Fichar con huella dactilar: qué dice la AEPD en 2026

Durante años, el terminal de huella dactilar en la entrada fue el símbolo del control horario serio: rápido, imposible de prestar como una tarjeta y sin contraseñas que olvidar. En 2026 la foto es la contraria: ese mismo aparato se ha convertido en uno de los mayores focos de riesgo legal que puede tener una empresa española. Desde que la Agencia Española de Protección de Datos (AEPD) fijó su criterio sobre el control de presencia biométrico, las sanciones se han encadenado.

En resumen: la AEPD considera que fichar con huella dactilar o reconocimiento facial trata categorías especiales de datos del artículo 9 del RGPD y que en España no existe una norma con rango de ley que lo autorice para el registro de jornada. El consentimiento del trabajador no basta, y las multas ya han alcanzado los 365.000 euros.

Repasamos qué dice exactamente el criterio de la AEPD, qué cambió el 30 de junio de 2026 con la sentencia de la Audiencia Nacional que anuló su guía por motivos formales, qué sanciones se están imponiendo y qué alternativas tienes para cumplir el registro horario sin exponerte: tarjeta, PIN o fichaje por móvil con geolocalización puntual.

¿Es legal fichar con huella dactilar en 2026?

La respuesta corta: no de forma defendible en la inmensa mayoría de los casos. Ninguna ley dice literalmente «prohibido fichar con huella», pero el punto de partida del RGPD es el contrario al que muchas empresas asumen: tratar datos biométricos dirigidos a identificar de manera unívoca a una persona está prohibido por defecto (artículo 9.1) y solo se permite en las excepciones tasadas del artículo 9.2.

Y aquí está el primer matiz importante: durante años, muchos proveedores defendían que sus terminales no «identificaban» a nadie, sino que solo «autenticaban» (verificar que la huella coincide con la plantilla del propio trabajador) y que por tanto no tocaban categorías especiales. La AEPD cerró esa puerta: tanto la identificación como la autenticación biométrica implican, con carácter general, tratamiento de categorías especiales del artículo 9. El argumento de «solo verificamos, no identificamos» dejó de servir como escudo.

Para un uso laboral, la única excepción realista del artículo 9.2 es la letra b: que el tratamiento sea necesario para cumplir obligaciones del Derecho laboral y esté autorizado por una norma con las garantías adecuadas. El problema es que la normativa laboral española obliga a registrar la jornada (artículo 34.9 del Estatuto de los Trabajadores, introducido por el Real Decreto-ley 8/2019), pero no menciona la biometría en ningún momento. Obligación de fichar, sí; habilitación para fichar con el cuerpo, no. Sin esa autorización específica con rango de ley, el criterio de la AEPD es que el fichaje biométrico carece de base jurídica válida.

¿Qué cambió con la guía de la AEPD de noviembre de 2023?

El 23 de noviembre de 2023 la AEPD publicó su «Guía sobre tratamientos de control de presencia mediante sistemas biométricos», que endureció de forma notable su posición anterior. Hasta entonces, la Agencia había admitido en algunos informes el uso de la huella para fichar bajo ciertas condiciones; la guía pasó a tratar cualquier control de presencia biométrico, laboral o no, como un tratamiento de alto riesgo sobre categorías especiales de datos. Sus criterios clave:

• Los datos biométricos usados para control de presencia son categoría especial del artículo 9 del RGPD, tanto en identificación como en autenticación.
• Es un tratamiento de alto riesgo: exige una evaluación de impacto (EIPD) antes de arrancar, que debe superar el triple juicio de idoneidad, necesidad y proporcionalidad.
• Para el registro de jornada y el control de acceso laboral, levantar la prohibición por la vía del artículo 9.2.b exige una norma con rango de ley que autorice específicamente la biometría; hoy no existe en España.
• El consentimiento del trabajador no puede levantar la prohibición, por el desequilibrio entre empresa y empleado.
• Si existe una alternativa menos invasiva igual de eficaz, la biometría incumple además el principio de minimización de datos (artículo 5.1.c del RGPD).

En la práctica, el terminal de huella o de cara instalado para fichar dejó de ser defendible en casi cualquier empresa: siempre existe una alternativa menos invasiva que cumple la misma función. La guía no era formalmente una norma, pero anticipaba cómo iba a resolver la Agencia las denuncias. Y así fue.

