Registre de jornada i protecció de dades: guia AEPD

El passat 17 de febrer, l’AEPD va publicar una guia específica sobre el registre de jornada laboral i la protecció de dades. Era qüestió de temps: amb el nou Reial Decret que obligarà al registre digital i l’explosió d’apps de fitxatge, els dubtes sobre privacitat s’havien multiplicat.

La guia aclarix punts que generaven molta confusió. I té implicacions directes per a qualsevol empresa que utilitze (o haja d’utilitzar) un software de control horari.

Necessites el consentiment del treballador per a registrar la seua jornada?

No. I açò és el primer que aclarix l’AEPD de forma contundent.

La base legal del registre de jornada no és el consentiment del treballador, sinó el compliment d’una obligació legal: l’article 34.9 de l’Estatut dels Treballadors obliga l’empresa a garantir el registre diari de jornada. En termes del RGPD, estem davant l’article 6.1.c: tractament necessari per a complir una obligació legal.

Què significa açò en la pràctica? Que no necessites demanar permís als teus empleats per a fitxar. No hi ha formulari de consentiment que signar, ni casella que marcar. El registre és obligatori per a l’empresa i el tractament de dades està legitimat per llei.

Però que no necessites consentiment no vol dir que pugues fer el que vulgues.

El que SÍ has de fer

L’AEPD deixa clar que, encara que no necessites consentiment, hi ha diverses obligacions que complir:

1. Informar el treballador

És obligatori informar cada empleat de:

• Que les seues dades de jornada s’estan registrant
• Qui és el responsable del tractament
• Amb quina finalitat es recullen les dades
• Quant de temps es conservaran
• Quins drets té (accés, rectificació, supressió, etc.)

Açò es pot fer al contracte, en una política de privacitat interna o en un document informatiu específic. Però s’ha de fer. La falta d’informació és una de les infraccions més comunes.

2. Minimitzar les dades recollides

El principi de minimització del RGPD exigix que el sistema de registre siga el menys intrusiu possible. Només s’han de recollir les dades estrictament necessàries per a la finalitat de control horari.

Què és “necessari”? Hora d’entrada, hora d’eixida. Potser la ubicació en el moment del fitxatge si hi ha justificació (empleats itinerants, treball en obra). Però res més. Un sistema que grava àudio, captura pantalles o rastreja moviments continus va molt més enllà del que la llei permet.

3. Conservar les dades 4 anys (i després, eliminar-les)

El termini de conservació és de 4 anys, segons establix l’article 34.9 de l’Estatut dels Treballadors. Una vegada transcorregut este termini, les dades s’han de suprimir o bloquejar.

Conservar registres més enllà de 4 anys sense justificació és una infracció. Tindre registres de 2018 encara al sistema és un risc innecessari.

4. Incloure el registre en l’anàlisi de riscos

L’empresa ha d’incorporar el tractament de dades del registre de jornada en la seua anàlisi de riscos i, si escau, en l’avaluació d’impacte en protecció de dades (EIPD). Açò és especialment rellevant si s’utilitza geolocalització o dades biomètriques.

Si utilitzes un software extern: el contracte DPA

Ací és on moltes empreses fallen sense saber-ho.

Quan una empresa utilitza una app o software de tercers per al registre de jornada — qualsevol solució SaaS —, el proveïdor es convertix en encarregat del tractament segons l’article 28 del RGPD. I açò exigix un contracte formal: el DPA (Data Processing Agreement o Acord d’Encarregat del Tractament).

Este contracte ha de regular, com a mínim:

• Quines dades es tracten i amb quina finalitat
• Les mesures de seguretat que aplica el proveïdor
• Què passa amb les dades quan acaba la relació
• Les obligacions de confidencialitat
• El procediment en cas de bretxa de seguretat

Si el teu proveïdor de software de fitxatge no t’oferix un DPA, tens un problema. L’AEPD ho diu clarament: l’empresa és responsable de verificar que l’encarregat del tractament complisca.

A més, si el software connecta amb els servidors del proveïdor (com passa en qualsevol solució al núvol), cal informar els treballadors d’esta cessió de dades a un tercer. No n’hi ha prou amb tindre el contracte DPA; els empleats han de saber que les seues dades de fitxatge es processen fora de la infraestructura de l’empresa.

Geolocalització: el punt més sensible

La guia de l’AEPD dedica especial atenció a la geolocalització, i no és casualitat. És l’aspecte que més dubtes genera i on més fàcil és passar-se de la ratlla.

La regla és clara: la geolocalització en el fitxatge només és lícita si és necessària i proporcional. Açò significa:

• Sí pot justificar-se per a empleats que treballen fora de l’oficina (comercials, tècnics de camp, repartidors)
• No es justifica per a empleats que fitxen sempre des de la mateixa oficina
• Mai pot suposar un seguiment continu de la ubicació del treballador

Capturar les coordenades en el moment exacte del fitxatge és una cosa. Rastrejar on està l’empleat durant tota la jornada és una altra molt diferent — i la segona no està emparada per la base legal del registre de jornada.

Si vols aprofundir en este tema, tenim dos guies específiques: És legal fitxar amb geolocalització? i la guia completa de fitxatge amb geolocalització.

