Fichar con huella dactilar no es legal en España con carácter general. La guía de la AEPD sobre tratamientos de control de presencia mediante sistemas biométricos y los criterios del Comité Europeo de Protección de Datos (CEPD) lo prohíben expresamente al clasificar la huella dactilar como dato de categoría especial bajo el RGPD. Lo mismo aplica al reconocimiento facial y a cualquier otro sistema de fichaje biométrico.
Los sistemas de fichaje elegidos deben evitar el uso de biometría y ofrecer alternativas de fichaje menos intrusivas, como apps o software de control horario preparadas para los requisitos técnicos del Real Decreto sobre registro horario digital en tramitación o fichaje mediante códigos QR dinámicos.
Contenido del artículo
- ¿Por qué no es legal el fichaje biométrico con huella dactilar?
- ¿En qué casos podría usarse la biometría de huella dactilar?
- ¿Necesito consentimiento del trabajador para usar su huella?
- ¿Qué sanciones puede imponer la AEPD por fichar con huella dactilar o reconocimiento facial?
- Sanciones reales por fichaje biométrico en España
- Alternativas legales al fichaje con huella dactilar
- ¿Qué hacer si mi empresa todavía usa un sistema de huella dactilar o reconocimiento facial?
- Conclusión
¿Por qué no es legal el fichaje biométrico con huella dactilar?
La prohibición no deriva de una ley laboral, sino de la normativa de protección de datos. Cuando los datos biométricos se procesan técnicamente para identificar de forma inequívoca a una persona, quedan clasificados como datos de categorías especiales según el artículo 9 del RGPD.
La AEPD publicó a finales de 2023 su guía sobre tratamientos de control de presencia mediante sistemas biométricos, incorporando los nuevos criterios del CEPD. La novedad clave es que, hasta entonces, la AEPD diferenciaba entre identificación y autenticación biométrica. Con los criterios actuales, ambas modalidades se consideran tratamiento de datos sensibles, lo que cierra la puerta al uso de la huella dactilar para el control horario.
Los motivos que fundamentan la prohibición son los siguientes:
- La huella dactilar es una medida desproporcionada e invasiva para la finalidad del control horario.
- Los datos biométricos tienen un alto valor en el mercado negro, lo que eleva el riesgo para los derechos y libertades de los trabajadores.
- En España no existe ninguna norma con rango de ley que legitime su uso para el fichaje, requisito imprescindible para poder aplicarlo.
- El consentimiento del trabajador no es suficiente: en la relación laboral existe un desequilibrio de poder que impide considerar dicho consentimiento libre y voluntario.
¿En qué casos podría usarse la biometría de huella dactilar?
La prohibición no es absoluta en teoría, pero en la práctica resulta inviable para el control horario ordinario. Para que el fichaje biométrico fuera admisible deberían cumplirse simultáneamente estas tres condiciones:
- Existir una norma con rango de ley que lo legitime expresamente (actualmente inexistente en España para este fin).
- Superar el juicio de idoneidad, necesidad y proporcionalidad.
- Demostrar que no existen alternativas menos intrusivas o que las existentes han resultado problemáticas o insuficientemente fiables, con justificación suficiente y documentada.
Los únicos entornos donde podría plantearse son infraestructuras críticas, centros con acceso a información clasificada o entornos con riesgos graves para la seguridad física, siempre que exista una habilitación legal específica. Incluso en esos casos, la empresa debe acreditar una EIPD previa y la imposibilidad real de usar métodos alternativos.
¿Necesito consentimiento del trabajador para usar su huella?
No. Y aunque lo obtuvieras, no sería válido. La AEPD es explícita al respecto: en las relaciones laborales, el desequilibrio de poder entre empresa y empleado impide que el consentimiento pueda considerarse libre, específico e inequívoco, tal como exige el RGPD.
Implantar un sistema de fichaje biométrico con la firma de una autorización del trabajador no elimina la ilegalidad del tratamiento ni protege a la empresa frente a una sanción de la AEPD.
¿Qué sanciones puede imponer la AEPD por fichar con huella dactilar o reconocimiento facial?
