Fichar con huella dactilar o reconocimiento facial: ¿es legal?
La AEPD ya ha multado con cientos de miles de euros a empresas por fichar con huella o rostro. Qué dice su guía de 2026 y qué alternativas son legales.
Fichaje con huella dactilar o reconocimiento facial: ¿es legal en 2026?
Si tu empresa ficha con huella dactilar o reconocimiento facial, la respuesta corta es: probablemente no cumples el RGPD. A fecha de julio de 2026, la Agencia Española de Protección de Datos (AEPD) mantiene un criterio muy restrictivo sobre el uso de biometría para el control horario, y ya ha sancionado a varias empresas por ello con multas de cientos de miles de euros.
En este artículo repasamos por qué la huella y el reconocimiento facial son datos de riesgo, qué dice la guía oficial de la AEPD, qué casos reales se han sancionado y qué alternativas legales existen para fichar sin exponer a tu empresa a una multa.
Por qué la huella y el rostro no son un dato de fichaje cualquiera
El Reglamento General de Protección de Datos (RGPD) clasifica los datos biométricos como categoría especial cuando se usan para identificar de forma unívoca a una persona (artículo 9). Esto incluye la huella dactilar y el reconocimiento facial, pero no un PIN, una tarjeta o un llavero NFC, que no identifican a nadie por sí mismos.
Tratar categoría especial de datos exige una base legal reforzada. En el ámbito laboral esto es determinante porque, según el criterio consolidado de la AEPD y del Comité Europeo de Protección de Datos, el consentimiento del trabajador no sirve como base legal para justificar la biometría: existe un desequilibrio de poder entre empresa y empleado que vicia la voluntariedad del consentimiento. Sin consentimiento válido, a la empresa solo le queda demostrar que la medida es necesaria y proporcionada, y ahí es donde casi ningún sistema biométrico de fichaje supera el filtro.
La guía de la AEPD: el test de proporcionalidad que casi nadie pasa
El 23 de noviembre de 2023 la AEPD publicó su guía sobre tratamientos de control de presencia mediante sistemas biométricos, que sigue siendo el criterio de referencia en 2026. El razonamiento central es simple:
- El registro horario del Real Decreto-ley 8/2019 se puede cumplir perfectamente con un PIN, una tarjeta, un llavero NFC o una app.
- Si existe una alternativa igual de eficaz y menos invasiva, usar biometría no es necesario ni proporcionado.
- La biometría solo sería admisible si una ley habilitara expresamente ese uso y superara un juicio estricto de necesidad, algo que no ocurre en el control horario ordinario de una empresa.
En la práctica, esto convierte el fichaje por huella o facial en una excepción casi teórica: válida solo en contextos muy tasados (por ejemplo, ciertos accesos de máxima seguridad), no como método general de control horario en una pyme.
El caso CTC Externalización: 365.000 € de multa
El ejemplo que mejor resume el riesgo es el de CTC Externalización, empresa de mensajería sancionada por la AEPD tras la denuncia de un trabajador presentada en febrero de 2022. La resolución, conocida en 2024, impuso una multa de 365.000 euros repartida en tres infracciones del RGPD:
| Infracción RGPD | Motivo | Importe |
|---|---|---|
| Artículo 13 (deber de información) | No informó adecuadamente sobre el tratamiento de las huellas dactilares | 200.000 € |
| Artículo 32 (seguridad) | No garantizó el borrado de las huellas tras su captura ni medidas de seguridad adecuadas | 65.000 € |
| Artículo 35 (evaluación de impacto) | No realizó un análisis de riesgos previo al tratamiento biométrico | 100.000 € |
CTC recurrió la resolución y la Audiencia Nacional confirmó la sanción de la AEPD. El caso deja dos lecciones para cualquier pyme: primero, que la falta de información y de análisis de riesgos agrava la sanción incluso más que el propio uso de biometría; segundo, que estas multas no se quedan en propuesta, se acaban pagando.
No es un caso aislado: mismo criterio fuera del ámbito laboral
El mismo razonamiento de proporcionalidad lo ha aplicado la AEPD en contextos distintos al control horario, lo que confirma que no es un criterio puntual. El Club Atlético Osasuna fue sancionado con 200.000 € por implantar reconocimiento facial en el acceso a su estadio, al considerar la AEPD que ya existían métodos de identificación menos invasivos (el abono físico). El Burgos CF recibió una sanción por el mismo importe por pedir la huella dactilar a sus aficionados para entrar al campo. Ninguno de los dos son casos de control horario, pero muestran que el test de necesidad y proporcionalidad se aplica con el mismo rigor en cualquier tratamiento biométrico, laboral o no.
