Control horario y RGPD: geolocalización, móvil personal y huella digital
Implantar un control horario en 2026 no es solo elegir entre app o tarjeta. Hay tres preguntas legales que pueden meterte en problemas si no las miras con cuidado: la geolocalización del empleado, el uso del móvil personal y, sobre todo, los sistemas biométricos. Esta guía resume lo que el RGPD y la AEPD piden, y dónde están las líneas rojas.
Aviso: este artículo tiene carácter divulgativo. Para aplicación concreta a tu empresa, consulta a tu asesoría laboral o a un especialista en protección de datos.
1. Geolocalización: cuándo es proporcional y cuándo no
La AEPD ha publicado una guía sobre control de presencia que deja claros varios principios:
- Proporcionalidad. La geolocalización solo es admisible si es necesaria para verificar la prestación del trabajo. Para un empleado en oficina, no lo es.
- Información previa. El trabajador debe saber qué se recoge, para qué y con qué base legal.
- Mínima intrusión. Si basta con saber que el empleado está en el centro de trabajo, no hace falta seguirle todo el día.
En la práctica, esto significa: activa la geolocalización solo en el momento del fichaje, no de forma continua, y solo en escenarios donde aporte valor (empleados en movilidad, varios centros, control de acceso a obra). En oficina y teletrabajo voluntario, normalmente sobra.
Caso típico válido: empresa de limpieza que envía empleadas a 8 centros distintos al día. Activar geolocalización en el momento del fichaje permite confirmar que cada hora trabajada se asigna al cliente correcto. Es proporcional y útil para la facturación a cliente.
Caso problemático: empresa que activa geolocalización 24/7 al móvil de todos sus empleados, incluyendo los de oficina. Sin justificación clara, esto puede considerarse desproporcional y abrir la puerta a una sanción de la AEPD.
2. Móvil personal: alternativas obligatorias
Cuando una empresa no proporciona móvil corporativo y obliga a los empleados a fichar desde su teléfono personal, está pidiéndoles usar un dispositivo y consumir datos privados para una obligación laboral. La línea legal aquí es delgada y depende del convenio aplicable, pero hay un principio claro: siempre debe haber alternativas.
Las alternativas habituales que cumplen sin pedir móvil personal:
- QR en la entrada: el empleado escanea con su móvil pero sin instalar app, o lo escanea con un dispositivo compartido.
- PIN en kiosko: tablet compartida en recepción o vestuarios, sin móvil personal.
- Tarjeta RFID: punto fijo de fichaje con dispositivo de la empresa.
- Fichaje web: desde el ordenador para empleados de oficina y teletrabajo.
La regla práctica: si tu única opción de fichar es "instala esta app en tu móvil", y la empresa no proporciona el dispositivo ni paga el plan de datos, puedes tener un problema con algunos convenios y con la representación legal.
3. Huella, cara y otros datos biométricos: cuidado
El RGPD considera los datos biométricos como categoría especial (artículo 9). Su tratamiento exige una base legal reforzada y un test de necesidad y proporcionalidad muy estricto. La AEPD ha sido cada vez más restrictiva: en 2023 publicó nuevos criterios sobre biometría en el ámbito laboral que han hecho mucho más difícil justificar su uso.
En la práctica, hoy:
- Si existe una alternativa menos intrusiva (PIN, QR, RFID), usar huella o cara es difícilmente proporcional.
- El consentimiento del empleado no es base legal válida en relación laboral por el desequilibrio entre las partes.
- Las sanciones de la AEPD por tratamiento indebido de biométricos pueden alcanzar cantidades muy altas.
Por eso Turno Digital no usa biometría. Es una decisión de producto: con móvil, QR, PIN, web y tarjeta RFID se cubre prácticamente cualquier caso de uso sin entrar en el campo minado biométrico.
4. Información obligatoria al empleado
Antes de empezar a fichar, cada empleado debe recibir por escrito:
- Qué datos se recogen (entradas, salidas, ubicación si aplica, dispositivo).
- Para qué se recogen (cumplimiento del registro horario obligatorio).
- Cuál es la base legal (cumplimiento de obligación legal del Art. 34.9 ET).
- Cuánto se conservan (4 años).
- Quién puede acceder (RR. HH., manager, gestoría).
- Cómo ejercer derechos ARCO y qué hacer si quiere reclamar.
Esto suele incluirse en un protocolo interno de control horario firmado por cada empleado, o como anexo al contrato. Lo veremos en otro artículo.
Resumen práctico
- Geolocalización: solo en el momento del fichaje y solo cuando es proporcional. No 24/7.
- Móvil personal: ofrece siempre alternativas (QR, PIN, web, RFID).
- Biometría: evítala salvo casos muy claros y justificados con asesoría legal específica.
- Información al empleado: por escrito, antes de empezar a fichar, con todos los apartados del RGPD.
- Cuando dudes, consulta a tu asesoría laboral. Una multa de la AEPD cuesta mucho más que una consulta.