El cifrado de registros de jornada laboral es una medida técnica obligatoria bajo el RGPD para toda empresa que almacene datos de fichaje de sus empleados. Aplicar los estándares correctos protege la información frente a brechas de seguridad y garantiza el cumplimiento ante una inspección de la AEPD.
Es fundamental que la información de los empleados viaje y se guarde de forma totalmente segura para respetar la privacidad. En este sentido, es aconsejable elegir herramientas que utilicen protocolos de cifrado de grado máximo (AES-256), contando con un servicio de soporte que configure automáticamente estas capas de seguridad para que tú no tengas que gestionar claves complejas ni preocuparte por la vulnerabilidad de los datos.
Contenido del artículo
¿Por qué los registros de jornada requieren cifrado?
Los registros de fichaje contienen datos personales identificables: hora de entrada y salida, ubicación GPS, dispositivo utilizado y pausas realizadas.
Desde la perspectiva del RGPD, no son datos neutros. Pueden:
- Revelar patrones de comportamiento y ubicación habitual del trabajador
- Permitir inferir información sensible de forma indirecta
La obligación de llevar estos registros procede del artículo 34.9 del Estatuto de los Trabajadores, introducido por el Real Decreto-ley 8/2019, de 8 de marzo, publicado en el BOE.
La obligación de protegerlos mediante cifrado deriva del artículo 5.1.f y el artículo 32 del Reglamento (UE) 2016/679, que exigen garantizar la integridad y confidencialidad de los datos personales mediante medidas técnicas apropiadas.
¿Qué exige el RGPD en materia de cifrado?
El RGPD no prescribe un algoritmo concreto. El artículo 32.1.a menciona el cifrado expresamente como medida de seguridad apropiada, y establece que su selección debe basarse en:
- La naturaleza de los datos tratados
- El estado de la técnica disponible
- El coste de implantación en relación con el riesgo
- La probabilidad e impacto de una brecha de seguridad
La propia AEPD, en su publicación sobre cifrado y privacidad en el RGPD, considera el cifrado como una garantía esencial para gestionar el riesgo en los tratamientos de datos personales, especialmente cuando la comunicación se realiza a través de Internet o cuando existe riesgo de brecha.
El estándar mínimo aceptable para datos laborales, según la práctica consolidada de las autoridades de control europeas, incluye:
- Cifrado en reposo con AES-256
- Cifrado en tránsito con TLS 1.2 como mínimo (TLS 1.3 recomendado)
- Cifrado de backups con las mismas garantías que los datos en producción
- Gestión de claves mediante HSM o KMS, separada del dato cifrado
Estándares técnicos aplicables
AES-256: cifrado en reposo
AES-256 (Advanced Encryption Standard con clave de 256 bits) es el estándar recomendado por el NIST para el almacenamiento a largo plazo de datos sensibles. Lo utilizan por defecto proveedores como Google Cloud, AWS y Azure para sus capas de almacenamiento.
Su aplicación correcta en registros laborales implica:
- Cifrado de la base de datos completa o, preferiblemente, cifrado a nivel de campo para los datos más sensibles: identificador del trabajador, coordenadas GPS, timestamp
- Rotación periódica de claves de cifrado
- Almacenamiento de claves en un sistema separado del dato cifrado
TLS 1.2+ / TLS 1.3: cifrado en tránsito
Toda transmisión de registros entre el dispositivo del trabajador y el servidor debe realizarse sobre TLS 1.2 como versión mínima. TLS 1.3 es el protocolo recomendado actualmente: elimina conjuntos de cifrado obsoletos y reduce la latencia de conexión.
Los certificados que autentican estas conexiones deben cumplir el estándar X.509, emitidos por una autoridad de certificación reconocida. Un certificado caducado o autofirmado sin validación adecuada puede ser interpretado por la AEPD como medida técnica insuficiente.
SHA-256: integridad de los registros
SHA-256 no cifra: garantiza la integridad del dato. Cada entrada de fichaje puede generar un hash que detecta cualquier modificación posterior del registro original.
