Registro biométrico en el trabajo: qué es legal, qué no, y cómo hacerlo bien

La pregunta que todas las empresas se hacen

¿Puedo usar un sistema biométrico para controlar la asistencia de mis empleados? ¿Es legal? ¿Qué riesgos tiene?

La respuesta es complicada. No es un simple sí o no. Depende de cómo lo hagas.

Desde 2019, cuando se hizo obligatorio el registro de jornada laboral en España, muchas empresas pensaron que los sistemas biométricos eran la solución perfecta. Rápidos, objetivos, imposibles de falsificar. Pero la ley de protección de datos llegó con un pero grande.

Hoy, 2026, la situación es más clara, pero también más restrictiva. Aquí está lo que necesitas saber sin tecnicismos innecesarios.

¿Qué son exactamente los datos biométricos?

Para la ley, son datos generados a partir de tus características físicas o conductuales que identifican de forma única quién eres: tu huella dactilar, tu iris, tu patrón de venas, tu reconocimiento facial.

El punto crítico: estos datos son permanentes. A diferencia de una contraseña (que puedes cambiar si se filtra), tu huella dactilar es la misma toda tu vida. Si se compromete, la comprometiste para siempre.

Por eso la ley los trata de forma especial. El RGPD los clasifica como ‘categoría especial de datos personales’. Esto significa que no puedes tratarlos como tratarías otros datos.

¿Qué dice la AEPD sobre biometría en el trabajo? (Actualización 2026)

La Guía de la AEPD de noviembre de 2023 estableció criterios claros. Ahora, 2.5 años después, esos criterios siguen siendo la realidad:

• Los datos biométricos para control de presencia NO SON LEGALES en la mayoría de casos
• El consentimiento del empleado no es suficiente (hay desequilibrio de poder)
• Se necesita una LEY que lo autorice explícitamente (no existe actualmente en España)
• Las sanciones por incumplimiento van de 100.000€ a 400.000€ por infracción

En otras palabras: si tu empresa está usando reconocimiento facial o huella dactilar para fichaje sin preparación legal y técnica muy específica, estás corriendo un riesgo real.

¿Entonces, ¿qué SÍ puedo usar legalmente?

Las alternativas que NO son biométricas:

• PIN o código numérico — simple, legal, no implica datos especiales
• Tarjeta RFID — el empleado lleva una tarjeta, la acerca al lector
• Sistema web — el empleado accede desde el navegador con usuario y contraseña
• QR — el empleado escanea un código con el móvil

Resultado: registro de jornada 100% legal, sin riesgos RGPD.

¿Y si realmente necesito biometría?

Hay empresas que insisten: necesitamos máxima seguridad, imposibilidad de fraude. Si ese es tu caso, aquí está qué tienes que hacer:

Paso 1: Evaluación de Impacto (EIPD)

Debes demostrar que es necesario. Muy necesario. No es simplemente ‘queremos’. Tiene que haber un problema real que la biometría soluciona y que otras tecnologías no pueden resolver.

Paso 2: Justificación legal

Necesitas documentación que demuestre por qué es proporcional. Esto implica asesoramiento legal especializado. No es algo que puedas decidir tú solo.

Paso 3: Medidas técnicas de protección extrema

Si todo lo anterior se aprueba:

• El dato biométrico se almacena CIFRADO (AES-256 o superior)
• Se guarda separado de cualquier otra información
• Los empleados pueden revocar el consentimiento en cualquier momento
• Los datos se destruyen cuando dejen de ser necesarios (no se guardan eternamente)
• Informas de forma clara a todos qué estás haciendo y por qué

Paso 4: Consentimiento informado

Los empleados deben dar consentimiento explícito. Pero ojo: la guía de la AEPD es clara — ‘el consentimiento en relaciones laborales es difícilmente libre’. Así que incluso con consentimiento, podrías tener un riesgo.

¿Qué pasa si no cumplo?

La AEPD puede actuar. Y cuando lo hace:

• Inspecciones sorpresa en tu empresa
• Multas de 100.000€ a 400.000€ (sin límite máximo si es grave)
• Orden de parar inmediatamente el sistema
• Reputación dañada si se hace público
• Potenciales demandas de empleados

Un caso real: empresa con 80 empleados multada con 250.000€ por sistema facial sin justificación legal. Eso fue en 2025. Las agencias están siendo más activas, no menos.

¿Qué debo hacer ahora si ya tengo un sistema biométrico?

Si ya implementaste algo:

• Auditoría urgente: ¿qué tipo de biometría estoy usando?
• Análisis legal: ¿tengo justificación documentada?
• Si no tienes justificación sólida: migra a sistemas no biométricos cuanto antes
• Si crees que sí la tienes: documéntalo formalmente con asesoramiento legal
• Informar a los empleados de forma clara cómo se usan sus datos

El consejo práctico (sin tecnicismos)

Aquí está la verdad: en 2026, la mayoría de empresas NO deberían estar usando sistemas biométricos para control horario. Los riesgos legales superan los beneficios.

Las alternativas (PIN, RFID, web) son:

• Legales al 100%
• Más baratas
• Más fáciles de implementar
• Sin riesgo de multas

La biometría tiene su lugar (acceso a áreas restringidas en empresas de alto riesgo, por ejemplo), pero para control horario, no es el lugar.

Si escuchas a un proveedor decirte ‘facial recognition es lo más moderno’, pregunta: ¿está documentado y aprobado legalmente? ¿Tienes referencias de empresas que lo usan sin riesgos? La respuesta probablemente te sorprenda.

¿Necesitas analizar tu situación actual?

Si tienes un sistema en marcha o estás considerando implementar uno, una auditoría legal y técnica es obligatoria. Te diremos exactamente qué riesgos tienes y qué opciones reales tienes.