El uso de datos biométricos para el control horario es sancionable sin periodo transitorio desde la actualización de criterios de la AEPD. El tratamiento de datos biométricos sin base legal vulnera el artículo 9 del RGPD y se considera infracción muy grave del régimen sancionador europeo:
- Multas de hasta 20 millones de euros o, tratándose de una empresa, hasta el 4% del volumen de facturación anual global del ejercicio financiero anterior, optándose por la cuantía superior (art. 83.5 RGPD).
Además de las multas, la AEPD puede imponer medidas correctivas independientes:
- Orden de cese inmediato del sistema biométrico.
- Supresión obligatoria de todas las plantillas biométricas almacenadas.
- Requerimiento de migración a un sistema alternativo legal.
- Inspecciones y auditorías posteriores.
Sanciones reales por fichaje biométrico en España
Las sanciones no son teóricas. Estos son algunos casos documentados:
- El Club Atlético Osasuna fue sancionado por la AEPD con 200.000 euros por implantar sistemas biométricos (huella y reconocimiento facial) sin base legal suficiente y sin superar el juicio de proporcionalidad.
- El Burgos CF recibió una multa de 200.000 euros por utilizar reconocimiento facial como sistema de acceso, al considerar la AEPD que existían alternativas menos intrusivas.
- La cadena de gimnasios Supera fue sancionada con una multa de 96.000 euros (dentro de un expediente global de 160.000 euros) por imponer reconocimiento facial en el acceso.
- El Tribunal Superior de Justicia de Galicia (STSJ Galicia 144/2026, contra Make Packing SL) condenó a la empresa a abonar 53.766 euros (46.266 por extinción indemnizada del contrato a instancia de la trabajadora ex art. 50.2 ET y 7.500 por daños morales) por obligar a una trabajadora a fichar mediante reconocimiento facial sin ofrecerle una alternativa menos intrusiva.
Alternativas legales al fichaje con huella dactilar
El principio de minimización del RGPD exige usar solo los datos estrictamente necesarios para la finalidad perseguida. Para el control horario existen alternativas que cumplen este principio y los requisitos de la nueva Ley de Control Horario 2026:
- Aplicación móvil o web: fichaje desde cualquier dispositivo con sello de tiempo automático e identificación por usuario y contraseña.
- Código QR dinámico: el trabajador escanea un código que cambia periódicamente, lo que impide el fichaje por terceros. Kronjop incorpora esta funcionalidad con QR dinámico anti-fraude para entornos presenciales, resolviendo precisamente la preocupación que llevó a muchas empresas a adoptar la huella: garantizar que cada empleado ficha personalmente.
- Tarjeta NFC o RFID: identificación personal mediante tarjeta o llavero, válida siempre que esté vinculada a un sistema digital de almacenamiento.
- PIN o código personal: acceso mediante clave individual en terminal físico o aplicación.
- Geolocalización puntual: para equipos en movilidad o teletrabajo. Registra la ubicación solo en el momento del fichaje, sin seguimiento continuo, cumpliendo con el principio de minimización de datos del RGPD.
- Geofencing: define un perímetro geográfico dentro del cual el fichaje es válido, sin necesidad de capturar datos biométricos.
¿Qué hacer si mi empresa todavía usa un sistema de huella dactilar o reconocimiento facial?
La acción debe ser inmediata. No existe plazo de gracia desde la actualización de criterios de la AEPD. Los pasos recomendados son:
- Cesar el tratamiento de datos biométricos de forma inmediata, aunque el sistema alternativo se implante en una segunda fase.
- Eliminar las plantillas biométricas almacenadas en dispositivos, servidores y copias de seguridad, y documentar ese borrado.
- Implantar un sistema alternativo que cumpla con el RGPD y con los requisitos de inalterabilidad y trazabilidad exigidos por la normativa laboral vigente y la reforma de 2026.
- Documentar el proceso de transición: la AEPD puede exigir pruebas de desactivación del sistema, evidencias de borrado de datos y la política de registro horario actualizada.
Conclusión
El fichaje con huella dactilar y con reconocimiento facial es ilegal en España y no tiene solución sencilla: no existe habilitación normativa que lo permita para el control horario ordinario y el consentimiento del trabajador no lo salva. Las sanciones reales publicadas por la AEPD y los tribunales confirman que la norma se aplica. Cambiar de sistema no es solo una cuestión de cumplimiento: es también una oportunidad para modernizar el registro de jornada con herramientas más eficientes, menos intrusivas y alineadas con la nueva Ley de Control Horario.
