Registro horario y RGPD: qué datos se guardan, cuánto tiempo, quién puede verlos y cómo informar al trabajador

El registro de jornada es una obligación laboral y, al mismo tiempo, un tratamiento de datos personales: la hora a la que una persona identificada entra y sale cada día, desde qué dispositivo y, a veces, desde dónde. Eso lo pone bajo el Reglamento General de Protección de Datos y la LOPDGDD, y la Agencia Española de Protección de Datos tiene criterio publicado sobre casi cada detalle. Esta guía los reúne para que el registro cumpla las dos leyes a la vez, sin más papeleo del necesario.

La base legal: obligación legal, no consentimiento

El primer error, y el más habitual, es pedir al trabajador que “consienta” el registro de jornada. No hace falta y no vale. La base que legitima el tratamiento es el cumplimiento de una obligación legal (artículo 6.1.c del RGPD): el artículo 34.9 del Estatuto de los Trabajadores obliga a la empresa a garantizar el registro diario de la jornada. Y el consentimiento en la relación laboral no se considera libre, porque la persona depende de quien se lo pide; la AEPD lo repite en todas sus guías laborales.

Lo que sí exige esa base legal es no ir más allá de la obligación: registrar lo que la ley pide (inicio y fin de la jornada, y lo que haga falta para calcularla) y no usar el registro para otra cosa sin una base propia.

Qué datos se pueden tratar y cuáles no

El principio que la AEPD aplica al control horario es el de minimización: el sistema menos intrusivo que cumpla la obligación. En la práctica:

• Sí: identidad del trabajador, fecha, hora de inicio y fin, pausas, el dispositivo o método con el que fichó (móvil, web, tarjeta, kiosko), el centro de trabajo, las correcciones con su autor y motivo.
• Sí, con condiciones: la ubicación en el momento de fichar, solo si hay una razón (equipos móviles, obras), informando expresamente, y nunca como seguimiento continuo. Lo desarrollamos en fichaje con geolocalización: qué es legal.
• No, salvo excepciones muy justificadas: datos biométricos (huella, cara). La AEPD los considera datos de categoría especial y, desde su guía de noviembre de 2023, entiende que el consentimiento no los legitima cuando existe una alternativa menos invasiva. Ha sancionado con 365.000 euros y un tribunal ha condenado a pagar 53.766 euros por obligar a fichar con la cara. Lo contamos en ¿es legal fichar con huella o reconocimiento facial?.
• No: la foto en cada fichaje, la grabación, el acceso a la agenda o los contactos del móvil, y cualquier dato que el registro no necesite.

Cuánto tiempo se guardan

Cuatro años, que es el plazo del artículo 34.9 para tener los registros a disposición del trabajador, de sus representantes y de la Inspección, y el mismo que fija el artículo 12.4.c para los resúmenes mensuales del tiempo parcial. Es también el plazo de prescripción de las deudas con la Seguridad Social.

Pasados los cuatro años, y salvo que haya un procedimiento abierto (una inspección, un juicio) que exija conservarlos como prueba, el criterio general de protección de datos es no guardar más de lo necesario: se bloquean o se eliminan. Un sistema que conserva el histórico exactamente cuatro años, y lo exporta cuando lo pides, cumple las dos cosas.

Quién puede verlo

El Estatuto dice quién tiene acceso: el trabajador (a su propio registro, en cualquier momento), sus representantes legales y la Inspección de Trabajo. Dentro de la empresa, la regla del RGPD es la de necesidad: accede quien lo necesita para su función, y solo a lo que necesita. El responsable de personal, sí; el encargado de un centro, al de su centro; el compañero de al lado, no.

De aquí salen dos criterios de la AEPD que conviene tener en cuenta al elegir sistema:

• Los fichajes no pueden estar a la vista: ni un listado en el tablón, ni una pantalla en la entrada donde se vea quién ha entrado y a qué hora, ni un cuaderno abierto en el mostrador. El registro de cada persona es suyo.
• Los accesos deben poder demostrarse: quién consultó, quién corrigió, cuándo. Un audit log no es solo una garantía laboral; es también la trazabilidad que pide protección de datos.

Un ejemplo concreto: si tienes varios centros y un encargado en cada uno, el encargado debería ver a su gente y no a la de los demás. En MiJornada el encargado de centro ve solo su centro, y el propietario, todo.

La información al trabajador

Antes de que empiece a fichar, cada persona tiene que recibir la información del artículo 13 del RGPD, en un lenguaje que se entienda:

1. Quién es el responsable: tu empresa, con sus datos de contacto.
2. Para qué se tratan los datos: cumplir el artículo 34.9 del Estatuto y calcular la jornada, las pausas y las horas extraordinarias.
3. Qué datos: hora de inicio y fin, pausas, dispositivo, centro y, si aplica, ubicación en el momento de fichar.
4. Durante cuánto tiempo: cuatro años.
5. Quién los ve: la propia persona, sus representantes, la Inspección, y en la empresa quien gestiona el registro. Y quién los trata por cuenta de la empresa: el proveedor del software, como encargado del tratamiento.
6. Sus derechos: acceso, rectificación (que en el registro es la solicitud de corrección), supresión cuando proceda, y dónde reclamar.

