6.1.c permite el tratamiento cuando es necesario para el cumplimiento de una obligación legal. En este caso, esa obligación es el registro de jornada exigido por el artículo 34.9 del Estatuto de los Trabajadores.
Por tanto, la empresa no necesita el consentimiento del empleado para implantar el sistema de fichaje. Basta con que el tratamiento se limite a la finalidad del control horario y que se informe debidamente al trabajador antes de activarlo.
Las cuatro obligaciones RGPD que no puedes ignorar
1. Informar a los empleados
Antes de poner en marcha el sistema, debes actualizar la cláusula informativa de protección de datos dirigida a los trabajadores. Debe incluir: qué datos se recogen, con qué finalidad, durante cuánto tiempo se conservan, quién tiene acceso y cuáles son sus derechos (acceso, rectificación, supresión, oposición). Esta información puede entregarse por escrito en el momento de la implantación o incluirse en el contrato de trabajo o en la política interna de privacidad.
2. Respetar los plazos de conservación
El artículo 34.9 ET exige conservar los registros de jornada durante cuatro años. El RGPD añade el principio de limitación del plazo de conservación: no puedes guardar los datos más tiempo del estrictamente necesario. Cuatro años es el mínimo legal laboral; transcurrido ese plazo, los datos deben eliminarse o anonimizarse de forma que no sea posible vincularlos a ningún empleado concreto.
3. Firmar un contrato de encargado del tratamiento (DPA)
Si utilizas un software de fichaje en la nube —lo más habitual en la actualidad—, el proveedor SaaS actúa como encargado del tratamiento de los datos de tus empleados. El RGPD exige que formalices un acuerdo de encargado del tratamiento (Data Processing Agreement o DPA) con ese proveedor. Este acuerdo debe garantizar que el proveedor trata los datos solo según tus instrucciones, aplica las medidas de seguridad adecuadas y no los cede a terceros sin tu autorización expresa.
Si tu proveedor de fichaje no te ha ofrecido este documento, es una señal de alarma que conviene resolver cuanto antes.
4. Atención especial al fichaje por GPS
La geolocalización de empleados tiene una capa adicional de complejidad. La Agencia Española de Protección de Datos (AEPD) ha publicado criterios específicos al respecto: el GPS solo puede activarse durante el horario de trabajo, el empleado debe conocer en todo momento que está siendo geolocalizado, y los datos de ubicación no pueden usarse para fines distintos al control horario —como vigilancia continua de movimientos o auditoría de rutas privadas—.
¿Qué ocurre si la empresa incumple el RGPD?
Las sanciones por incumplimiento del RGPD pueden alcanzar los 20 millones de euros o el 4 % de la facturación global anual, dependiendo de la gravedad de la infracción. Pero más allá de la sanción económica, el daño reputacional ante empleados y clientes puede ser igual de costoso.
Los conflictos laborales derivados del uso indebido de datos de geolocalización o de la falta de información previa a los trabajadores han aumentado en los tribunales españoles en los últimos años. En muchos de estos casos, el problema no fue el sistema de fichaje en sí, sino la falta de transparencia y documentación en su implantación.
Cómo simplificar el cumplimiento dual: laboral + RGPD
La clave está en elegir un software de fichaje que haya sido diseñado teniendo en cuenta ambas normativas desde el inicio. ATR Presencia opera en la nube con infraestructura segura y pone a disposición de sus clientes la documentación necesaria para el cumplimiento del RGPD en su condición de encargado del tratamiento.
En cuanto al fichaje por GPS, ATR Presencia registra la ubicación únicamente en el momento del fichaje —entrada y salida—, sin rastreo continuo de los movimientos del empleado. Este diseño se alinea directamente con los criterios de la AEPD y elimina uno de los principales focos de conflicto laboral relacionado con la geolocalización.
Para gestorías y asesorías laborales que implantan sistemas de fichaje en nombre de sus clientes, disponer de este respaldo contractual y técnico es una ventaja competitiva real: puedes ofrecer el servicio garantizando el cumplimiento de ambas normativas, no solo la laboral. Puedes conocer todos los detalles técnicos en la página de funcionalidades de ATR Presencia.
Lista de verificación antes de activar tu sistema de fichaje
Antes de lanzar el sistema en tu empresa, repasa estos puntos:
- ✅ Cláusula informativa de protección de datos actualizada y comunicada a los empleados
- ✅ Registro de Actividades de Tratamiento (RAT) actualizado con la nueva actividad de fichaje
- ✅ Contrato DPA firmado con el proveedor del software de control horario
- ✅ Política de geolocalización definida y documentada si se usa fichaje GPS
- ✅ Procedimiento para el ejercicio de derechos ARCO (Acceso, Rectificación, Cancelación, Oposición) activado
- ✅ Plazos de conservación configurados en el sistema (mínimo 4 años, sin exceder lo necesario)
Con esta base, el fichaje digital deja de ser una obligación cumplida a medias para convertirse en un proceso auditado, seguro y defendible ante cualquier reclamación —ya sea de la Inspección de Trabajo o de la AEPD—.
Si quieres implantar el fichaje digital en tu empresa o gestionar el de tus clientes con todas las garantías legales —tanto laborales como de protección de datos—, puedes consultar las tarifas de ATR Presencia sin compromiso o contactar con nuestro equipo para una propuesta personalizada.