Lanaldiaren erregistroa eta datuen babesa: AEPD gida

Otsailaren 17an, AEPDk gida espezifiko bat argitaratu zuen lanaldiaren erregistroari eta datuen babesari buruz. Denbora kontua zen: erregistro digitala derrigortuko duen Errege Dekretu berriarekin eta fitxatze-aplikazioen eztandarekin, pribatutasunari buruzko zalantzak biderkatu egin ziren.

Gidak nahasmen handia sortzen zuten puntuak argitzen ditu. Eta zuzeneko ondorioak ditu ordutegi-kontrolerako softwarea erabiltzen duen (edo erabiliko duen) edozein enpresarentzat.

Langilearen baimena behar al duzu lanaldia erregistratzeko?

Ez. Eta hau da AEPDk modu argian azaltzen duen lehenengo gauza.

Lanaldiaren erregistroaren oinarri juridikoa ez da langilearen baimena, baizik eta legezko betebehar bat betetzea: Langileen Estatutuaren 34.9 artikuluak enpresa behartzen du lanaldiaren eguneroko erregistroa bermatzera. DBEOren ikuspegitik, 6.1.c artikuluaren aurrean gaude: legezko betebehar bat betetzeko beharrezkoa den tratamendua.

Zer esan nahi du honek praktikan? Ez duzula baimenik eskatu behar zure langileei fitxatzeko. Ez dago sinatu beharreko baimen-formulariorik, ez markatu beharreko laukirik. Erregistroa derrigorrezkoa da enpresarentzat eta datuen tratamendua legez legitimatuta dago.

Baina baimenik behar ez izateak ez du esan nahi nahi duzuna egin dezakezunik.

Bai egin behar duzuna

AEPDk argi uzten du, baimenik behar ez izan arren, betebehar batzuk daudela:

1. Langileari jakinarazi

Derrigorrezkoa da langile bakoitzari jakinaraztea:

• Bere lanaldiaren datuak erregistratzen ari direla
• Nor den tratamenduaren arduraduna
• Zein helbururekin jasotzen diren datuak
• Zenbat denbora gordeko diren
• Zein eskubide dituen (sarbidea, zuzenketa, ezabatzea, etab.)

Hau kontratuan, barneko pribatutasun-politika batean edo informazio-dokumentu espezifiko batean egin daiteke. Baina egin behar da. Informazio-falta arau-hausteetan ohikoenetako bat da.

2. Jasotako datuak minimizatu

DBEOren minimizazio-printzipioak eskatzen du erregistro-sistema ahalik eta gutxien intrusiboa izatea. Ordutegi-kontrolaren helburuerako zorrozki beharrezkoak diren datuak bakarrik jaso behar dira.

Zer da “beharrezkoa”? Sarrera-ordua, irteera-ordua. Agian kokapena fitxatze-unean, justifikazioa badago (langile ibiltariak, obran lana). Baina ez gehiago. Audioa grabatzen, pantailak hartzen edo mugimendu jarraituak jarraitzen dituen sistema batek legearen mugatik askoz harago doa.

3. Datuak 4 urtez gorde (eta gero, ezabatu)

Kontserbazio-epea 4 urtekoa da, Langileen Estatutuaren 34.9 artikuluak ezartzen duen moduan. Epe hori igaro ondoren, datuak ezabatu edo blokeatu egin behar dira.

4 urtetik gorako erregistroak justifikaziorik gabe gordetzea arau-haustea da. 2018ko erregistroak oraindik sisteman izatea beharrik gabeko arriskua da.

4. Erregistroa arrisku-analisian sartu

Enpresak lanaldiaren erregistroko datuen tratamendua bere arrisku-analisian sartu behar du eta, egokia bada, datuen babesaren eragin-ebaluazioan (EIPD). Hau bereziki garrantzitsua da geokokapena edo datu biometrikoak erabiltzen badira.

Kanpoko software bat erabiltzen baduzu: DPA kontratua

Hemen da non enpresa askok huts egiten duten jakin gabe.

Enpresa batek lanaldiaren erregistrorako hirugarrenen app edo software bat erabiltzen duenean — edozein SaaS soluzio —, hornitzailea tratamenduaren arduradun bihurtzen da DBEOren 28. artikuluaren arabera. Eta horrek kontratu formal bat eskatzen du: DPA (Data Processing Agreement edo Tratamendu Arduradunaren Hitzarmena).

