¿Es legal fichar con huella dactilar en el trabajo?

¿Qué requisitos legales exige fichar con huella dactilar?

La sentencia 367/2026 de la Audiencia Nacional, de 30 de junio, anuló la aprobación y publicación de la guía de la AEPD de 2023 por no seguir el procedimiento de elaboración de circulares. El propio fallo contempla la posibilidad de revisión en casación. Esta controversia y su posible evolución aconsejan prudencia: para empresas que necesitan estabilidad en el registro de jornada, recomendamos priorizar métodos no biométricos. La anulación no autoriza de forma general la biometría ni elimina las exigencias del RGPD.

• El tratamiento de datos biométricos dirigido a identificar de manera unívoca al trabajador requiere una base jurídica del artículo 6 y una excepción aplicable del artículo 9.2 del RGPD, además de necesidad, proporcionalidad y garantías adecuadas.
• La empresa debe demostrar necesidad, proporcionalidad y excepcionalidad para poder recopilarlos.
• El consentimiento no puede presumirse libre en una relación laboral por el desequilibrio entre empresa y trabajador. Recoger una firma o una autorización de la plantilla no basta para legitimar el tratamiento.
• La evaluación de impacto debe realizarse cuando sea exigible por el riesgo del tratamiento. Ni la EIPD ni el cifrado sustituyen la legitimación jurídica.

Multas por fichar con huella dactilar

El fichaje con huella puede dar lugar a sanciones si el tratamiento infringe el RGPD. La anulación de la guía no deja automáticamente sin efecto sanciones anteriores: cada expediente debe examinarse por su fundamento y situación procesal.

Tipos de sanciones y cuantías

• Infracción grave (RGPD): Tratamiento de datos biométricos sin base legal suficiente o sin cumplir los principios de necesidad y proporcionalidad: Multas de hasta 10 millones de euros o el 2 % de la facturación anual global (la cantidad que resulte mayor).
• Infracción muy grave (RGPD): Uso sistemático de la huella dactilar, ausencia de Evaluación de Impacto (EIPD), o mantenimiento del sistema pese a advertencias: Multas de hasta 20 millones de euros o el 4 % de la facturación anual global.
• Sanciones adicionales: Además de la multa económica, la autoridad puede imponer:
  • Orden de cese inmediato del sistema biométrico.
  • Supresión obligatoria de todas las plantillas biométricas.
  • Requerimientos de adaptación a un sistema alternativo.
  • Inspecciones y auditorías posteriores.

Ejemplos reales de sanciones

• La AEPD multa a una empresa por incluir un sistema de fichaje mediante huella dactilar sin seguir las reglas del RGPD: 365.000 euros de multa.
• La AEPD sanciona el tratamiento de datos biométricos con IA en la evaluación universitaria online: criterios jurídicos de la AEPD.
• Sanción de la AEPD por usar huella dactilar de empleados sin cumplir la ley de protección de datos: multa de 12.000 euros.
• La AEPD sanciona al Colegio Notarial de Aragón por el uso de huella dactilar en el registro de jornada laboral: suspensión inmediata de recogida de datos.
• El uso de la huella dactilar para el control horario no cumple con los requisitos de necesidad y seguridad del RGPD: multa de 365.000 euros a empresa de logística.

Impacto práctico para la empresa

• Riesgo económico elevado, incluso para pymes y autónomos, por sanciones que pueden alcanzar cientos de miles de euros en la práctica.
• Costes indirectos de adaptación, derivados de la retirada urgente del sistema biométrico, adquisición de un nuevo método de fichaje y horas de gestión interna.
• Conflictos laborales y pérdida de confianza de la plantilla, al percibirse el uso de la huella como una medida intrusiva.
• Suprimir las plantillas cuando proceda conforme al artículo 17 del RGPD y a las órdenes aplicables, documentando el proceso. Valorar las excepciones legales de conservación y, en su caso, el bloqueo, sin continuar utilizándolas para fichar.
• Daño reputacional, especialmente si la sanción se hace pública o afecta a la relación con clientes y proveedores.
• Mayor probabilidad de inspecciones futuras, al quedar la empresa bajo seguimiento de la AEPD o de la Inspección de Trabajo.

Alternativas cuando no se puede fichar con huella

• Software de control horario digital con usuario y contraseña.
• Fichaje mediante PIN o código individual.
• Tarjetas identificativas (RFID, proximidad o banda magnética).
• Códigos QR individuales o dinámicos.
• Fichaje desde app móvil (Android / iOS).
• Fichaje web desde navegador.
• Geolocalización puntual para empleados en movilidad.
• Geofencing (perímetros virtuales de fichaje).
• Fichaje por terminal táctil compartido sin biometría.
• Registro horario integrado en software de RR. HH.
• Sistemas híbridos (app + web + tarjeta), según el tipo de puesto.

Pasos para migrar a un sistema legal de fichaje

1. Auditar el sistema actual: identificar terminales biométricos activos, proveedores implicados y datos biométricos almacenados.
2. Si el tratamiento carece de legitimación, debe cesar; también debe cumplirse cualquier orden de la autoridad que resulte aplicable. Instalar otro sistema no permite prolongar un tratamiento ilícito.
3. Suprimir las plantillas cuando proceda conforme al artículo 17 del RGPD y a las órdenes aplicables, documentando el proceso. Valorar las excepciones legales de conservación y, en su caso, el bloqueo, sin continuar utilizándolas para fichar.
4. Elegir un sistema de fichaje legal: optar por app, web, PIN, tarjeta o QR que permita registrar identidad, hora y jornada sin datos biométricos.
5. Configurar el nuevo sistema: definir usuarios, horarios, centros de trabajo, reglas de fichaje y conservación de registros.
6. Actualizar la documentación interna: política de registro horario, información a trabajadores y, si procede, el registro de actividades de tratamiento.
7. Informar a la plantilla: comunicar el cambio, los motivos legales y el nuevo método de fichaje.
8. Formar a responsables y empleados: asegurar un uso correcto desde el primer día.
9. Conservar evidencias del cambio: guardar pruebas de la desactivación de la huella y de la implantación del nuevo sistema ante posibles inspecciones.

Preguntas frecuentes

¿Qué documentación nos puede pedir la AEPD o la Inspección de Trabajo?

Pruebas de desactivación del sistema biométrico, acreditación de borrado de datos, política de registro horario actualizada y evidencias del nuevo sistema implantado.

¿Es legal que la empresa mantenga los dispositivos de huella activos mientras instala otro sistema?

Si el tratamiento carece de legitimación, debe cesar; también debe cumplirse cualquier orden de la autoridad que resulte aplicable. Instalar otro sistema no permite prolongar un tratamiento ilícito.

Si cambiamos de método, ¿Durante cuánto tiempo debemos conservar las pruebas de la migración?

Al menos durante el plazo legal de conservación del registro horario y mientras pueda existir una actuación inspectora o procedimiento sancionador.

¿Qué alternativa es la más segura para evitar sanciones?

Recomendamos un sistema sin biometría que permita identificar al trabajador y registrar su jornada. Evita el tratamiento de huellas y la incertidumbre asociada a su utilización para fichar, aunque también exige cumplir las obligaciones de información, seguridad y conservación de los datos.