Els errors més comuns

Després d’analitzar la guia de l’AEPD, estos són els errors que veiem amb més freqüència:

1. No informar els treballadors. Implantar un sistema de fitxatge sense comunicar formalment als empleats que les seues dades es recullen, qui les tracta i amb quina finalitat. És la infracció més bàsica i més habitual.

2. No tindre un DPA amb el proveïdor. Utilitzar un software de fitxatge sense contracte d’encarregat del tractament. Moltes apps barates o genèriques no oferixen DPA. El problema és de l’empresa, no del proveïdor.

3. Conservar dades més temps del necessari. Guardar registres de fitxatge de fa 6, 8 o 10 anys “per si de cas”. El termini legal és 4 anys. Tot el que excedisca açò s’ha d’eliminar.

4. Geolocalitzar sense justificació. Activar la geolocalització per a tots els empleats, inclosos els que fitxen sempre a l’oficina. O pitjor: permetre el seguiment continu d’ubicació fora del moment de fitxatge.

5. Demanar consentiment com a base legal. Algunes empreses fan signar un “consentiment per al registre de jornada”. No només no és necessari, sinó que és incorrecte: el consentiment en una relació laboral no es considera lliure (hi ha desequilibri de poder), i a més no és la base legal aplicable.

6. No incloure el registre en l’anàlisi de riscos. Tractar les dades de fitxatge com si no foren dades personals. Ho són, i han d’estar contemplades en la documentació de protecció de dades de l’empresa.

Com ho fa Cleverfy

A Cleverfy hem dissenyat el sistema de fitxatge amb la protecció de dades com a prioritat des del primer dia. Forma part del disseny des del primer dia.

• DPA inclòs — El nostre contracte d’encarregat del tractament està disponible públicament en els nostres termes i condicions. No cal demanar-lo, ni negociar-lo, ni esperar que legal el revise. Està ahí des del moment en què et registres.

• Dades a Espanya — Tota la infraestructura està en AWS Espanya (dins l’Espai Econòmic Europeu). Les dades dels teus empleats no creuen fronteres ni es processen en jurisdiccions amb menor protecció.

• Xifratge complet — TLS en trànsit i xifratge en repòs. Les dades estan protegides tant quan viatgen com quan s’emmagatzemen.

• Geolocalització només al fitxar — Capturem la ubicació únicament en el moment exacte del fitxatge, si l’empresa ho té activat. No hi ha tracking continu, ni monitorització de rutes, ni seguiment fora d’horari.

• Conservació de 4 anys amb bloqueig — Complim exactament amb el termini legal. Les dades es bloquegen després del període de conservació.

• Notificació de bretxes en 48 hores — Si tinguera lloc una incidència de seguretat, el nostre compromís és notificar en un termini inferior al que exigix el RGPD (72 hores).

Pots consultar totes les funcionalitats de la plataforma i els preus si estàs avaluant opcions.

El que ve: registre digital obligatori

Convé recordar que el nou Reial Decret de control horari exigirà que el registre siga digital i accessible en temps real per la Inspecció de Treball. Açò vol dir que els fulls Excel, les plantilles en paper i els sistemes manuals tenen els dies comptats.

Quan este registre siga obligatòriament digital, les implicacions en protecció de dades es multipliquen: més dades al núvol, més proveïdors involucrats, més necessitat de DPAs rigorosos i mesures de seguretat reals.

Preparar-se ara no és només complir amb la llei actual. És anticipar-se al que ve.

Preguntes freqüents

Necessite el consentiment del treballador per a fitxar?

No. La base legal del registre de jornada és el compliment d’una obligació legal (Art. 34.9 ET i Art. 6.1.c del RGPD), no el consentiment. Açò sí, has d’informar el treballador que les seues dades es recullen, amb quina finalitat i durant quant de temps.

Què és un DPA i en necessite un amb el meu software de fitxatge?

Un DPA (Data Processing Agreement) és el contracte obligatori entre la teua empresa i qualsevol proveïdor extern que tracte dades personals dels teus empleats. Si utilitzes un software de fitxatge al núvol (SaaS), necessites un DPA. Si el teu proveïdor no te l’oferix, tens un problema de compliment.

Puc utilitzar geolocalització en el fitxatge?

Sí, però només si és necessària i proporcional. L’AEPD permet capturar la ubicació en el moment del fitxatge per a empleats que treballen fora de l’oficina. El que no està permés és el seguiment continu d’ubicació ni geolocalitzar empleats que fitxen sempre des del mateix lloc.

Nota legal: Este article té caràcter informatiu i no constituïx assessorament jurídic. Per a qüestions específiques de protecció de dades, consulteu amb un delegat de protecció de dades o assessor especialitzat.

---

El teu sistema de fitxatge complix amb el RGPD? Prova Cleverfy gratis i comprova com un software dissenyat amb la privacitat com a prioritat pot simplificar el compliment.

---

Fonts: AEPD Laboratorio — El registro de jornada laboral y la protección de datos (17 febrero 2026), Estatut dels Treballadors — Art. 34.9, Reglament General de Protecció de Dades (RGPD)