Kontratu honek gutxienez honako hauek arautu behar ditu:

• Zein datu tratatzen diren eta zein helbururekin
• Hornitzaileak aplikatzen dituen segurtasun-neurriak
• Zer gertatzen den datuekin harremana amaitzen denean
• Konfidentzialtasun-betebeharrak
• Segurtasun-haustura gertatuz gero jarraitu beharreko prozedura

Zure fitxatze-softwarearen hornitzaileak DPA bat eskaintzen ez badizu, arazo bat duzu. AEPDk argi esaten du: enpresa da tratamendu-arduraduna betetzen duela egiaztatzeko erantzulea.

Gainera, softwarea hornitzailearen zerbitzarietara konektatzen bada (hodeiko edozein soluzioan gertatzen den moduan), langileei datuen lagapen horren berri eman behar zaie. Ez da nahikoa DPA kontratua izatearekin; langileek jakin behar dute beren fitxatze-datuak enpresaren azpiegituratik kanpo prozesatzen direla.

Geokokapena: puntu sentikorrena

AEPDren gidak arreta berezia eskaintzen dio geokokapenari, eta ez da kasualitatea. Zalantza gehien sortzen dituen arloa da eta mugatik igarotzea errazena den lekua.

Araua argia da: fitxatzean geokokapena soilik zilegi da beharrezkoa eta proportzionala bada. Honek esan nahi du:

• Bai, justifika daiteke bulegotik kanpo lan egiten duten langileentzat (komertzialak, kanpo-teknikariak, banatzaileak)
• Ez da justifikatzen beti bulego beretik fitxatzen duten langileentzat
• Inoiz ezin du langilearen kokapenaren jarraipenik etengaberik suposatu

Koordenadak fitxatze-une zehatzean hartzea gauza bat da. Langilea non dagoen lanaldia osoan zehar jarraitzea guztiz bestelakoa da — eta bigarrena ez dago lanaldiaren erregistroaren oinarri juridikoak babestuta.

Gai honetan sakondu nahi baduzu, bi gida espezifiko ditugu: Legala al da geokokapenarekin fitxatzea? eta geokokapenarekin fitxatzeko gida osoa.

Akats ohikoenak

AEPDren gida aztertu ondoren, hauek dira maizen ikusten ditugun hutsegiteak:

1. Langileei ez jakinaraztea. Fitxatze-sistema bat ezartzea langileei formalki komunikatu gabe beren datuak jasotzen direla, nork tratatzen dituen eta zein helbururekin. Oinarrizkoena eta ohikoena den arau-haustea da.

2. Hornitzailearekin DPA bat ez izatea. Fitxatze-software bat erabiltzea tratamendu-arduradunaren kontraturik gabe. App merke edo generiko askok ez dute DPA eskaintzen. Arazoa enpresarena da, ez hornitzailearena.

3. Datuak behar baino denbora gehiago gordetzea. 6, 8 edo 10 urteko fitxatze-erregistroak gordetzea “badaezpada”. Legezko epea 4 urtekoa da. Hortik gorakoa ezabatu egin behar da.

4. Justifikaziorik gabe geolokalizatzea. Langile guztientzat geokokapena aktibatzea, beti bulegoan fitxatzen dutenentzat barne. Edo okerrago: fitxatze-unetik kanpo kokapenaren jarraipen jarraitu bat ahalbidetzea.

5. Baimena oinarri juridiko gisa eskatzea. Enpresa batzuek “lanaldiaren erregistrorako baimena” sinatu erazten dute. Ez da beharrezkoa ez ezik, okerra da: lan-harreman batean baimena ez da asketzat hartzen (botere-desoreka dago), eta gainera ez da aplikatu beharreko oinarri juridikoa.

6. Erregistroa arrisku-analisian ez sartzea. Fitxatze-datuak datu pertsonalak ez balira bezala tratatzea. Badira, eta enpresaren datuen babes-dokumentazioan kontuan hartu behar dira.

Cleverfyk nola egiten du

Cleverfyn fitxatze-sistema datuen babesa lehentasun gisa diseinatu dugu lehenengo egunetik. Diseinuaren parte da lehenengo egunetik.

