Fichaje por huella o reconocimiento facial: ¿es legal según el RGPD en 2026?

El fichaje biométrico se ha convertido en uno de los temas más polémicos del derecho laboral español en los últimos años. La generalización de terminales con huella y reconocimiento facial chocó con un pronunciamiento contundente de la AEPD que ha cambiado por completo cómo deben implementarse estos sistemas. Si tu empresa tiene un fichaje biométrico instalado o está pensando en ponerlo, esta guía te explica exactamente qué puedes hacer, qué no, y cuáles son las alternativas legalmente seguras.

¡Síguenos en nuestras redes sociales!

Qué dice el RGPD sobre datos biométricos en el trabajo

El Reglamento General de Protección de Datos (RGPD, Reglamento UE 2016/679) define los datos biométricos en el artículo 4.14 como datos personales obtenidos a partir de un tratamiento técnico específico relativos a las características físicas, fisiológicas o conductuales de una persona, que permiten o confirman la identificación única de dicha persona. La huella dactilar, el reconocimiento facial, el reconocimiento de iris o de voz entran en esta categoría.

Lo importante es que el artículo 9 del RGPD clasifica los datos biométricos dirigidos a identificar de manera unívoca a una persona física como categoría especial de datos. Esto significa que su tratamiento está prohibido con carácter general, salvo que concurra alguna de las excepciones que enumera el propio artículo 9. Si quieres profundizar en qué se considera exactamente un dato biométrico y sus implicaciones legales, lo desarrollamos en nuestro artículo sobre qué son los datos biométricos. En el ámbito laboral, las excepciones más invocadas son el consentimiento explícito del trabajador y el cumplimiento de obligaciones del empleador en materia laboral.

Aquí es donde aparece el problema. El consentimiento prestado por un trabajador a su empresa rara vez puede considerarse libre, porque existe un desequilibrio de poder evidente. Y el cumplimiento de la obligación de registro horario no exige biometría: se puede cumplir con tarjeta, PIN, app móvil o cualquier otro sistema. Estos dos hechos son la base del cambio de criterio de la AEPD.

El pronunciamiento de la AEPD sobre fichaje biométrico obligatorio

En noviembre de 2023, la AEPD publicó la nota técnica sobre tratamiento de datos biométricos para control horario y de acceso, que ha marcado un antes y un después en la materia. Los puntos clave del criterio de la AEPD son cuatro.

El primero: el control horario por sí mismo no justifica el uso de biometría. Existen alternativas igualmente eficaces (tarjeta personal, PIN, app móvil) que no implican tratar datos de categoría especial. El principio de minimización del RGPD exige usar el sistema menos intrusivo posible que permita cumplir la finalidad.

El segundo: el consentimiento del trabajador no puede considerarse válido en una relación laboral cuando la única alternativa al fichaje biométrico es una consecuencia negativa (sanción disciplinaria, descuento de jornada, no poder acceder a la oficina). El consentimiento exigido por el RGPD debe ser libre, específico, informado e inequívoco. La libertad falla cuando no hay alternativa real.

El tercero: si la empresa quiere implementar biometría, debe realizar y documentar una Evaluación de Impacto en Protección de Datos (EIPD) que justifique de forma motivada por qué los sistemas alternativos no son válidos. La carga de la prueba recae en la empresa.

El cuarto: la empresa debe ofrecer siempre una alternativa no biométrica válida para los trabajadores que se nieguen a ceder sus datos biométricos, sin que esto suponga ninguna consecuencia negativa para ellos.

¿Puede un trabajador negarse a fichar con huella?

Sí. Tras el criterio de la AEPD, un trabajador puede negarse a ceder sus datos biométricos para el control horario, y la empresa está obligada a ofrecerle una alternativa válida. Esta alternativa debe ser equivalente en cuanto a comodidad, ubicación de los terminales y eficacia del control. No vale, por ejemplo, obligar al trabajador a fichar en una oficina lejana mientras el resto ficha en su puesto.

Si la empresa no ofrece alternativa o pone trabas, el trabajador puede denunciar ante la AEPD y, además, ante la Inspección de Trabajo si considera que existe un trato discriminatorio o sancionador encubierto. Las dos vías son compatibles y pueden generar sanciones acumuladas.

El criterio jurisprudencial está consolidado: la Audiencia Nacional y varios tribunales superiores de justicia han anulado sanciones disciplinarias a trabajadores que se negaron a fichar con huella cuando la empresa no había justificado adecuadamente la necesidad de la biometría y no había ofrecido alternativa.

