Cómo informar a los trabajadores sobre el sistema de fichaje: obligaciones según el RGPD

Informar a los trabajadores sobre el sistema de fichaje exige una comunicación previa, clara y documentada sobre qué datos se recogen, para qué se usan, con qué base jurídica, quién puede acceder y durante cuánto tiempo se conservan. El registro horario es obligatorio, pero su implantación debe respetar el art. 13 del RGPD, la LOPDGDD y el Estatuto de los Trabajadores.

Se recomienda que el propio sistema de fichaje cuente con un servicio de asesoramiento en español que informe a la empresa sobre qué método de fichaje elegir, y cómo comunicar su puesta en marcha a los empleados.

¿Qué obliga exactamente la empresa cuando implanta un sistema de fichaje?

La empresa debe cumplir dos obligaciones distintas, pero conectadas: una laboral y otra de protección de datos.

Obligación laboral

La empresa debe:

1. Garantizar un registro diario de jornada.
2. Registrar la hora concreta de inicio y de finalización.
3. Conservar los registros durante cuatro años.
4. Mantenerlos a disposición de:
   • las personas trabajadoras
   • sus representantes legales
   • la Inspección de Trabajo y Seguridad Social.

Obligación de protección de datos

La empresa debe:

1. Informar a la plantilla sobre el tratamiento de datos.
2. Limitar los datos a los imprescindibles.
3. Evitar usos distintos al control de jornada.
4. Aplicar medidas de seguridad acordes al sistema usado.
5. Identificar si interviene un proveedor externo como encargado del tratamiento.

La guía de la AEPD sobre protección de datos en las relaciones laborales ayuda a aterrizar estas obligaciones en el contexto del registro horario, la geolocalización y el acceso a los datos.

¿Por qué no basta con avisar de que “a partir del lunes hay que fichar con esta app”?

Porque el sistema de fichaje no es solo una instrucción organizativa: también supone un tratamiento de datos personales. Cuando los datos se obtienen directamente del trabajador, el artículo 13 del RGPD obliga a facilitar información en el momento de la recogida.

Eso obliga a ir más allá del aviso operativo. La empresa no solo debe comunicar que el fichaje es obligatorio, sino también explicar:

1. quién trata los datos
2. con qué finalidad
3. con qué base jurídica
4. quién puede recibirlos
5. cuánto tiempo se conservan
6. qué derechos puede ejercer la persona trabajadora.

¿Cuál es la base jurídica del tratamiento?

Respuesta directa

La base jurídica ordinaria del fichaje es la obligación legal, no el consentimiento. Para implantar el registro de jornada no se precisa el consentimiento del trabajador, porque el artículo 34.9 del Estatuto de los Trabajadores ya obliga a la empresa a realizar ese registro.

Qué implica esto en la práctica

1. La empresa no debe pedir consentimiento para el control horario normal.
2. Sí debe informar previamente de la existencia del sistema.
3. También debe informar de la finalidad del tratamiento.
4. Debe poder justificar que el sistema elegido es el menos invasivo posible para esa finalidad.

¿Qué debe incluir la cláusula informativa del art. 13 RGPD?

Resumen ejecutivo

La cláusula informativa es la pieza central del deber de transparencia. Si la empresa no entrega esa información de forma clara, el sistema puede estar bien implantado desde el punto de vista laboral y mal resuelto desde protección de datos.

Contenido mínimo que debe aparecer

1. Identidad y datos de contacto del responsable.
2. Datos de contacto del DPD, si existe.
3. Finalidad del tratamiento.
4. Base jurídica del tratamiento.
5. Destinatarios o categorías de destinatarios.
6. Plazo de conservación o criterio para fijarlo.
7. Derechos de acceso, rectificación, supresión, limitación, oposición y, cuando proceda, portabilidad.
8. Derecho a presentar reclamación ante la autoridad de control.

La cláusula del sistema de fichaje debería explicar, de forma simple:

1. qué herramienta se usará
2. desde qué fecha
3. qué datos genera cada fichaje
4. para qué se usarán
5. quién podrá verlos
6. cómo corregir errores
7. cómo ejercer derechos.

¿Qué debe decir la comunicación de la obligatoriedad?

La comunicación de la obligatoriedad debe dejar claro que el fichaje pasa a ser un procedimiento interno exigible, pero sin confundir ese mensaje con una petición de consentimiento. Lo correcto es presentar la medida como una obligación legal y organizativa, acompañada de la información RGPD correspondiente.

Elementos que conviene incluir

1. Fecha de entrada en vigor.
2. Personas afectadas.
3. Canal o dispositivo de fichaje.
4. Momentos en los que debe ficharse.
5. Gestión de incidencias.
6. Referencia a la cláusula informativa.
7. Canal de contacto con RRHH o con el DPD, si existe.

Formato más sólido

1. Correo o circular interna.
2. Cláusula informativa separada o integrada.
3. Protocolo breve de uso.
4. Prueba de entrega o recepción.

La norma no impone un formato único de notificación, pero el RGPD sí exige poder demostrar cumplimiento, por lo que dejar trazabilidad interna es una práctica coherente con la responsabilidad proactiva.