¿Sirve el consentimiento del trabajador?

No, y es probablemente el malentendido más caro del mercado. Muchas empresas instalaron terminales biométricos con una hoja de firmas: cada trabajador «consentía» el tratamiento de su huella. Para la AEPD ese consentimiento no vale, por dos razones. La primera: en la relación laboral hay un desequilibrio estructural, así que el consentimiento difícilmente es libre; decirle que no a tu empleador no es una opción real.

La segunda es de fondo: aunque el consentimiento fuera impecable, la Agencia sostiene que no puede levantar la prohibición del artículo 9 en un tratamiento que no supera el juicio de necesidad. Registrar la jornada no requiere datos biométricos: una tarjeta, un PIN o una app hacen exactamente lo mismo. Por eso las hojas de firmas no han servido de escudo en ningún expediente sancionador reciente.

¿Qué multas está poniendo la AEPD?

Las resoluciones sancionadoras dibujan un patrón claro: casi todas empiezan con la reclamación de un único trabajador y casi todas acaban en multa. Estos son los tres casos más citados:

El razonamiento se repite resolución tras resolución: la normativa laboral no exige biometría para controlar la jornada, la empresa no acreditó que fuera necesaria ni proporcionada y existían métodos alternativos. En el caso alicantino pesó especialmente que no existiera ninguna forma de fichar sin poner la cara ante el terminal. Y un apunte: estas multas son de protección de datos y se suman a las sanciones laborales por no llevar registro de jornada (de 751 a 7.500 euros por infracción según la LISOS).

¿La anulación de la guía en 2026 cambia algo?

El 30 de junio de 2026 la Audiencia Nacional, en su sentencia 367/2026, estimó el recurso de la Asociación Española de Empresas de Seguridad y anuló la guía de la AEPD en su totalidad. El motivo es formal, no de fondo: para el tribunal, el documento desplegaba efectos externos y fijaba criterios de obligado seguimiento, así que materialmente era una circular y debió tramitarse como tal, con el procedimiento del artículo 55 de la LOPDGDD y del Real Decreto 389/2021.

¿Significa esto que vuelve a ser legal fichar con huella? No. La sentencia no valida la biometría: anula el envoltorio, no el criterio. El artículo 9 del RGPD se aplica directamente, con guía o sin ella, y las sanciones que hemos visto se fundamentan en el propio Reglamento, no en la guía anulada. Además, la sentencia no es firme —cabe recurso ante el Tribunal Supremo— y nada impide a la AEPD volver a aprobar el mismo criterio, esta vez con la tramitación correcta de circular. Quien reinstale hoy el terminal de huella asume prácticamente el mismo riesgo que antes.

¿Qué exige la AEPD si aun así quieres usar biometría?

Hay escenarios muy concretos —el control de acceso a zonas críticas de seguridad, por ejemplo— donde el debate tiene más matices que en el fichaje ordinario. Si tu empresa cree estar en uno de ellos, la lista de deberes que se desprende del criterio de la Agencia y de sus resoluciones es exigente:

• Identificar una base válida del artículo 9.2 antes de encender nada; para el registro de jornada ordinario, hoy no existe.
• Realizar una evaluación de impacto (EIPD) previa que supere el triple juicio de idoneidad, necesidad y proporcionalidad, documentada y fechada antes del despliegue.
• Ofrecer una alternativa no biométrica real y sin penalización para quien no quiera usar el sistema.
• Informar de forma completa a la plantilla (artículo 13 del RGPD): qué dato se trata, para qué, durante cuánto tiempo y con qué medidas de seguridad.
• Minimizar: plantillas cifradas en tarjeta o dispositivo en poder del trabajador antes que bases de datos centralizadas, y supresión inmediata al terminar la relación laboral.
• Actualizar el registro de actividades de tratamiento y poder demostrarlo todo ante una inspección.

Para el fichaje laboral común, ese examen no se supera: el juicio de necesidad choca siempre con medios menos invasivos igual de eficaces. Por eso la recomendación de la mayoría de despachos tras la sentencia de 2026 sigue siendo la misma que en 2024: retirar la biometría del registro horario.