Si hay representación legal de los trabajadores, la información se les da también a ellos, y el sistema de registro se consulta con ellos antes de implantarlo, como pide el propio artículo 34.9. Una cláusula en el contrato o un documento firmado al entregar la tarjeta o el acceso a la app resuelve el trámite. La checklist de implantación trae un modelo de aviso al equipo.

El registro de actividades de tratamiento

El artículo 30 del RGPD exime del registro de actividades a las empresas de menos de 250 empleados salvo que el tratamiento no sea ocasional, y el registro de jornada es diario. Así que hay que tenerlo, también con tres empleados. No es un trámite ante nadie: es un documento interno que describe el tratamiento.

Para el registro de jornada, una ficha: responsable; finalidad (registro de jornada del artículo 34.9); categorías de datos (identificación, fecha y hora, dispositivo, centro, ubicación en el fichaje si aplica, correcciones); categorías de interesados (personas trabajadoras); destinatarios (Inspección de Trabajo, representantes, y la asesoría si gestiona nóminas); encargado del tratamiento (el proveedor del software); transferencias internacionales (ninguna si los datos están en la Unión Europea); plazo de conservación (cuatro años); medidas de seguridad (acceso con usuario, cifrado, copias, registro de accesos).

El proveedor del software: encargado del tratamiento

Si el registro lo lleva una aplicación, el proveedor trata los datos por cuenta de tu empresa: es encargado del tratamiento y hace falta un contrato de encargo (artículo 28 del RGPD) que fije qué hace con los datos, que solo sigue tus instrucciones, que los devuelve o elimina al terminar, que aplica medidas de seguridad y que no los saca de la Unión Europea sin garantías. Los proveedores serios lo incluyen en sus condiciones; mira que esté y dónde se alojan los datos. Los de MiJornada están en servidores de la Unión Europea, cifrados en tránsito y en reposo, y la política de privacidad recoge el encargo.

Seguridad: lo mínimo razonable

Sin entrar en auditorías: acceso con usuario y contraseña propios (no un usuario compartido para todos los encargados), fichaje que identifique a la persona sin que otro pueda fichar por ella, copias de seguridad, cifrado, y un registro de quién accede y quién corrige. Un cuaderno en el mostrador o un Excel en un portátil sin copia incumplen casi todo esto además de ser un registro no fiable para la Inspección.

Los derechos del trabajador en el registro

• Acceso: ver su registro cuando quiera. En una app, es su historial; en papel, una copia.
• Rectificación: pedir corregir un fichaje erróneo. En el registro, la rectificación no borra el dato original: se documenta la corrección con su motivo, porque el registro tiene que seguir siendo fiable.
• Copia del resumen mensual: en tiempo parcial es obligatoria con la nómina; en jornada completa, a efectos de horas extraordinarias.
• Supresión: no procede mientras dure la obligación legal de conservar (cuatro años), y hay que decírselo así.

Lo que la AEPD ha sancionado

Además de la biometría, los casos que más se repiten en resoluciones de la Agencia sobre control laboral: listados de fichajes expuestos o enviados a toda la plantilla; geolocalización activa fuera de la jornada o sin haber informado; cámaras usadas para controlar la jornada sin información ni proporcionalidad; y falta de información a los trabajadores sobre el tratamiento. Las cuantías van de unos miles de euros por falta de información a cientos de miles por vigilancia encubierta o biometría.

Lista de comprobación

1. Base legal identificada: obligación legal, artículo 34.9. Sin pedir consentimiento.
2. Datos mínimos: hora, pausas, dispositivo, centro, correcciones. Ubicación solo al fichar y con motivo. Sin biometría.
3. Conservación: cuatro años; exportación disponible; eliminación después salvo procedimiento abierto.
4. Accesos por necesidad: cada persona ve lo suyo, el encargado su centro, el responsable todo. Nada expuesto.
5. Información al trabajador (y a los representantes) entregada antes de fichar.
6. Registro de actividades de tratamiento con la ficha del registro de jornada.
7. Contrato de encargo con el proveedor y datos en la Unión Europea.
8. Usuarios individuales, cifrado, copias y registro de accesos y correcciones.

Nota legal: divulgación general a partir del RGPD, la LOPDGDD, el Estatuto de los Trabajadores y las guías y criterios publicados por la AEPD. Cada empresa tiene su registro de actividades y sus circunstancias: revísalo con tu asesoría o tu delegado de protección de datos si lo tienes.