¿Es legal fichar con huella dactilar o reconocimiento facial? [2026]

Fichar con huella dactilar o reconocimiento facial es hoy jurídicamente muy difícil de sostener: la huella y la cara son datos biométricos de categoría especial y el artículo 9 del RGPD parte de una prohibición general para tratarlos, con las únicas excepciones previstas en el apartado 2 del artículo.

Muchas empresas implantaron estos sistemas de buena fe, para cumplir con la ley de control horario (RD-Ley 8/2019) y el registro de jornada obligatorio. El método es rápido y difícil de falsificar. El problema no es la fiabilidad: es que la huella de tu plantilla es un dato personal especialmente protegido, y eso cambia por completo lo que la empresa puede hacer con él.

En este artículo analizamos qué dice la normativa, el impacto de la sentencia que anuló la guía de la AEPD, las sanciones impuestas hasta la fecha y las alternativas legales para el registro de jornada.

¿Qué dice la AEPD sobre el fichaje biométrico?

La AEPD considera que la huella dactilar y el reconocimiento facial son datos de categoría especial en cualquier caso, se usen para identificar o para autenticar. Lo estableció en noviembre de 2023 en su Guía sobre tratamientos de control de presencia mediante sistemas biométricos, el documento que la Audiencia Nacional ha anulado por defectos de forma en junio de 2026.

Hasta esa guía, muchas empresas trabajaban con una distinción que parecía razonable: los datos usados para autenticación (comprobar que eres quien dices ser) serían menos invasivos que los usados para identificación (buscarte entre toda la plantilla). La AEPD eliminó esa distinción. En ambos casos se trata un dato biométrico y en ambos casos se aplica el artículo 9 del RGPD.

De ahí se derivan tres consecuencias prácticas, que siguen apoyándose en el RGPD y no en la guía anulada:

• Los datos biométricos —huella, iris, rasgos faciales— son datos de categoría especial y de alto riesgo.
• El consentimiento del empleado no sirve como base legal, porque en la relación laboral existe un desequilibrio de poder que impide considerarlo libre.
• Solo una norma con rango de ley que habilite ese tratamiento en el ámbito laboral podría permitirlo. En España no existe una norma que autorice el uso de datos biométricos para el registro de jornada.

Conviene subrayar por qué la agencia es tan estricta aquí. Una contraseña se cambia, una tarjeta se sustituye y un PIN se revoca. Una huella dactilar y una cara, no: si la base de datos donde se guardan sufre una brecha, la persona afectada carga con esa exposición el resto de su vida. Esa irreversibilidad, y no un afán burocrático, es lo que explica el nivel de protección que exige la normativa.

¿Es legal fichar con huella dactilar?

Actualmente, el uso de sistemas biométricos para el registro de jornada presenta importantes dificultades jurídicas y, en la práctica, resulta muy difícil justificar su licitud conforme al RGPD. Aunque la Audiencia Nacional anuló la guía de la AEPD en junio de 2026 —por defectos de forma, y con la sentencia aún recurrible ante el Tribunal Supremo—, el artículo 9 del RGPD sigue exigiendo una excepción legal válida que casi ninguna empresa puede acreditar.

Hasta 2023, el fichaje por huella era el sistema biométrico más extendido en las empresas españolas. Se instalaron terminales con lector de huella en miles de oficinas, fábricas y centros de trabajo como forma de cumplir con la ley de control horario.

Lo que falla no es la tecnología, sino el marco legal que la rodea. Para que ese tratamiento fuera lícito, la empresa tendría que:

• Encontrar una excepción del artículo 9.2 del RGPD que le sea aplicable, cosa que el registro de jornada por sí solo no proporciona.
• Acreditar que no existe una alternativa menos intrusiva que cumpla el mismo fin, algo difícil cuando una app, un QR o una tarjeta hacen el mismo trabajo.
• Superar el triple análisis de idoneidad, necesidad y proporcionalidad.
• Realizar una Evaluación de Impacto en Protección de Datos antes de poner el sistema en marcha.