¿Cómo encaja esto con el registro horario obligatorio?

Aquí está la paradoja que atrapa a muchas pymes: fichar es obligatorio, pero la tecnología de fichaje más vendida durante una década es ahora la más arriesgada. Desde el 12 de mayo de 2019, el Real Decreto-ley 8/2019 obliga a todas las empresas a llevar un registro diario de jornada con la hora de entrada y de salida de cada trabajador, conservarlo cuatro años y tenerlo a disposición de trabajadores, representantes e Inspección de Trabajo. No llevarlo es infracción grave, con multas de 751 a 7.500 euros.

Y viene más: el Gobierno tramita un real decreto de registro horario digital que eliminaría el papel y el Excel, impondría registros inalterables con acceso remoto de la Inspección y elevaría las sanciones hasta 10.000 euros por trabajador. A fecha de publicación de este artículo (agosto de 2026) sigue pendiente de aprobación: el Consejo de Estado emitió el 23 de marzo de 2026 un dictamen crítico que obligó al Ministerio de Trabajo a revisar el texto, y las previsiones apuntan a finales de 2026 o principios de 2027. Un detalle que muchas empresas mezclan: el borrador exige un registro digital, fiable e inalterable, no biométrico. Digitalizar el fichaje no significa poner un lector de huellas.

Un registro válido no necesita el cuerpo de nadie; necesita fiabilidad y trazabilidad. Así puede verse un registro diario perfectamente conforme, sin un solo dato biométrico:

¿Qué alternativas legales tienes para fichar?

Todas las alternativas razonables comparten una característica: no tratan categorías especiales de datos, así que el análisis jurídico baja de «prohibido salvo excepción» a «permitido con deberes ordinarios de información y minimización». Comparativa rápida:

¿Es legal fichar con el móvil y geolocalización?

Sí, con condiciones claras. El artículo 90 de la LOPDGDD permite expresamente los sistemas de geolocalización en el ámbito laboral al amparo de las facultades de control del artículo 20.3 del Estatuto de los Trabajadores. No hace falta el consentimiento del trabajador, pero sí informar antes, de forma expresa, clara e inequívoca, a la plantilla y a sus representantes: qué se captura, cuándo y para qué. Y la clave de la proporcionalidad: registrar la ubicación solo en el momento del fichaje, nunca un rastreo continuo durante la jornada.

Este es exactamente el modelo de herramientas como imRoster: el cuadrante se publica en el móvil de cada trabajador y esa misma app sirve para fichar con un registro puntual de ubicación en el check-in, sin tratar un solo dato biométrico. Para la empresa, el resultado es un registro digital, trazable y preparado para una inspección; para el trabajador, ninguna huella ni cara almacenada en el servidor de nadie.

¿Cómo retirar el terminal de huella sin parar la empresa?

Si hoy tienes un terminal biométrico funcionando, la transición es más sencilla de lo que parece y puede cerrarse en un par de semanas:

• Desactiva la captura biométrica cuanto antes; cada día de uso es un día más de tratamiento sin base jurídica.
• Suprime las plantillas biométricas almacenadas en el terminal y en cualquier copia, y pide al proveedor un certificado de borrado.
• Elige la alternativa: tarjeta o PIN si la plantilla es estable y presencial; app móvil si hay turnos, movilidad o varios centros de trabajo.
• Informa por escrito a la plantilla y a sus representantes del cambio y, si la nueva app usa geolocalización, de sus condiciones exactas (artículo 90 de la LOPDGDD).
• Actualiza el registro de actividades de tratamiento y guarda toda la documentación del cambio: es tu mejor defensa ante una inspección o una reclamación.

La conclusión de 2026 es menos ambigua de lo que sugieren los titulares sobre la guía anulada: el registro de jornada es obligatorio y lo será aún más cuando llegue el real decreto digital, pero nada en la normativa exige —ni ampara con claridad— que se haga con el cuerpo de los trabajadores. Entre la tarjeta de toda la vida y un fichaje desde el móvil integrado con el cuadrante de turnos, hay maneras de sobra de cumplir sin convertir la puerta de entrada en un futuro expediente de la AEPD.

Preguntas frecuentes