¿Qué dice ahora la AEPD?

El 3 de noviembre de 2026 la Agencia publicó un criterio jurídico que cambia el punto de partida. La consulta que lo originó no era laboral: una empresa preguntaba por un sistema de verificación facial uno a uno para comprobar a distancia la identidad de sus clientes. Aun así, su razonamiento se puede trasladar al fichaje, y se resume en tres ideas:

1. La alternativa menos intrusiva solo excluye la biometría si cubre la misma necesidad con una eficacia equivalente. Hay que comparar cuánto protege cada medida frente a un riesgo concreto, como la suplantación. En el caso analizado, el procedimiento sin biometría (documentos, vídeo y comparación visual por una persona) no se consideró igual de eficaz.
2. La persona tiene que poder rechazar la biometría y usar una alternativa que funcione de verdad. No hace falta que sea idéntica ni igual de rápida o de cómoda, pero no puede suponerle un coste, una pérdida de derechos ni una carga desproporcionada.
3. No todos los sistemas pesan igual. Comprobar que alguien es quien dice ser (verificación uno a uno) tiene menos riesgo que buscarlo entre toda una población. También cuenta si se crea una base de datos biométrica permanente, quién accede a ella y cuándo se borran las referencias, como la AEPD ya apuntó en su informe de julio de 2025.

Conviene no confundir dos alternativas distintas. La que se compara al valorar si la biometría es necesaria tiene que proteger igual de bien frente al riesgo concreto. La que se ofrece a la persona para que su consentimiento sea libre puede ser más lenta o menos cómoda y seguir siendo válida.

Tampoco queda la empresa sin control. La Agencia no dice qué nivel de fiabilidad es suficiente ni homologa tecnologías: esa decisión es de la empresa, que debe documentarla y revisarla si lo previsto no se cumple en la práctica o aparecen alternativas equivalentes.

La propia Agencia avisa de que este criterio anticipa lo que recogerá su futura guía de biometría. También valora de forma positiva la propuesta del Digital Omnibus de excluir del artículo 9 ciertas verificaciones en las que los datos biométricos quedan bajo control exclusivo de la persona, aunque es solo una propuesta y todavía no está aprobada.

Un matiz: es un criterio sobre otro tipo de tratamiento. La AEPD todavía no se ha pronunciado de forma específica sobre el registro de jornada con este razonamiento.

Un precedente: la cárnica que sí pudo justificarlo

Antes de este criterio ya había un caso que apuntaba en la misma dirección. La AEPD archivó las actuaciones contra Litera Meat, una empresa cárnica que registraba la jornada con huella dactilar.

La empresa mantuvo la huella solo en la zona de producción, donde trabajan unas 1.508 personas. Allí se exigen estándares sanitarios estrictos y los trabajadores llevan equipos de protección que los cubren por completo. En oficinas, mantenimiento, lavandería y laboratorio la sustituyó por tarjeta.

Además, aportó un análisis de riesgos, valoró otros sistemas y explicó por qué no eran equivalentes, apoyándose en incidencias que había tenido con las tarjetas. Con esa documentación, la Agencia no apreció incumplimiento.

No es una autorización ni un cheque en blanco: es un archivo, y la AEPD se reserva actuar más adelante. De hecho, otra empresa del mismo sector acabó retirando su sistema biométrico durante la investigación. El sector, por sí solo, no justifica nada: lo que cuenta es lo que cada empresa puede acreditar.

El otro lado: lo que la AEPD sí ha sancionado

Que haya margen no significa que cualquier sistema valga. Los casos que han acabado mal tienen algo en común: les faltaba lo básico, empezando por la evaluación de impacto.

• Un zoológico fue sancionado por controlar el acceso de sus trabajadores con huella dactilar. La Agencia apreció que no tenía base jurídica adecuada, que no había hecho evaluación de impacto y que no ofrecía alternativas menos intrusivas, según Cuatrecasas.
• Un ayuntamiento fue sancionado en junio de 2024 por fichar con huella y con reconocimiento facial sin evaluación de impacto y sin acreditar ninguna excepción del artículo 9 del RGPD. Como medida provisional se ordenó suspender los sistemas hasta acreditar el cumplimiento.