En la práctica, esto significa que si tu empresa mantiene terminales de huella para fichar, lo prudente es sustituirlos por alternativas que no traten datos biométricos. Y esas alternativas deben servir para toda la plantilla, sin excepciones: aquí tienes los métodos de fichaje accesibles para empleados con discapacidad.

¿Es legal fichar con reconocimiento facial?

Las dificultades jurídicas son las mismas que con la huella, y en algunos aspectos mayores. El reconocimiento facial capta y procesa los rasgos del rostro para crear un patrón biométrico único, así que queda sujeto al mismo artículo 9 del RGPD y a las mismas exigencias de necesidad, proporcionalidad y evaluación de impacto.

A esas exigencias comunes se suman tres riesgos propios:

• Captación involuntaria. La cámara puede recoger datos de personas que no tienen ninguna relación con el sistema: visitas, repartidores o personal externo que pasa por delante.
• Mayor intrusividad. La huella exige un gesto voluntario; el reconocimiento facial puede funcionar a distancia y sin que la persona sea plenamente consciente de que está siendo procesada.
• Sesgo algorítmico. Algunos sistemas presentan tasas de error más altas con determinados grupos demográficos, de modo que el fallo no se reparte por igual entre la plantilla.

Los tribunales ya se han pronunciado sobre esto en el ámbito laboral. El Tribunal Superior de Justicia de Galicia condenó en febrero de 2026 a una empresa a abonar 53.766 euros a una trabajadora a la que impuso el reconocimiento facial para fichar: 46.266 euros por la extinción del contrato a instancia de la propia trabajadora y 7.500 euros por daños morales. El tribunal razonó que existían medios menos lesivos para registrar la jornada, como una tarjeta corporativa.

Por ello, si el fichaje mediante huella ya presenta un encaje jurídico muy difícil, el reconocimiento facial añade riesgos específicos que hacen todavía más exigente la justificación de su necesidad y proporcionalidad.

¿Qué derechos tiene tu plantilla frente al fichaje biométrico?

Toda persona trabajadora tiene derecho a fichar sin ceder datos biométricos. El registro de jornada es una obligación de la empresa, pero cumplirla no habilita a recoger cualquier dato: la protección de datos personales es un derecho fundamental que no se suspende al entrar por la puerta del centro de trabajo.

De ahí se derivan varias cosas concretas que conviene tener claras dentro de la empresa:

• Nadie está obligado a entregar su huella para fichar. Negarse no es una falta laboral: es el ejercicio de un derecho.
• Firmar un consentimiento no arregla la situación. La norma no lo considera válido precisamente porque protege a quien está en la posición más débil de la relación: si decir que no puede costarte el puesto, ese sí no es libre.
• El dato afecta a la persona mucho más allá del trabajo. Quien deja su huella en un terminal no puede cambiarla si algún día hay una brecha de seguridad, ni cuando cambie de empresa.
• La empresa debe informar con claridad de qué datos trata, con qué base legal, dónde se guardan y durante cuánto tiempo, y atender las solicitudes de acceso o supresión.

Leerlo en esta clave ayuda a tomar la decisión correcta antes de que llegue una reclamación: cuando el sistema de fichaje no pide datos biométricos, nadie de tu equipo tiene que elegir entre su privacidad y su puesto de trabajo.

¿Qué sanciones se han impuesto por fichaje biométrico?

La AEPD ya ha sancionado el uso de biometría con multas de seis cifras, y los juzgados de lo social han condenado a empresas a indemnizar a trabajadores por imponerla. No es un riesgo teórico.

El primer caso es la resolución de la AEPD de 9 de abril de 2024: 200.000 euros a un club de fútbol por controlar el acceso al estadio con huella dactilar, sin evaluación de impacto ni justificación de idoneidad y proporcionalidad. El club acabó abonando 120.000 euros al acogerse a las reducciones por reconocimiento de responsabilidad y pago voluntario. El segundo es la sentencia del TSJ de Galicia citada más arriba.

