Registre de jornada i protecció de dades: guia AEPD

El passat 17 de febrer, l’AEPD va publicar una guia específica sobre el registre de jornada laboral i la protecció de dades. Era qüestió de temps: amb el nou Reial Decret que obligarà al registre digital i l’explosió d’apps de fitxatge, els dubtes sobre privacitat s’havien multiplicat.

La guia aclareix punts que generaven molta confusió. I té implicacions directes per a qualsevol empresa que faci servir (o hagi de fer servir) un software de control horari.

Necessites el consentiment del treballador per registrar la seva jornada?

No. I això és el primer que aclareix l’AEPD de forma contundent.

La base legal del registre de jornada no és el consentiment del treballador, sinó el compliment d’una obligació legal: l’article 34.9 de l’Estatut dels Treballadors obliga l’empresa a garantir el registre diari de jornada. En termes del RGPD, estem davant l’article 6.1.c: tractament necessari per complir una obligació legal.

Què significa això a la pràctica? Que no necessites demanar permís als teus empleats per fitxar. No hi ha formulari de consentiment que signar, ni casella que marcar. El registre és obligatori per a l’empresa i el tractament de dades està legitimat per llei.

Però que no necessitis consentiment no vol dir que puguis fer el que vulguis.

El que SÍ has de fer

L’AEPD deixa clar que, encara que no necessitis consentiment, hi ha diverses obligacions que complir:

1. Informar el treballador

És obligatori informar cada empleat de:

• Que les seves dades de jornada s’estan registrant
• Qui és el responsable del tractament
• Amb quina finalitat es recullen les dades
• Quant de temps es conservaran
• Quins drets té (accés, rectificació, supressió, etc.)

Això es pot fer al contracte, en una política de privacitat interna o en un document informatiu específic. Però s’ha de fer. La falta d’informació és una de les infraccions més comunes.

2. Minimitzar les dades recollides

El principi de minimització del RGPD exigeix que el sistema de registre sigui el menys intrusiu possible. Només s’han de recollir les dades estrictament necessàries per a la finalitat de control horari.

Què és “necessari”? Hora d’entrada, hora de sortida. Potser la ubicació en el moment del fitxatge si hi ha justificació (empleats itinerants, treball en obra). Però res més. Un sistema que grava àudio, captura pantalles o rastreja moviments continus va molt més enllà del que la llei permet.

3. Conservar les dades 4 anys (i després, eliminar-les)

El termini de conservació és de 4 anys, segons estableix l’article 34.9 de l’Estatut dels Treballadors. Un cop transcorregut aquest termini, les dades s’han de suprimir o bloquejar.

Conservar registres més enllà de 4 anys sense justificació és una infracció. Tenir registres de 2018 encara al sistema és un risc innecessari.

4. Incloure el registre en l’anàlisi de riscos

L’empresa ha d’incorporar el tractament de dades del registre de jornada en la seva anàlisi de riscos i, si escau, en l’avaluació d’impacte en protecció de dades (EIPD). Això és especialment rellevant si s’utilitza geolocalització o dades biomètriques.

Si fas servir un software extern: el contracte DPA

Aquí és on moltes empreses fallen sense saber-ho.

Quan una empresa fa servir una app o software de tercers per al registre de jornada — qualsevol solució SaaS —, el proveïdor es converteix en encarregat del tractament segons l’article 28 del RGPD. I això exigeix un contracte formal: el DPA (Data Processing Agreement o Acord d’Encarregat del Tractament).

Aquest contracte ha de regular, com a mínim:

• Quines dades es tracten i amb quina finalitat
• Les mesures de seguretat que aplica el proveïdor
• Què passa amb les dades quan acaba la relació
• Les obligacions de confidencialitat
• El procediment en cas de bretxa de seguretat

Si el teu proveïdor de software de fitxatge no t’ofereix un DPA, tens un problema. L’AEPD ho diu clarament: l’empresa és responsable de verificar que l’encarregat del tractament compleix.

A més, si el software connecta amb els servidors del proveïdor (com passa en qualsevol solució al núvol), cal informar els treballadors d’aquesta cessió de dades a un tercer. No n’hi ha prou amb tenir el contracte DPA; els empleats han de saber que les seves dades de fitxatge es processen fora de la infraestructura de l’empresa.

Geolocalització: el punt més sensible

La guia de l’AEPD dedica especial atenció a la geolocalització, i no és casualitat. És l’aspecte que més dubtes genera i on més fàcil és passar-se de la ratlla.

La regla és clara: la geolocalització en el fitxatge només és lícita si és necessària i proporcional. Això significa:

• Sí pot justificar-se per a empleats que treballen fora de l’oficina (comercials, tècnics de camp, repartidors)
• No es justifica per a empleats que fitxen sempre des de la mateixa oficina
• Mai pot suposar un seguiment continu de la ubicació del treballador

Capturar les coordenades en el moment exacte del fitxatge és una cosa. Rastrejar on és l’empleat durant tota la jornada és una altra molt diferent — i la segona no està emparada per la base legal del registre de jornada.

Si vols aprofundir en aquest tema, tenim dues guies específiques: És legal fitxar amb geolocalització? i la guia completa de fitxatge amb geolocalització.