¿Qué detalles del sistema de fichaje conviene explicar bien?

Esta parte es clave porque muchos textos informan del “deber de fichar”, pero no de los detalles del sistema de fichaje. Ahí suelen nacer los problemas reales: dudas sobre geolocalización, acceso a datos, corrección de errores o visibilidad de los registros.

Debe explicarse, como mínimo

1. Qué sistema se usa:
   • terminal físico
   • app
   • web
   • QR
   • tarjeta
   • PIN
2. Qué datos recoge:
   • identificación
   • fecha
   • hora de inicio
   • hora de fin
   • incidencias
   • ubicación, solo si realmente aplica
3. Quién puede acceder:
   • RRHH
   • administración de personal
   • proveedor tecnológico, si actúa como encargado
   • ITSS o RLT cuando proceda legalmente
4. Cómo se corrigen fichajes olvidados o erróneos.
5. Qué medidas impiden accesos indebidos.

El registro no debe incluir más datos que los imprescindibles y no puede ser de acceso público ni estar visible para otras personas trabajadoras, clientes o proveedores (principios de minimización y confidencialidad, art. 5.1.c y 5.1.f RGPD).

¿Se pueden comunicar los datos del fichaje a la ITSS?

Sí. Las reglas de protección de datos no pueden impedir la transmisión de la información pertinente a la Inspección de Trabajo y Seguridad Social cuando la reclame en el ejercicio de sus funciones.

Cómo conviene reflejarlo en el post

1. Los registros podrán ser consultados internamente por personal autorizado.
2. Podrán ponerse a disposición de la Inspección de Trabajo cuando exista requerimiento legal.
3. También podrán ser accesibles para la representación legal de los trabajadores en los términos previstos por la normativa aplicable.

¿Puede usarse geolocalización en el sistema de fichaje?

Sí, pero no de cualquier forma. La LOPDGDD, en su artículo 90 permite tratar datos obtenidos mediante sistemas de geolocalización para funciones de control laboral, pero exige una información previa, expresa, clara e inequívoca sobre la existencia y características del sistema, además de informar sobre determinados derechos.

Qué debe quedar claro

1. La geolocalización no puede implantarse como un añadido opaco.
2. Debe explicarse cómo funciona.
3. Debe justificarse por qué es necesaria.
4. Debe superar un juicio de proporcionalidad.

Qué conviene contar de forma clara en el artículo

1. No presentar la geolocalización como vigilancia continua.
2. Explicar si la ubicación se capta:
   • de forma puntual
   • al inicio y al fin
   • o durante todo el tiempo
3. Añadir por qué ese nivel de control es proporcionado al puesto.

¿Hace falta consentimiento explícito para geolocalización?

Como regla general, no es correcto presentar la geolocalización laboral como un tratamiento basado en consentimiento explícito. En este contexto, la base suele estar en la habilitación legal y en las facultades de control empresarial, con el límite de la proporcionalidad y con obligación de información previa.

Por eso, en el post conviene sustituir la idea de “consentimiento explícito” por esta formulación:

1. información previa expresa
2. justificación de necesidad
3. proporcionalidad
4. minimización del dato de ubicación

¿Cuándo puede ser necesaria una EIPD?

Según el número de trabajadores y el formato usado, podría ser necesario realizar una evaluación de impacto. Esto cobra especial relevancia cuando el sistema utiliza datos biométricos.

Casos en los que el riesgo sube claramente

1. Biometría para control de presencia.
2. Tecnologías nuevas o especialmente intrusivas.
3. Sistemas con seguimiento intensivo o difícilmente justificable.

Qué implica en la práctica

Antes de implantar un sistema biométrico o especialmente invasivo, la empresa debe analizar:

1. si el sistema es idóneo
2. si es necesario
3. si existe una alternativa menos intrusiva
4. si la medida es proporcionada

¿Qué pasa si el fichaje se hace desde el móvil personal?

Aquí conviene ser prudente. No hay una regla general oficial que imponga, en todos los casos, un acuerdo por uso de dispositivo personal como requisito legal automático del sistema de fichaje. Lo más exacto es tratarlo como una buena práctica organizativa.

Qué sí conviene documentar

1. si el uso del móvil personal está permitido
2. si es voluntario o impuesto
3. qué datos recoge la app
4. si accede a ubicación
5. cómo se gestionan incidencias y soporte
6. qué medidas de seguridad se aplican

¿Qué errores cometen más las empresas al informar sobre el fichaje?

1. Anunciar el sistema sin cláusula informativa.
2. Pedir consentimiento cuando la base es la obligación legal.
3. No delimitar la finalidad del tratamiento.
4. Recoger más datos de los necesarios.
5. Usar geolocalización sin explicar sus características.
6. No valorar una EIPD en sistemas biométricos.
7. Permitir que otros trabajadores vean registros ajenos.

Conclusión

Informar a los trabajadores sobre el sistema de fichaje no consiste en comunicar una orden interna, sino en explicar de forma trazable qué tratamiento de datos genera ese control horario y cuáles son sus límites. Cuanto más claro sea el mensaje sobre finalidad, base jurídica, acceso, conservación y derechos, más sólido será el sistema desde el punto de vista laboral y del RGPD.