Según el RGPD, las infracciones muy graves relacionadas con categorías especiales de datos pueden alcanzar los 20 millones de euros o el 4 % de la facturación anual global, la cifra que resulte mayor. Pero la multa no es la única consecuencia:

• Reclamaciones individuales. Cada persona afectada puede reclamar por su cuenta una indemnización por daños y perjuicios, como ocurrió en el caso gallego.
• Orden de cese. La AEPD puede ordenar la retirada inmediata del sistema, con la reimplantación urgente que eso implica.
• Daño reputacional. Una sanción por proteger mal los datos de la plantilla afecta a la confianza interna tanto como a la externa.

¿Cuándo sí se puede usar biometría?

Las excepciones existen, pero son muy limitadas y se interpretan de forma estricta. El artículo 9.2 del RGPD contempla supuestos en los que el tratamiento de datos biométricos puede estar justificado:

• Interés público esencial: gestión de emergencias, seguridad nacional o prevención de delitos graves.
• Necesidades sanitarias: identificación inequívoca de pacientes en centros hospitalarios o bancos de sangre, donde un error de identidad puede tener consecuencias graves para la salud.
• Seguridad pública: instalaciones militares, centrales nucleares o infraestructuras críticas.

Incluso en esos supuestos, la empresa debe realizar la Evaluación de Impacto completa antes de implantar el sistema, demostrar que no hay alternativas menos intrusivas, superar el triple test de idoneidad, necesidad y proporcionalidad y documentar todo el proceso para poder acreditarlo ante la AEPD.

Para la inmensa mayoría de empresas, que solo necesitan cumplir con el registro de jornada, estas excepciones no aplican. Fichar no es una actividad de seguridad crítica: es una obligación administrativa que se resuelve igual de bien sin tocar datos biométricos.

Alternativas legales al fichaje biométrico

Hay cuatro métodos de fichaje que cumplen a la vez con el registro de jornada y con la normativa de protección de datos, porque ninguno trata datos de categoría especial:

• App móvil. El empleado ficha desde su smartphone con un toque, en la oficina, en casa o en ruta. Es el método más flexible y no requiere hardware adicional.
• Código QR. Un código fijo en el centro de trabajo que se escanea al entrar y al salir. Económico y fácil de desplegar en varias ubicaciones.
• PIN o tarjeta. El método clásico en versión digital: cada persona tiene su PIN personal o su tarjeta RFID, sin ningún dato biométrico de por medio.
• Fichaje web. Desde el navegador, sin instalar nada. Práctico para equipos que trabajan siempre con ordenador.

Todas generan registros digitales trazables, inalterables y exportables, que es exactamente lo que exige la normativa laboral ante una inspección. Si además necesitas acreditar dónde se ficha, la geolocalización no es un dato biométrico, aunque también está sujeta al principio de minimización: solo durante la jornada y de forma proporcional.

En TramitApp ofrecemos todos estos métodos y se pueden combinar: app móvil para el equipo comercial en ruta, kiosko QR para las oficinas y fichaje web para administración, con todos los registros en una sola plataforma. Con más de 10 años de experiencia, +3.000 empresas y +150.000 empleados gestionados, contamos con la certificación ISO 27001 en la protección de los datos de tu plantilla.

Preguntas frecuentes sobre el fichaje biométrico

Conclusión

El fichaje con huella dactilar y reconocimiento facial tiene hoy un encaje jurídico muy difícil para la mayoría de empresas españolas, y la anulación de la guía de la AEPD no lo ha cambiado: las obligaciones del RGPD vienen del Reglamento europeo, no de la guía. Sustituir el terminal biométrico es, además, sencillo, porque las alternativas —app móvil, QR, PIN, fichaje web— cumplen igual con el registro de jornada sin tratar datos de categoría especial.

¿Quieres ver cómo funciona un sistema de control horario adaptado a la ley y a las necesidades reales de tu empresa? Puedes solicitar una demo gratuita de TramitApp.