El registro de jornada no necesita consentimiento (pero sí información)

Por qué no hace falta el consentimiento

El RGPD no pide consentimiento para todo. Su art. 6.1 enumera las bases que hacen lícito un tratamiento, y el consentimiento es solo una de ellas: la letra a). Al lado están la ejecución de un contrato (6.1.b), el interés legítimo (6.1.f) y la que importa aquí, la 6.1.c: que el tratamiento sea necesario para cumplir una obligación legal.

El registro de jornada es exactamente eso. El art. 34.9 ET obliga a la empresa a garantizar el registro diario de la jornada, con el horario concreto de inicio y de fin de cada persona, a conservarlo cuatro años y a tenerlo a disposición de la persona trabajadora, de sus representantes legales y de la Inspección.

La Agencia Española de Protección de Datos lo ha dicho sin rodeos.

Lo que dice la AEPD. En su FAQ-0311, a la pregunta de si hace falta el consentimiento del trabajador para implantar un sistema de control horario: «no se precisa el consentimiento del trabajador, siendo base suficiente de legitimación la propia norma laboral (art. 34.9 ET)», de acuerdo con el art. 6.1.c RGPD.

Por qué pedirlo tampoco ayuda

Se podría pensar que pedir la firma no hace daño: un papel más en la carpeta. El problema es lo que ese papel da a entender.

Un consentimiento solo vale si se puede negar. Las Directrices 05/2020 del Comité Europeo de Protección de Datos lo explican para el trabajo: por la dependencia que existe entre quien emplea y quien es empleado, es poco probable que una persona pueda negarle el consentimiento a su empresa sin temer consecuencias. Por eso concluyen que, para la mayoría de los tratamientos en el trabajo, la base no puede ni debe ser el consentimiento. El ejemplo que ponen es, precisamente, activar sistemas de control.

En el registro de jornada, además, la negativa no cambiaría nada. Si alguien no firma, la empresa sigue obligada a registrar su jornada por el art. 34.9 ET. Un formulario que dice «acepto» ofrece una elección que no existe, y eso confunde a quien lo lee.

Hay un caso en el que esto deja de ser teoría. Cuando alguien propone fichar con la huella o con la cara, a veces viene acompañado de un formulario de consentimiento para cubrirse. La huella y el rostro usados para identificar a una persona son categoría especial (art. 9.1 RGPD), y la Guía de la AEPD sobre control de presencia biométrico (2023) dice que, en la relación laboral, el consentimiento no puede levantar esa prohibición por la situación de desequilibrio. La firma no arregla el sistema.

Lo que sí hay que hacer: informar

Que no haga falta pedir permiso no significa que no haya que decir nada.

Lo que dice la AEPD. La misma FAQ-0311 añade que la falta de consentimiento «no excluye el deber de las empresas de informar a los trabajadores de la existencia del registro y de la finalidad».

El contenido de esa información no es libre: lo fija el art. 13 del RGPD, que se aplica cuando los datos se obtienen de la propia persona. Y el momento también: la información se facilita cuando se obtienen los datos, es decir, antes del primer fichaje, no al final del mes.

Qué hay que decir, punto por punto

El art. 13 enumera lo que debe saber la persona. Aplicado al registro de jornada:

1. Quién es el responsable. La empresa, con su identidad y sus datos de contacto. Si usas un programa, el proveedor no es el responsable: la Guía de la AEPD sobre relaciones laborales (2021) dice que los proveedores del sistema de registro son encargados del tratamiento.
2. Para qué y con qué base. Cumplir el registro diario del art. 34.9 ET, con base en el art. 6.1.c RGPD.
3. Quién recibe los datos. La persona misma, sus representantes legales y la Inspección de Trabajo, que son quienes cita el art. 34.9 ET.
4. Cuánto tiempo se guardan. Cuatro años, que es el plazo del art. 34.9 ET.
5. Qué derechos tiene. Acceso, rectificación, supresión, limitación, oposición y portabilidad, y el derecho a reclamar ante la AEPD.
6. Si dar los datos es obligatorio. Lo es, porque es una obligación legal, y conviene decirlo.
7. Si hay decisiones automatizadas. En un registro de jornada normal no las hay; si las hubiera, habría que explicarlas.

La misma Guía de la AEPD añade tres límites que conviene incluir porque responden a las dudas habituales: los datos del registro no pueden usarse para otras finalidades distintas del control de la jornada, deben limitarse a lo necesario, y el registro no puede estar a la vista de todos: «no puede ser de acceso público ni estar situado en un lugar visible para cualesquiera personas trabajadoras, clientes o proveedores».

Una lista de comprobación para lo que ya tienes:

• ¿Cada persona ha recibido esta información antes de empezar a fichar, incluidas las que entraron después de implantar el registro?
• ¿Puede volver a consultarla cuando quiera?
• ¿Dice el plazo de cuatro años y ante quién se ejercen los derechos?
• ¿Has quitado del documento cualquier casilla de «acepto» que dé a entender que hay elección?

Informar no es consultar

Hay una obligación distinta que a veces se confunde con esta. El art. 34.9 ET dice que la empresa organizará y documentará el registro mediante negociación colectiva o acuerdo de empresa o, en su defecto, por decisión de la empresa previa consulta con los representantes legales de los trabajadores.

Son dos cosas que no se sustituyen. La consulta se hace con la representación, para decidir cómo se lleva el registro. La información se da a cada persona, sobre sus propios datos. Aunque el sistema se haya acordado con los representantes, cada persona tiene que recibir igualmente lo que pide el art. 13 del RGPD.

Nada de esto sustituye a lo que diga tu convenio o la AEPD sobre un caso concreto. Lo que dice la norma está en los artículos citados, y los enlaces a los textos oficiales están en la columna de la derecha.