Alternativas legales al fichaje biométrico

Las alternativas válidas para cumplir con la obligación de registro horario sin tratar datos biométricos son varias, y se pueden combinar entre sí en función del perfil del trabajador y de la organización.

Tarjeta RFID o credencial corporativa

Es la alternativa más extendida. Cada trabajador recibe una tarjeta personal con un identificador único. Al acercarla a un lector, se registra el fichaje con la hora exacta. Es rápido, fácil de gestionar y no requiere ningún dato biométrico. La pega es la posibilidad de prestar la tarjeta, pero la mayoría de software de control horario detectan patrones anómalos y permiten configurar alertas.

PIN personal

El trabajador introduce un código numérico personal en el terminal de fichaje. Es la opción más económica y la que menos infraestructura necesita. Funciona bien en entornos pequeños o como complemento a otros sistemas. El riesgo es similar al de la tarjeta: la posibilidad de compartir el PIN entre compañeros.

App móvil con autenticación del propio dispositivo

Esta es la opción más interesante desde el punto de vista legal y técnico. El trabajador ficha desde su smartphone con la huella o el reconocimiento facial configurado en su propio dispositivo. La empresa no recibe ningún dato biométrico: solo recibe la confirmación de que el dispositivo ha autenticado a la persona. La huella y el patrón facial nunca salen del móvil del trabajador.

Esta opción combina la comodidad de la biometría con el cumplimiento estricto del RGPD. Es la que recomendamos por defecto cuando es viable, especialmente en organizaciones con teletrabajo o movilidad. Si dudas entre app y terminal físico, te ayudará nuestra comparativa sobre qué sistema de fichaje elegir en 2026.

Biometría con consentimiento expreso y alternativa equivalente

Si la empresa quiere mantener biometría con sus terminales físicos (huella o facial), puede hacerlo legalmente con tres condiciones: realizar una Evaluación de Impacto en Protección de Datos justificada, obtener el consentimiento expreso y verdaderamente libre del trabajador, y ofrecer siempre alternativa no biométrica equivalente para quien no consienta.

Preguntas frecuentes

¿Puedo obligar a mis trabajadores a fichar con huella?

No. La AEPD ha establecido que el fichaje biométrico obligatorio no es lícito en la mayoría de los casos. Tienes que ofrecer una alternativa válida (tarjeta, PIN o app móvil) a los trabajadores que se nieguen a ceder sus datos biométricos. Imponer la biometría sin alternativa puede acarrear sanciones de hasta 20 millones de euros o el 4% de la facturación anual según el RGPD.

¿Qué pasa si un trabajador denuncia a la AEPD por mi sistema de fichaje?

La AEPD abrirá expediente y solicitará a la empresa documentación que justifique el tratamiento: base jurídica utilizada, evaluación de impacto realizada, información facilitada al trabajador y alternativas ofrecidas. Si la empresa no puede acreditar el cumplimiento, la sanción puede ser muy elevada. Las sanciones recientes en estos casos han oscilado entre 5.000 y 90.000 euros, con cuantías mayores cuando había falta de información o ausencia de alternativa.

¿La biometría del móvil es legal? ¿Cuál es la diferencia con la biometría del terminal?

La biometría del móvil (Face ID o Touch ID del propio dispositivo) se considera autenticación local: los datos biométricos no se transmiten ni se almacenan por la empresa, solo se recibe un token de confirmación. Esto cumple por diseño el principio de minimización del RGPD y no requiere consentimiento expreso ni Evaluación de Impacto. Es muy diferente de la biometría centralizada (terminal de huella), donde la empresa sí almacena y trata el dato biométrico.

¿Necesito una Evaluación de Impacto en Protección de Datos (EIPD) si uso biometría?

Sí. Toda implementación de biometría para control horario o de acceso requiere una EIPD documentada que justifique la necesidad y la proporcionalidad de la medida. La EIPD debe analizar las alternativas no biométricas y explicar por qué no son válidas en tu caso concreto. Sin EIPD, la AEPD considera que el tratamiento es ilícito por incumplimiento del artículo 35 del RGPD.

¿Cómo afecta esto a las empresas que ya tienen biometría instalada?

Si la empresa instaló biometría antes del criterio de la AEPD, tiene que revisar el sistema y adaptarlo. Lo habitual es: documentar la EIPD, recabar consentimiento expreso de cada trabajador y, sobre todo, ofrecer alternativa válida no biométrica (tarjeta, PIN o app). Los sistemas que no se adaptan están expuestos a sanción en cualquier momento, incluso por denuncia individual de un solo trabajador.

¿Tu sistema de fichaje cumple con el criterio actual de la AEPD?

Consulta nuestras entradas anteriores