Els errors més comuns

Després d’analitzar la guia de l’AEPD, aquests són els errors que veiem amb més freqüència:

1. No informar els treballadors. Implantar un sistema de fitxatge sense comunicar formalment als empleats que les seves dades es recullen, qui les tracta i amb quina finalitat. És la infracció més bàsica i més habitual.

2. No tenir un DPA amb el proveïdor. Fer servir un software de fitxatge sense contracte d’encarregat del tractament. Moltes apps barates o genèriques no ofereixen DPA. El problema és de l’empresa, no del proveïdor.

3. Conservar dades més temps del necessari. Guardar registres de fitxatge de fa 6, 8 o 10 anys “per si de cas”. El termini legal és 4 anys. Tot el que excedeixi això s’ha d’eliminar.

4. Geolocalitzar sense justificació. Activar la geolocalització per a tots els empleats, inclosos els que fitxen sempre a l’oficina. O pitjor: permetre el seguiment continu d’ubicació fora del moment de fitxatge.

5. Demanar consentiment com a base legal. Algunes empreses fan signar un “consentiment per al registre de jornada”. No només no és necessari, sinó que és incorrecte: el consentiment en una relació laboral no es considera lliure (hi ha desequilibri de poder), i a més no és la base legal aplicable.

6. No incloure el registre en l’anàlisi de riscos. Tractar les dades de fitxatge com si no fossin dades personals. Ho són, i han d’estar contemplades en la documentació de protecció de dades de l’empresa.

Com ho fa Cleverfy

A Cleverfy hem dissenyat el sistema de fitxatge amb la protecció de dades com a prioritat des del primer dia. Forma part del disseny des del primer dia.

• DPA inclòs — El nostre contracte d’encarregat del tractament està disponible públicament als nostres termes i condicions. No cal demanar-lo, ni negociar-lo, ni esperar que legal el revisi. Hi és des del moment en què et registres.

• Dades a Espanya — Tota la infraestructura és a AWS Espanya (dins l’Espai Econòmic Europeu). Les dades dels teus empleats no creuen fronteres ni es processen en jurisdiccions amb menor protecció.

• Xifratge complet — TLS en trànsit i xifratge en repòs. Les dades estan protegides tant quan viatgen com quan s’emmagatzemen.

• Geolocalització només al fitxar — Capturem la ubicació únicament en el moment exacte del fitxatge, si l’empresa ho té activat. No hi ha tracking continu, ni monitorització de rutes, ni seguiment fora d’horari.

• Conservació de 4 anys amb bloqueig — Complim exactament amb el termini legal. Les dades es bloquegen després del període de conservació.

• Notificació de bretxes en 48 hores — Si tingués lloc una incidència de seguretat, el nostre compromís és notificar en un termini inferior al que exigeix el RGPD (72 hores).

Pots consultar totes les funcionalitats de la plataforma i els preus si estàs avaluant opcions.

El que ve: registre digital obligatori

Convé recordar que el nou Reial Decret de control horari exigirà que el registre sigui digital i accessible en temps real per la Inspecció de Treball. Això vol dir que els fulls Excel, les plantilles en paper i els sistemes manuals tenen els dies comptats.

Quan aquest registre sigui obligatòriament digital, les implicacions en protecció de dades es multipliquen: més dades al núvol, més proveïdors involucrats, més necessitat de DPAs rigorosos i mesures de seguretat reals.

Preparar-se ara no és només complir amb la llei actual. És anticipar-se al que ve.

Preguntes freqüents

Necessito el consentiment del treballador per fitxar?

No. La base legal del registre de jornada és el compliment d’una obligació legal (Art. 34.9 ET i Art. 6.1.c del RGPD), no el consentiment. Això sí, has d’informar el treballador que les seves dades es recullen, amb quina finalitat i durant quant de temps.

Què és un DPA i en necessito un amb el meu software de fitxatge?

Un DPA (Data Processing Agreement) és el contracte obligatori entre la teva empresa i qualsevol proveïdor extern que tracti dades personals dels teus empleats. Si fas servir un software de fitxatge al núvol (SaaS), necessites un DPA. Si el teu proveïdor no te l’ofereix, tens un problema de compliment.

Puc fer servir geolocalització en el fitxatge?

Sí, però només si és necessària i proporcional. L’AEPD permet capturar la ubicació en el moment del fitxatge per a empleats que treballen fora de l’oficina. El que no està permès és el seguiment continu d’ubicació ni geolocalitzar empleats que fitxen sempre des del mateix lloc.

Nota legal: Aquest article té caràcter informatiu i no constitueix assessorament jurídic. Per a qüestions específiques de protecció de dades, consulteu amb un delegat de protecció de dades o assessor especialitzat.

---

El teu sistema de fitxatge compleix amb el RGPD? Prova Cleverfy gratis i comprova com un software dissenyat amb la privacitat com a prioritat pot simplificar el compliment.

---

Fonts: AEPD Laboratorio — El registro de jornada laboral y la protección de datos (17 febrero 2026), Estatut dels Treballadors — Art. 34.9, Reglament General de Protecció de Dades (RGPD)