El segundo caso deja una lección práctica: el ayuntamiento presentó como evaluación un modelo incluido en el protocolo de su proveedor, y la Agencia no lo aceptó porque no lo había elaborado ni firmado el propio responsable. La evaluación de impacto la tiene que hacer la empresa, no el proveedor del sistema.

Lo que sigue igual

• La huella y el rostro siguen siendo datos de categoría especial (artículo 9 del RGPD), con la máxima protección.
• Hace falta una evaluación de impacto antes de poner el sistema en marcha, no después. Es lo que la AEPD reprochó al ayuntamiento y al zoológico.
• En el trabajo, el consentimiento es delicado: el trabajador tiene que poder negarse sin consecuencias y fichar por otro medio.
• Que la huella sea más cómoda o más moderna no justifica nada. Lo que se valora es el riesgo que resuelve.
• La ley obliga a registrar la jornada diaria, pero no dice cómo. Se organiza por convenio, por acuerdo de empresa o por decisión de la empresa tras consultar a la representación de los trabajadores. Por tanto, nadie está obligado a usar biometría.
• Ni el nuevo criterio ni el archivo de la cárnica son una autorización general. Cada caso se justifica por separado.

Si su empresa quiere fichar con huella o con reconocimiento facial

Antes de instalar ningún lector, conviene poder responder por escrito a estas preguntas:

1. ¿Qué riesgo concreto se quiere evitar? Por ejemplo, que un compañero fiche por otro. Mejor con datos de incidencias reales que con impresiones.
2. ¿Por qué la tarjeta, el PIN o la app no lo resuelven igual de bien? Hay que compararlos de verdad.
3. ¿Hace falta en toda la empresa? Lo habitual es que solo se justifique en determinados puestos o zonas.
4. ¿Qué alternativa tiene quien no quiera usar la biometría? Tiene que existir y no puede penalizarle.
5. ¿Se ha informado y consultado a la representación de los trabajadores y, si existe, al delegado de protección de datos?
6. ¿Está hecha la evaluación de impacto? La tiene que elaborar y firmar la propia empresa, reflejar todo lo anterior y revisarse si cambian las circunstancias.

Para la mayoría de las pymes, la conclusión seguirá siendo que no compensa. Una app o una tarjeta cumplen con el registro de jornada sin entrar en datos de categoría especial ni en toda esta documentación.

Si su empresa ya tiene un sistema biométrico instalado, lo prudente es revisar cuanto antes si cumple lo anterior. Si no se puede justificar, lo más sencillo suele ser sustituirlo por una app o una tarjeta y eliminar las huellas o plantillas almacenadas, antes de que alguien lo pregunte.

En resumen

La biometría para fichar ha pasado de estar prácticamente vetada a ser una excepción que hay que saber defender. Quien quiera usarla tiene que poder explicarlo por escrito antes de instalar el lector. Si no puede, la tarjeta sigue funcionando.

Si su empresa se lo está planteando, o ya tiene un sistema biométrico en marcha, podemos ayudarle a valorar si su caso se sostiene y a preparar la evaluación de impacto.

Nuetros softwre de registro de jornada ControlHorario365 no utiliza biometría, y no es una limitación sino una decisión de diseño. Su empresa registra la jornada como exige la ley, sin almacenar huellas ni rostros y sin entrar en datos de categoría especial. Por lo general, tampoco necesita una evaluación de impacto ni justificar nada ante la AEPD. Lo que no se recoge no se puede filtrar.

Si ya tiene un sistema biométrico y no está seguro de poder defenderlo, el cambio es sencillo: pase a un fichaje sin biometría y elimine las huellas o plantillas almacenadas. En controlhorario365.com puede ver cómo cumplir con el registro de jornada sin complicarse.