Almacenar los registros de jornada de los empleados exige cumplir dos marcos normativos simultáneamente: el Estatuto de los Trabajadores, que impone conservarlos durante cuatro años, y el RGPD, que determina cómo deben protegerse los datos personales que contienen. Hacerlo bien no es solo una cuestión técnica: es una condición de cumplimiento legal.
En este sentido, una solución son los software de control horario que funcionan como un agente de IA para organizar y comprimir los registros en la nube, asegurando que la información ocupe poco espacio y esté blindada ante posibles pérdidas, además de permitir localizar datos específicos al instante, por ejemplo, integrando un buscador inteligente basado en lenguaje natural, que te permita encontrar cualquier fichaje o incidencia con una consulta sencilla.
Contenido del artículo
¿Qué dice la ley sobre dónde almacenar los registros de jornada?
El artículo 34.9 del Estatuto de los Trabajadores, introducido por el Real Decreto-ley 8/2019, establece tres obligaciones concretas respecto al almacenamiento:
- Los registros deben conservarse durante un mínimo de cuatro años
- Deben estar disponibles para los trabajadores, sus representantes y la Inspección de Trabajo
- La empresa es responsable de su custodia, independientemente del sistema utilizado
La ley no impone un soporte concreto. Admite papel, hoja de cálculo o sistema digital. Sin embargo, el RGPD sí condiciona cómo debe protegerse cualquier soporte que contenga datos personales de los trabajadores.
¿Qué exige el RGPD sobre el almacenamiento de estos datos?
Los registros de jornada contienen datos personales: nombre del trabajador, horario de entrada y salida, pausas, ubicación GPS en algunos casos. El artículo 32 del RGPD obliga al responsable del tratamiento a aplicar medidas técnicas apropiadas para garantizar su seguridad.
Las obligaciones concretas que afectan al almacenamiento son:
- Confidencialidad: solo deben acceder las personas autorizadas
- Integridad: los registros no deben poder modificarse sin dejar rastro auditable
- Disponibilidad: deben poder recuperarse en caso de incidente técnico
- Limitación del plazo: no pueden conservarse más tiempo del necesario
El artículo 5.1.e del RGPD (limitación del plazo de conservación) y el artículo 5.1.f (integridad y confidencialidad) son los principios directamente aplicables.
Opciones de almacenamiento y sus implicaciones legales
Almacenamiento local cifrado
Consiste en guardar los registros en servidores o dispositivos propios de la empresa, ubicados en sus instalaciones.
Ventajas:
- Control total sobre los datos y las claves de cifrado
- Sin dependencia de terceros para el acceso
Requisitos técnicos obligatorios:
- Cifrado AES-256 en reposo para toda la base de datos o, preferiblemente, cifrado a nivel de campo para los datos más sensibles
- Backups cifrados y verificables, almacenados en ubicación separada del sistema principal
- Sistema de control de acceso basado en roles (RBAC) que limite quién puede consultar, exportar o modificar los registros
- Audit log inmutable: registro de quién accedió, qué modificó y cuándo, sin posibilidad de alteración posterior
Almacenamiento en la nube con proveedor externo
Es la opción más habitual cuando se utiliza un software de control horario SaaS. El proveedor actúa como encargado del tratamiento y debe firmar un DPA (Data Processing Agreement) conforme al artículo 28 del RGPD antes de tratar ningún dato.
El contrato debe especificar:
- Finalidad y naturaleza del tratamiento
- Medidas de seguridad aplicadas por el proveedor
- Subencargados autorizados y garantías que ofrecen
- Procedimiento ante brechas de seguridad
- Condiciones de devolución o supresión de datos al finalizar el contrato
Sin DPA firmado, la empresa no puede delegar legalmente el almacenamiento en un tercero.
Servidores en la UE: por qué importa la ubicación
El artículo 44 del RGPD prohíbe transferir datos personales a países que no ofrezcan un nivel de protección equivalente al europeo, salvo que existan garantías adecuadas.
