Fichaje Biométrico Forense

La AEPD multó con 10 millones de euros a Aena por reconocimiento facial en aeropuertos y con 650.000 euros a la Universidad Internacional de Valencia por proctoring biométrico. En noviembre de 2023, publicó una guía que cierra la puerta al fichaje biométrico laboral sin alternativa real. Y sin embargo, miles de empresas españolas siguen utilizando lectores de huella dactilar para el control de jornada, muchas instalados antes de que el panorama regulatorio cambiara, y la mayoría sin saber que su sistema es hoy potencialmente ilegal. El análisis forense de estos terminales —tanto para acreditar el cumplimiento como para detectar incumplimientos, brechas de seguridad o uso fraudulento de las plantillas biométricas almacenadas— es una de las áreas de mayor demanda para el perito informático en el ámbito laboral español de 2026.

Tipos de biometría en sistemas de fichaje laboral

Los sistemas de control de presencia biométrica se clasifican por la modalidad fisiológica o conductual que utilizan para identificar al empleado:

Biometría fisiológica

• FAR (False Acceptance Rate): Probabilidad de que el sistema acepte a un impostor. Un FAR del 0,001% significa 1 aceptación falsa por cada 100.000 intentos.
• FRR (False Rejection Rate): Probabilidad de que el sistema rechace al usuario legítimo. Un FRR del 0,1% supone 1 rechazo por cada 1.000 fichajes legítimos.

La prohibición de facto: Guía AEPD noviembre 2023

Cambio de criterio de la AEPD

En noviembre de 2023, la Agencia Española de Protección de Datos publicó la “Guía sobre tratamientos de control de presencia mediante sistemas biométricos”, que supuso un cambio fundamental en la interpretación del art. 9 del RGPD aplicado al ámbito laboral.

El cambio de criterio se articula en torno a la base legal:

La clave: el consentimiento libre en el contexto laboral

El RGPD exige que el consentimiento para el tratamiento de datos de categoría especial sea “explícito, específico, informado y libre” (art. 7 y considerando 43). El problema en el contexto laboral es la libertad:

El Comité Europeo de Protección de Datos (CEPD), en sus Directrices 05/2020 sobre consentimiento, establece que “en la relación empleador-empleado, el consentimiento generalmente no será una base legal válida para el tratamiento de datos, dado que existe un desequilibrio de poder inherente a esa relación”. Si un empleado siente que no tiene alternativa real a fichar con huella para no perjudicar su relación laboral, su consentimiento no es libre.

Excepciones teóricas que la AEPD admite (pero son difíciles de cumplir)

1. Convenio colectivo específico: Un convenio colectivo sectorial o de empresa que autorice expresamente el uso de biometría con garantías adecuadas (alternativa, minimización, retención limitada). A fecha 2026, no existen convenios colectivos de ámbito estatal que lo hagan para el registro de jornada.
2. Seguridad en instalaciones de alta sensibilidad: Cuando el acceso al puesto de trabajo requiere verificación de identidad por razones de seguridad objetivas (instalaciones nucleares, laboratorios de alta seguridad), la proporcionalidad puede justificarlo.
3. Empleado que lo elige voluntariamente con alternativa real: Si la empresa ofrece una alternativa no biométrica completamente equivalente y el empleado elige activamente la biometría, el consentimiento puede ser libre.

Análisis forense de terminales biométricos

Cuando un terminal biométrico es objeto de una investigación —por una brecha de datos, un procedimiento AEPD, una demanda laboral, o una auditoría de cumplimiento— el perito informático forense realiza las siguientes actuaciones:

Extracción de plantillas biométricas

El proceso de extracción forense de un terminal biométrico incluye:

Herramientas de análisis forense de terminales biométricos

Jurisprudencia española sobre biometría laboral

Sentencias relevantes

Alternativas conformes al RGPD: análisis técnico

La transición desde sistemas biométricos a alternativas conformes es uno de los retos más frecuentes que las empresas afrontan tras el cambio de criterio de la AEPD. El perito informático puede asesorar sobre las opciones técnicas y auditar su implementación.

Comparativa de alternativas

Análisis forense de la transición

Cuando una empresa transiciona de biometría a alternativas no biométricas, el perito puede auditar que:

1. Las plantillas biométricas almacenadas han sido borradas de forma segura y verificable (no solo marcadas como inactivas en la base de datos)
2. Las copias de seguridad que pudieran contener datos biométricos han sido eliminadas o sobreescritas
3. Los accesos históricos al sistema biométrico están documentados (para determinar si ha habido exfiltración de datos)
4. El nuevo sistema es técnicamente conforme con el RGPD (minimización, seguridad, retención)

Qué hacer con terminales biométricos existentes

Para empresas que ya tienen terminales instalados

Si la empresa ya tiene lectores de huella o reconocimiento facial instalados, hay tres caminos:

Plazo y urgencia

No existe un plazo legal específico para la transición en empresas que ya tenían el sistema instalado antes de la Guía AEPD 2023. Sin embargo, desde la publicación de la guía, cualquier empresa que mantenga el sistema sin alternativa real asume el riesgo de una sanción si la AEPD recibe una reclamación de un empleado. La reclamación de un solo trabajador puede desencadenar una investigación con resultado de multa.

Marco legal en España

Normativa directamente aplicable

1. RGPD (Reglamento UE 2016/679):

• Art. 4.14: Definición de datos biométricos como categoría de datos personales
• Art. 9.1: Prohibición general del tratamiento de datos biométricos
• Art. 9.2: Excepciones tasadas (consentimiento explícito libre, obligación laboral con base legal, interés público)
• Art. 25: Privacidad desde el diseño y por defecto; exige evaluar alternativas menos intrusivas
• Art. 35: Evaluación de Impacto (DPIA) obligatoria antes de cualquier tratamiento biométrico

2. LOPDGDD (Ley Orgánica 3/2018):

• Art. 9: Desarrollo de las categorías especiales en derecho español
• