¿Es legal fichar con huella o reconocimiento facial? Lo que dice la AEPD

Cada cierto tiempo nos llega la misma consulta: «me ofrecen un terminal de fichaje con reconocimiento facial, ¿lo puedo poner?». Y se entiende la tentación: nadie olvida la cara en casa, nadie ficha por un compañero y el aparato queda moderno en la entrada. Durante años, además, fue perfectamente legal.

Hoy la respuesta corta es que no lo pongas. Y la respuesta larga merece la pena, porque en 2026 ha habido una sentencia que mucha gente está leyendo al revés.

¿Buscas la referencia legal completa del registro de jornada? Lee nuestra guía del registro de jornada 2026, construida sobre fuentes primarias y verificada en mayo de 2026.

¿Está prohibido fichar con la huella o con la cara?

Para ser preciso, no existe ninguna ley que diga explícitamente «queda prohibido el reconocimiento facial para fichar». Lo que existe es algo más contundente: el artículo 9 del RGPD clasifica los datos biométricos que identifican unívocamente a una persona (la huella, los rasgos de la cara, el iris) como categoría especial de datos, la misma en la que están la salud o la ideología. Y para las categorías especiales la regla general es la prohibición de tratamiento, salvo excepciones muy tasadas.

La pregunta correcta, por tanto, no es «¿está prohibido el reconocimiento facial?», sino «¿existe alguna excepción que permita usarlo para fichar?». Y ahí está el problema: para el control horario ordinario de una empresa, no la hay.

• La obligación de registrar la jornada no lo cubre. El artículo 34.9 del Estatuto de los Trabajadores te obliga a registrar la jornada, pero no dice nada de hacerlo con datos biométricos. Y la excepción laboral del RGPD (art. 9.2.b) exige una norma con rango de ley que autorice específicamente ese tratamiento. Esa norma, hoy, no existe en España.
• El consentimiento del trabajador tampoco lo salva. Aunque toda la plantilla firme encantada, en la relación laboral hay un desequilibrio evidente entre quien pide el consentimiento y quien lo da. Por eso se considera que ese consentimiento no es libre y no levanta la prohibición.
• Y casi siempre hay una alternativa menos intrusiva. Un PIN, una tarjeta o una app cumplen exactamente la misma función sin tratar un solo dato biométrico. Si existe esa alternativa, usar la cara o la huella no supera el juicio de necesidad y proporcionalidad que exige la normativa: estarías recogiendo más datos de los necesarios para el fin perseguido.

Este es el criterio que la Agencia Española de Protección de Datos plasmó en su guía sobre control de presencia mediante sistemas biométricos de noviembre de 2023, alineándose con las directrices del Comité Europeo de Protección de Datos. Desde entonces, fichar con huella o con reconocimiento facial dejó de ser una zona gris: pasó a ser un tratamiento sin base legal en la inmensa mayoría de empresas.

La sentencia de la Audiencia Nacional de junio de 2026: qué anula (y qué no)

Lo cierto es que la Audiencia Nacional, en su sentencia 367/2026, de 30 de junio, anuló la guía de la AEPD. La noticia corrió rápido y más de uno la interpretó como un salvoconducto para volver al terminal de huella.

No lo es, por tres motivos:

1. La anulación es por la forma, no por el fondo. La Audiencia Nacional considera que el documento, aunque se llamaba «guía», funcionaba en la práctica como una circular de obligado cumplimiento, y las circulares tienen que tramitarse por un procedimiento legal que la AEPD no siguió. La sentencia no entra a valorar si el criterio sobre biometría era acertado o no: anula el envoltorio, no la interpretación.
2. El RGPD sigue exactamente igual. Lo que hace inviable el fichaje biométrico no es la guía: es el artículo 9 del RGPD, que es un reglamento europeo y sigue plenamente vigente. La guía no era más que la interpretación que hacía la AEPD de normas que están por encima de ella y que siguen intactas, y nada indica que la Agencia haya cambiado de opinión.
3. La sentencia no es firme. Cabe recurso de casación ante el Tribunal Supremo, y la propia AEPD ya ha anunciado que estudia su respuesta; lo previsible es que reedite el mismo criterio con el ropaje formal adecuado.

En resumen: la sentencia es relevante para los juristas, ya que pone límites a las «guías» que en realidad son normas encubiertas, pero para un bar, una clínica o una gestoría que se plantea cómo fichar, no cambia nada. El riesgo sigue siendo el mismo que el día anterior a la sentencia.

Las multas son reales: hasta 365.000 €

Que el riesgo no es teórico lo demuestra el expediente más citado en esta materia: en 2024 la AEPD impuso una multa de 365.000 € a CTC Externalización, una empresa de externalización y logística, por hacer fichar a su plantilla con la huella dactilar. La sanción sumaba tres infracciones del RGPD: no informar debidamente a los trabajadores (art. 13), no haber hecho la evaluación de impacto previa (art. 35) y no proteger adecuadamente los datos almacenados (art. 32). Además de pagar, la empresa tuvo que retirar el sistema y acreditar la eliminación de las huellas.

Y no es un caso aislado. Desde el criterio de 2023, el terminal biométrico es una de las infracciones más fáciles de perseguir: el aparato está a la vista en la entrada y basta la denuncia de un solo trabajador para abrir el expediente.

Cómo fichar con la misma trazabilidad y cero datos biométricos

Aquí viene la parte buena: no necesitas la biometría para nada. Lo que exige la normativa del registro de jornada es que el sistema sea fiable y trazable —que quede claro quién fichó, cuándo y si algo se modificó después—, y eso se consigue igual de bien sin tocar un solo dato de categoría especial.

En EUFIA lo tuvimos claro desde el diseño: no tratamos datos biométricos, y no por casualidad, sino por decisión. Cada persona ficha como prefiera:

• En una tablet compartida con su PIN personal: tres segundos, funciona sin conexión y cada fichaje queda vinculado a esa persona con sello de tiempo. Justo el tipo de alternativa menos intrusiva que el propio criterio de la AEPD señala como adecuada.
• Desde su móvil, con la app de iPhone o Android.
• Por WhatsApp, escribiendo al número de EUFIA y tocando «Entrada» o «Salida», sin instalar nada.

Los registros se conservan los cuatro años que exige la ley, se exportan a Excel en un clic si llega la Inspección, y las correcciones dejan huella de quién las hizo y cuándo. Toda la trazabilidad que buscabas en el terminal facial, sin su riesgo legal. Y desde 1 € por empleado al mes, bastante menos de lo que cuesta el terminal (y la posible multa); cómo es posible ese precio te lo contamos en este artículo.

Si tienes hoy un terminal de huella o de reconocimiento facial funcionando, mi consejo es que no esperes a la denuncia: migra a un sistema sin biometría, elimina las plantillas biométricas almacenadas y documenta esa eliminación.

¿Lo cambiamos hoy? Empieza gratis con EUFIA: lo tienes funcionando en 2 minutos, primer mes gratis y sin permanencia.