¿El nuevo registro horario digital legalizará la biometría?
El Ministerio de Trabajo tramita desde 2025 un Real Decreto que obligaría a fichar por medios digitales e interoperables, con acceso remoto de la Inspección. Es una reforma distinta y no equivale a autorizar la biometría: "digital" no significa "biométrico". De hecho, el propio Consejo de Estado señaló en marzo de 2026 dudas sobre la protección de datos del texto, y la AEPD también emitió informe en el trámite. Mientras el decreto no se publique en el BOE, la obligación vigente sigue siendo el Real Decreto-ley 8/2019, que no exige ni ampara el uso de huella o rostro para fichar.
Alternativas legales para fichar sin biometría
La buena noticia es que cumplir la ley sin usar datos biométricos no complica el fichaje, lo simplifica:
- PIN de 4 dígitos en una tablet compartida: rápido, sin hardware adicional, sin dato especial que proteger.
- Llavero o tarjeta NFC: acercar y fichar, ideal para plantillas con rotación de turnos o varias sedes. Puedes ver cómo funciona en control horario con NFC.
- App móvil, con o sin geolocalización puntual en el momento del fichaje (no seguimiento continuo), útil para equipos en obra, reparto o trabajo distribuido. Revisa los límites legales en nuestra página sobre geolocalización en el fichaje.
Ninguna de estas opciones trata categoría especial de datos, por lo que el riesgo de sanción desaparece de raíz.
Cómo migrar de un sistema biométrico a uno legal
Si tu empresa ya usa huella o reconocimiento facial, no hace falta esperar a una inspección para corregirlo:
- Audita qué sistema tienes y qué proveedor gestiona los datos biométricos.
- Informa a la plantilla de que vas a sustituirlo y por qué (evita, de paso, el tipo de infracción del artículo 13 que agravó el caso CTC).
- Elige PIN o NFC como alternativa, y actívalo en paralelo antes de apagar el sistema anterior.
- Borra las plantillas biométricas ya capturadas (huellas, patrones faciales) una vez migrado, documentando la eliminación.
- Deja constancia por escrito del cambio y del motivo, por si la Inspección o la AEPD lo solicitan más adelante.
QWorker permite fichar desde el móvil, la web o una tablet compartida con PIN de 4 dígitos o llavero NFC, sin biometría, con geolocalización configurable por sede si la necesitas y funcionamiento sin conexión. Es la vía más rápida para migrar de un sistema biométrico a uno legal sin perder velocidad de fichaje. Puedes probarlo gratis 14 días sin tarjeta y consultar los planes y precios.
Preguntas frecuentes
¿Puedo pedir consentimiento a mis trabajadores para fichar con huella? No es una base legal válida. La AEPD y el Comité Europeo de Protección de Datos consideran que, en una relación laboral, el consentimiento no es realmente libre por el desequilibrio de poder entre empresa y trabajador, así que no legitima el tratamiento de datos biométricos.
¿Qué debo hacer si mi empresa ya tiene instalado un sistema biométrico? Sustitúyelo por PIN, tarjeta o llavero NFC, informa a la plantilla del cambio y borra las plantillas biométricas ya capturadas. Cuanto antes lo hagas, menor es el riesgo si llega una denuncia o inspección.
¿La geolocalización del móvil tiene el mismo riesgo que la huella dactilar? No. La ubicación no es categoría especial de datos. Es legal si se limita al momento del fichaje, con una finalidad clara y un radio configurado por sede, sin convertirse en un seguimiento continuo de la jornada.
¿Puede sancionarme también la Inspección de Trabajo, no solo la AEPD? Son autoridades distintas con competencias distintas. La AEPD sanciona el tratamiento indebido de datos personales (como la biometría); la Inspección de Trabajo vigila el cumplimiento del registro horario del Real Decreto-ley 8/2019. Un sistema biométrico mal implantado puede acabar generando problemas con ambas.
¿El nuevo registro horario digital obligará a usar biometría? No. La reforma en trámite exige medios digitales e interoperables, pero no biometría. El criterio de la AEPD sobre proporcionalidad se mantiene al margen de qué decreto acabe aprobándose.