• DPA barne — Gure tratamendu-arduradunaren kontratua publikoki eskuragarri dago gure baldintzetan. Ez dago eskatu, negoziatu edo legalak berrikusteko itxaron beharrik. Erregistratzen zaren unetik bertan dago.

• Datuak Espainian — Azpiegitura guztia AWS Espainian dago (Europako Esparru Ekonomikoaren barruan). Zure langileen datuak ez dute mugarik gurutzatzen eta ez dira babes gutxiagoko jurisdikzioetan prozesatzen.

• Zifratze osoa — TLS garraioan eta zifratze-atsedenean. Datuak babestuta daude bai bidaiatzen dutenean bai gordetzen direnean.

• Geokokapena fitxatzean bakarrik — Kokapena fitxatze-une zehatzean bakarrik jasotzen dugu, enpresak aktibatuta badu. Ez dago jarraipen jarraiturik, ez ibilbide-monitorizaziorik, ez ordutegitik kanpoko jarraipen.

• 4 urteko kontserbazioa blokeatzearekin — Legezko epearekin zehatz-mehatz betetzen dugu. Datuak kontserbazio-aldiaren ondoren blokeatzen dira.

• Haustura-jakinarazpena 48 ordutan — Segurtasun-gorabehera bat gertatuko balitz, gure konpromisoa DBEOk eskatzen duena (72 ordu) baino epe laburragoan jakinaraztea da.

Plataformaren ezaugarri guztiak eta prezioak kontsulta ditzakezu aukerak ebaluatzen ari bazara.

Datorrena: erregistro digital derrigorrezkoa

Komeni da gogoratzea ordutegi-kontrolaren Errege Dekretu berriak erregistroa digitala eta denbora errealean eskuragarria izatea eskatuko duela Lan Ikuskaritzarentzat. Horrek esan nahi du Excel orriak, paperezko txantiloiak eta eskuzko sistemak egun kontatuak dituztela.

Erregistro hori nahitaez digitala denean, datuen babesaren ondorioak biderkatu egiten dira: datu gehiago hodeian, hornitzaile gehiago inplikatuta, DPA zorrotzagoen eta benetako segurtasun-neurrien beharra handiagoa.

Orain prestatzea ez da soilik egungo legearekin betetzea. Datorrena aurreratzea da.

Maiz egiten diren galderak

Langilearen baimena behar al dut fitxatzeko?

Ez. Lanaldiaren erregistroaren oinarri juridikoa legezko betebehar bat betetzea da (34.9 art. ET eta DBEOren 6.1.c art.), ez baimena. Hori bai, langileari jakinarazi behar diozu bere datuak jasotzen direla, zein helbururekin eta zenbat denboraz.

Zer da DPA bat eta behar al dut nire fitxatze-softwarearekin?

DPA (Data Processing Agreement) bat zure enpresaren eta zure langileen datu pertsonalak tratatzen dituen edozein kanpo-hornitzaileren artean derrigorrezko kontratua da. Hodeiko fitxatze-software bat (SaaS) erabiltzen baduzu, DPA bat behar duzu. Zure hornitzaileak eskaintzen ez badizu, betetze-arazo bat duzu.

Geokokapena erabil al dezaket fitxatzean?

Bai, baina soilik beharrezkoa eta proportzionala bada. AEPDk fitxatze-unean kokapena jasotzea onartzen du bulegotik kanpo lan egiten duten langileentzat. Baimenik ez dagoena kokapenaren jarraipen jarraituarentzat da, ezta beti leku beretik fitxatzen duten langileak geolokalizatzeko ere.

Lege-oharra: Artikulu hau informazio-izaerakoa da eta ez du aholkularitza juridikoa osatzen. Datuen babesaren gai zehatzetarako, kontsultatu datuen babeseko ordezkari batekin edo aholkulari espezializatu batekin.

---

Zure fitxatze-sistemak DBEOa betetzen al du? Probatu Cleverfy doan eta egiaztatu pribatutasuna lehentasun gisa diseinatutako software batek betetze-lana nola errazten duen.

---

Iturriak: AEPD Laboratorio — El registro de jornada laboral y la protección de datos (17 febrero 2026), Langileen Estatutua — 34.9 art., Datuak Babesteko Erregelamendu Orokorra (DBEO)