RGPD y control horario: cómo fichar respetando la protección de datos

Cada vez que alguien ficha, se está tratando un dato personal: quién es, cuándo trabajó, desde dónde. Eso significa que el control horario no es solo una cuestión laboral, sino también de protección de datos, y que el RGPD y la LOPDGDD le aplican de lleno. La buena noticia es que cumplir no es complicado si tienes claras cuatro cosas: con qué base tratas esos datos, qué tienes que informar, cuánto los conservas y dónde está el límite.

En esta guía resumimos cómo registrar la jornada respetando la protección de datos, sin caer en los errores que la AEPD sanciona.

# La base legal: obligación legal, no consentimiento

Un error frecuente es pedir el consentimiento del trabajador para fichar. No hace falta y, además, en el ámbito laboral el consentimiento rara vez se considera libre. La base que legitima el tratamiento del registro de jornada es el cumplimiento de una obligación legal: la empresa está obligada por el artículo 34.9 del Estatuto de los Trabajadores a registrar la jornada, y eso ampara el tratamiento de los datos necesarios para ello.

Esto tiene una consecuencia práctica: la persona trabajadora no puede negarse a fichar alegando protección de datos, porque el tratamiento no depende de su consentimiento, sino de una obligación legal de la empresa.

# El deber de información

Aunque la base no sea el consentimiento, sí hay que informar. La plantilla debe saber qué datos se tratan, con qué finalidad (registrar la jornada), durante cuánto tiempo se conservan, quién accede a ellos y cómo ejercer sus derechos. Esa información se entrega normalmente al incorporarse y debe estar disponible.

• Qué se trata: identificación, fichajes de inicio/fin, pausas y, en su caso, ubicación puntual.
• Para qué: cumplir la obligación de registro de jornada (no controlar la productividad).
• Cuánto tiempo: el plazo de conservación del registro, cuatro años.
• Quién accede: empresa, representación legal y, si lo requiere, la Inspección.

# Minimización: solo los datos necesarios

El principio de minimización obliga a tratar solo los datos imprescindibles para registrar la jornada. Por eso, por ejemplo, la AEPD ve con malos ojos la biometría (huella, cara) para fichar, porque hay medios menos intrusivos —lo tratamos en la guía de fichaje con huella y biometría—. Y por eso la geolocalización, cuando se usa, debe ser puntual y no un rastreo continuo. Captar de más es, en sí mismo, un incumplimiento.

# Conservación y derechos

Los datos del registro se conservan cuatro años —el plazo legal del registro de jornada— y, transcurrido ese tiempo y sus finalidades, deben suprimirse. El tratamiento debe constar en el registro de actividades de la empresa. La plantilla mantiene sus derechos de acceso, rectificación, supresión, oposición y limitación sobre esos datos, y debe poder ejercerlos con facilidad.

# El límite que más se cruza

El error más grave es desviar el registro de su finalidad. El control horario sirve para registrar la jornada, no para vigilar a la plantilla minuto a minuto, controlar su productividad de forma intrusiva o monitorizarla fuera del horario. Cruzar ese límite vulnera el RGPD y choca, además, con el derecho a la desconexión digital. La regla es simple: registra la jornada, nada más.

# Cómo lo resuelve Zartime

Zartime está diseñado conforme al RGPD: trata solo los datos necesarios para registrar la jornada, sin biometría, con geolocalización puntual y opcional, conservación de cuatro años y datos alojados con garantías. La información del tratamiento queda disponible y la plantilla puede ejercer sus derechos. El registro se limita a su finalidad legal, sin convertirse en una herramienta de vigilancia. Cumplir con protección de datos y fichar con comodidad no están reñidos.