Cuando se contrata un proveedor cloud, es imprescindible verificar:
- Que los servidores estén ubicados en la UE o el Espacio Económico Europeo
- Que si el proveedor tiene sede fuera de la UE (por ejemplo, en Estados Unidos), existan cláusulas contractuales tipo aprobadas por la Comisión Europea u otras garantías equivalentes
- Que los subencargados (empresas de infraestructura que usa el proveedor) cumplan las mismas condiciones
Un proveedor con servidores fuera de la UE sin garantías documentadas puede convertir a la empresa contratante en responsable de una transferencia internacional ilícita.
Requisitos técnicos transversales a cualquier sistema
Independientemente de si el almacenamiento es local o en la nube, estos elementos son obligatorios o altamente recomendables:
Retención mínima de 4 años
El Estatuto de los Trabajadores fija cuatro años como plazo mínimo de conservación. El sistema de almacenamiento debe garantizar que los registros no se eliminen antes de ese plazo, ya sea por error, por política automática de borrado o por baja del proveedor.
Backups cifrados y verificables
Las copias de seguridad deben:
- Cifrarse con AES-256 antes de cualquier transferencia o almacenamiento externo
- Verificarse periódicamente mediante hash para confirmar su integridad
- Almacenarse en una ubicación física o lógica separada del sistema principal
- Incluir pruebas de restauración documentadas al menos una vez al año
Audit log inmutable
Cada acceso, consulta, exportación o modificación de un registro de jornada debe quedar registrado en un log que no pueda alterarse. Este log debe recoger:
- Identidad del usuario que realizó la acción
- Tipo de acción realizada
- Fecha y hora exacta
- Dato original y dato nuevo en caso de modificación
Este requisito es especialmente relevante ante una inspección de la Inspección de Trabajo o un procedimiento de la AEPD.
RBAC: control de acceso basado en roles
No todos los usuarios del sistema deben tener acceso a todos los registros. El principio de minimización del RGPD exige limitar el acceso a quienes lo necesiten para su función. Un sistema RBAC permite definir perfiles con permisos diferenciados:
- Administrador: acceso total, gestión de claves y configuración
- RRHH: consulta y exportación de registros del conjunto de la plantilla
- Responsable de equipo: acceso solo a los registros de su equipo
- Trabajador: acceso exclusivo a sus propios registros
Portabilidad de datos y propiedad de los datos
El trabajador tiene derecho a acceder a sus propios registros de jornada (artículo 15 del RGPD) y a solicitar una copia en formato estructurado y legible (artículo 20). El sistema de almacenamiento debe permitir exportar los datos de un trabajador concreto en un formato estándar (CSV, PDF, Excel) sin necesidad de intervención técnica compleja.
La propiedad de los datos corresponde siempre a la empresa como responsable del tratamiento. Si se cambia de proveedor, el contrato debe garantizar la devolución completa de los datos en un formato exportable y su posterior eliminación segura en los sistemas del proveedor saliente.
Qué ocurre si el almacenamiento no cumple los requisitos
La AEPD puede sancionar tanto el incumplimiento de las medidas de seguridad (artículo 32 del RGPD) como la vulneración de los principios de integridad, confidencialidad o limitación del plazo de conservación (artículo 5). Las sanciones pueden alcanzar:
- Hasta 10 millones de euros o el 2% del volumen de negocio por incumplimiento del artículo 32 (art. 83.4 RGPD)
- Hasta 20 millones de euros o el 4% del volumen de negocio si se aprecia vulneración del artículo 5 (art. 83.5 RGPD)
La Inspección de Trabajo, por su parte, puede sancionar la falta de disponibilidad de los registros o su manipulación. El incumplimiento del registro de jornada está tipificado como infracción grave en el artículo 7.5 de la LISOS, con multas de entre 751 y 7.500 euros según el grado (mínimo, medio o máximo), conforme a la actualización introducida por la Ley 10/2021.
Conclusión
Almacenar los registros de jornada de los empleados no se limita a guardar un fichero durante cuatro años. Implica definir una arquitectura de almacenamiento que combine cifrado en reposo, control de accesos, trazabilidad de modificaciones, backups verificables y contratos adecuados con los proveedores. La ubicación de los servidores, la existencia de un DPA firmado y la capacidad de exportar los datos en cualquier momento son elementos que la AEPD y la Inspección de Trabajo verifican en sus actuaciones. Elegir el sistema correcto desde el inicio evita tener que corregirlo bajo presión sancionadora.
