Fichaje con huella dactilar: ¿es legal en España en 2026?

El lector de huellas dactilares en la entrada de una empresa parece una solución sencilla: nadie puede fichar por otro, es rápido y no requiere tarjetas ni PIN. Pero desde el punto de vista legal, es uno de los sistemas de control horario más problemáticos que existen. La AEPD ha sancionado a empresas por usarlo, el Tribunal de Justicia de la Unión Europea ha sentado criterios claros y el RGPD categoriza la huella dactilar como dato biométrico de categoría especial. Esto no significa que sea siempre ilegal, pero sí que la barra para poder usarlo está muy alta.

Por qué la huella es un dato "especial" bajo el RGPD

El artículo 9 del RGPD lista las categorías especiales de datos personales, cuyo tratamiento está prohibido con carácter general y solo se permite bajo excepciones tasadas. La huella dactilar es un dato biométrico que identifica de forma unívoca a una persona física, y como tal está en esa lista.

Las excepciones que podrían permitir su tratamiento en el contexto laboral son básicamente dos:

• Consentimiento explícito del interesado (art. 9.2.a RGPD). Sin embargo, la AEPD considera que en el contexto de una relación laboral el consentimiento no es libre, porque existe un desequilibrio de poder entre empresa y trabajador. Un empleado puede sentir que si no acepta, su empleo peligra.
• Necesidad para el cumplimiento de obligaciones y el ejercicio de derechos específicos en el ámbito del Derecho laboral (art. 9.2.b RGPD), pero solo si está autorizado por ley nacional o convenio colectivo que establezca garantías adecuadas.

En España no existe ninguna ley ni convenio colectivo que autorice expresamente el uso de huella dactilar para el control horario. Eso deja el margen legal muy estrecho.

La sentencia del TJUE que lo cambió todo

El Tribunal de Justicia de la Unión Europea, en su sentencia de octubre de 2024 (Asunto C-200/23), confirmó que el tratamiento de datos biométricos en el ámbito laboral debe superar el test de proporcionalidad y que el consentimiento del trabajador no puede considerarse libre cuando existe una relación de dependencia. Esto refuerza la posición restrictiva de la AEPD y hace aún más difícil justificar el uso de huella dactilar para control horario salvo en circunstancias muy específicas.

Criterios de la AEPD: cuándo lo sanciona

La AEPD ha aplicado su criterio sancionador principalmente cuando se dan estas circunstancias:

• La empresa usa la huella como único método de fichaje, sin alternativa para quien no quiera proporcionar su dato biométrico.
• No se realizó una Evaluación de Impacto de Protección de Datos (EIPD) previa al tratamiento, que es obligatoria cuando se tratan datos de categoría especial a gran escala.
• Los empleados no fueron informados de forma específica sobre el tratamiento de su huella dactilar, los plazos de conservación y sus derechos.
• El sistema almacena la huella como imagen o como plantilla biométrica sin las garantías técnicas adecuadas (cifrado, almacenamiento local en el dispositivo del empleado, etc.).

Sanciones reales impuestas por la AEPD

Caso	Sanción	Motivo principal
Empresa del sector servicios (2021)	10.000 €	Fichaje biométrico sin base legal suficiente
Centro educativo (2022)	50.000 €	Huella como único método, sin EIPD
Empresa de seguridad (2023)	75.000 €	Tratamiento de huella sin consentimiento válido y sin alternativa
Cadena de distribución (2024)	120.000 €	Reincidencia y falta de medidas técnicas de seguridad

Datos aproximados basados en resoluciones públicas de la AEPD. Los importes exactos figuran en las resoluciones originales.

El test de proporcionalidad: cuándo podría ser justificable

Para que el uso de huella dactilar sea legal, la empresa tendría que superar este test:

1. ¿Hay una finalidad legítima y concreta? Por ejemplo, acceso a zonas de alta seguridad donde la suplantación de identidad tendría consecuencias graves.
2. ¿Es el dato biométrico necesario? ¿No podría lograrse la misma seguridad con una tarjeta de doble factor o un código PIN + cámara?
3. ¿Los beneficios superan los riesgos para los derechos del empleado? En el control horario ordinario, la respuesta es casi siempre negativa.
4. ¿Hay alternativas para quien no quiera proporcionar su huella? Si no las hay, el sistema es ilegal porque el consentimiento no es libre.

En la práctica, el fichaje biométrico por huella para el control horario ordinario en una empresa estándar difícilmente supera este test.

Tabla comparativa de métodos de fichaje

Método	Riesgo de suplantación	Coste	Riesgo legal (RGPD)	Recomendado
PIN numérico (kiosco)	Medio (se puede compartir)	Bajo	Bajo	Sí, para la mayoría
App móvil + geolocalización puntual	Bajo	Bajo	Bajo si se informa	Sí, para teletrabajadores y comerciales
Tarjeta RFID	Medio (se puede prestar)	Medio	Bajo	Sí, en combinación con PIN
Huella dactilar	Muy bajo	Alto	Muy alto	Solo en casos justificados con EIPD
Reconocimiento facial	Muy bajo	Alto	Muy alto (art. 9 RGPD)	No, en control horario ordinario

Qué hacer si ya tienes un lector de huellas

Si tu empresa ya usa huella dactilar para el fichaje:

1. Revisa si tienes una EIPD documentada. Si no la tienes, es el primer paso.
2. Verifica que los empleados tienen una alternativa real al fichaje biométrico.
3. Comprueba que el sistema almacena plantillas biométricas cifradas, no imágenes de la huella.
4. Consulta con tu delegado de protección de datos (DPD) o con un especialista en privacidad laboral.

La alternativa más segura y legal es migrar a un sistema de kiosco con PIN, que tiene un nivel de suplantación similar al de la huella dactilar en la práctica real (nadie comparte su PIN si sabe que queda registrado) y sin los riesgos legales del biométrico.

Información general. Para tu caso concreto, consulta con tu asesoría laboral.