Esta práctica da respuesta al principio de integridad establecido en el artículo 5.1.f del RGPD y resulta especialmente relevante en auditorías de la Inspección de Trabajo, donde la inmutabilidad del registro es un requisito directo.
HSM y KMS: gestión segura de claves
El punto más crítico no es el algoritmo elegido, sino dónde y cómo se almacenan las claves. Un dato cifrado con AES-256 cuya clave reside en el mismo sistema no ofrece protección real ante un acceso no autorizado.
Las opciones recomendadas son:
- HSM (Hardware Security Module): dispositivo físico aislado que almacena y gestiona claves con resistencia a manipulaciones físicas
- KMS (Key Management Service): servicio gestionado en la nube (AWS KMS, Azure Key Vault, Google Cloud KMS) con separación lógica entre claves y datos, control de acceso granular y registro de uso auditable
Ambas soluciones permiten implementar políticas de rotación de claves automatizadas y trazabilidad completa de los accesos.
Cifrado de backups: el punto ciego más frecuente
Muchas empresas aplican cifrado en producción pero almacenan copias de seguridad en texto plano o con cifrado de baja complejidad. Según la Guía de Cifrado para autónomos y pymes de la AEPD, las copias de seguridad deben protegerse con las mismas garantías que los datos en producción. El RGPD no establece distinción entre ambos entornos.
Requisitos mínimos para backups de registros laborales:
- Cifrado con AES-256 antes de cualquier transferencia o almacenamiento externo
- Verificación periódica de integridad mediante hash SHA-256
- Claves de backup almacenadas en un sistema separado del propio backup
- Pruebas de restauración documentadas al menos una vez al año
Qué ocurre si no se aplica cifrado adecuado
La AEPD puede iniciar un procedimiento sancionador ante:
- Una brecha de seguridad notificada por la empresa (plazo máximo: 72 horas, según la página oficial de la AEPD sobre notificación de brechas)
- Una denuncia de trabajador o representación sindical
- Una inspección directa de la Agencia
Las sanciones por vulneración del artículo 32 se encuadran en el artículo 83.4 del RGPD:
- Hasta 10 millones de euros, o el 2% del volumen de negocio anual global, aplicándose la cifra mayor
Si además se aprecia vulneración del principio de confidencialidad del artículo 5.1.f, la AEPD puede imponer una sanción adicional por vía del artículo 83.5: hasta 20 millones de euros o el 4% del volumen de negocio. En resoluciones recientes, la Agencia ha aplicado ambos artículos de forma simultánea ante la misma conducta.
Documentación: la obligación que se pasa por alto
Aplicar cifrado no es suficiente. El principio de responsabilidad proactiva del artículo 5.2 del RGPD obliga a poder demostrar el cumplimiento.
Las medidas técnicas deben estar documentadas en:
- El Registro de Actividades de Tratamiento
- El análisis de riesgos o la Evaluación de Impacto en la Protección de Datos (EIPD), si el volumen o la naturaleza de los datos así lo exige
- El contrato con el encargado del tratamiento (artículo 28 del RGPD), si se usa un proveedor externo de control horario
Para verificar la idoneidad del sistema de cifrado implementado, la AEPD pone a disposición la herramienta gratuita ValidaCripto RGPD, que permite evaluar cada elemento del proceso criptográfico sin transmitir datos a la Agencia.
Conclusión
El cifrado de registros de jornada laboral no es una opción técnica: es una exigencia directa del RGPD aplicable desde el momento en que una empresa trata datos de fichaje. AES-256 para datos en reposo, TLS 1.3 para tránsito, SHA-256 para integridad y una gestión de claves separada mediante HSM o KMS son los pilares de una arquitectura de cumplimiento real. La brecha más frecuente no aparece en el algoritmo elegido, sino en los backups sin cifrar y en la gestión descuidada de las claves: dos puntos que la AEPD ha señalado de forma recurrente en sus resoluciones sancionadoras.
