Control horario sin biometría: cómo fichar sin huella y qué dice hoy la AEPD

Fichar con la huella o con la cara parece cómodo y moderno. Pero es de las decisiones que más problemas trae, y casi siempre hay una forma más sencilla —y más segura— de cumplir exactamente igual.

Esta pregunta suele llegar tarde: se busca después de haber comprado el lector. Alguien de la plantilla se niega a poner el dedo, o lo pregunta el comité, o avisa la gestoría. Y entonces aparece la duda de verdad, que no es si el aparato funciona, sino si lo que hay dentro se puede defender.

La huella y la cara son datos de categoría especial

Cuando sirven para identificar a una persona, los datos biométricos son categoría especial (art. 9 RGPD): el nivel de protección más alto, con una prohibición general de tratamiento que hay que levantar. Y da igual que el sistema compare contra una sola plantilla o contra toda la base: el criterio de la Agencia equipara ambos casos.

Levantar esa prohibición exige una base reforzada. Las dos vías que la gente da por buenas no lo son, y la guía de control de presencia biométrico de la AEPD lo dice con estas palabras:

«el responsable debe contar con una norma con rango de ley que concrete la posibilidad de utilizar datos biométricos para dicha finalidad, que no se encuentra en la actual normativa legal española»

«[el consentimiento] no puede levantar la prohibición del tratamiento, ni ser una base para determinar la licitud, al existir de forma general una situación de desequilibrio»

Esa segunda es la que más sorprende: que firmen un papel no resuelve nada. En una relación laboral no se considera que el consentimiento sea libre, así que no sirve como base. Y el convenio colectivo tampoco basta por sí solo: la guía le reserva el papel de recoger garantías, no el de habilitar el tratamiento.

«Pero anularon esa guía»

Es verdad, y conviene entender qué significa exactamente, porque estos meses se está contando de las dos maneras equivocadas.

La Audiencia Nacional anuló la guía el 30 de junio de 2026 (SAN 367/2026, ECLI:ES:AN:2026:2870). Pero la anuló por un motivo de forma: consideró que el documento era materialmente una circular —fija criterios con efectos sobre los responsables— y que no se tramitó ni se publicó en el BOE como tal.

La propia sentencia se cuida de dejarlo claro: «no se tratará de analizar si la guía contiene normas que innoven el ordenamiento jurídico». Es decir, no entra en el fondo y no declara lícita la biometría laboral. Lo anulado es el vehículo, no la interpretación.

Y hay un detalle que la sentencia constata de pasada y que es el que importa en la práctica: la Agencia «de forma recurrente, motiva sus resoluciones remitiéndose a los criterios interpretativos contenidos en la guía». Traducido: quien inspeccione mañana sigue trayendo ese criterio. Además la sentencia no es firme y cabe casación.

A esto se suma que el PDF oficial lleva marca de agua «EN REVISIÓN» en sus 31 páginas, y que la propia Agencia reconoce en su memoria de 2025 un grupo de trabajo y una actualización en curso.

El terreno normativo se está moviendo. La práctica sancionadora, no. Montar hoy un sistema biométrico apostando a que el criterio cambie es una apuesta con tu dinero y con datos de tu plantilla.

El detalle que le da la vuelta a todo

Muchas empresas creen que ofrecer una alternativa a quien no quiera poner el dedo las deja cubiertas. El razonamiento de la guía va justo al revés: si existe otra forma de conseguir lo mismo, las alternativas ofrecidas «han hecho evidente la posibilidad y la viabilidad de dichas alternativas» — y entonces cuesta muchísimo más sostener que la biometría era necesaria.

La necesidad es uno de los tres juicios que hay que superar y documentar en la evaluación de impacto, que además es obligatoria y previa. Poner el plan B no te salva: demuestra que el plan A no hacía falta.

Qué pasa si hay una brecha

Una contraseña filtrada se cambia. Una huella, no. Si un sistema biométrico sufre una brecha, el daño es permanente y afecta a un dato que la persona no puede resetear en toda su vida. Ese riesgo, sumado a que hay que documentar por escrito por qué no valía ninguna alternativa, es lo que hace que en la mayoría de empresas no compense.

Qué se usa en su lugar

Estas tres identifican a la persona y dejan exactamente el mismo rastro en el registro de jornada —quién, cuándo, dónde y con qué método— sin tratar un solo dato biométrico:

Tarjeta NFC o llavero. Se acerca al lector y listo. Lo que se guarda es el número de una tarjeta, no una parte del cuerpo de nadie. Si se pierde, se da de baja y se emite otra: algo que con un dedo no se puede hacer.
PIN personal. Seis dígitos en una tablet o un móvil viejo colgado en la pared. No hace falta que la plantilla tenga teléfono ni correo. Es lo que mejor funciona en obra, taller y hostelería.
QR dinámico. El código cambia solo cada pocos segundos, así que no sirve la foto de ayer. Quien tiene móvil ficha con él sin tocar nada compartido.

Ninguna de las tres te obliga a evaluación de impacto por categoría especial, ninguna abre el frente de la brecha irreversible, y todas cumplen igual el art. 34.9 ET.

Cinco preguntas para tu proveedor

Si te están vendiendo un terminal con huella o cara, o ya lo tienes instalado, pregunta esto por escrito. La respuesta a la primera suele aclarar el resto:

¿Me entregáis vosotros la evaluación de impacto hecha, o me toca a mí?
¿Qué norma con rango de ley invocáis para tratar datos biométricos con esta finalidad?
¿Qué pasa si un trabajador se niega a poner el dedo? ¿Hay alternativa en el mismo terminal?
¿Dónde se guarda la plantilla biométrica, quién puede leerla y qué ocurre si hay una brecha?
Si mañana tengo que dejar de usar biometría, ¿pierdo el histórico de fichajes?

En TimeCore no es una opción apagada

TimeCore no admite biometría, y no es una casilla de configuración: está bloqueado en el módulo legal del país, en el código. No hay interruptor que alguien encienda por error ni comercial que pueda prometerlo.

Se ficha con tarjeta, con PIN o con QR —también sin conexión a internet—, y cada fichaje queda encadenado por hash, sin poder editarse ni borrarse: la corrección crea una versión nueva y conserva la anterior, con su motivo y la conformidad del trabajador. Se cumple el art. 34.9 ET, se minimizan los datos y no se entra en categoría especial.

Modernizar el fichaje no significa recoger datos sensibles. A menudo, lo moderno es recoger menos.

Información general con la fuente de cada afirmación, no asesoramiento jurídico. Citas literales de la guía de la AEPD de control de presencia biométrico (noviembre de 2023) y de la SAN 367/2026 (ECLI:ES:AN:2026:2870). Para tu caso concreto, consulta con tu asesoría.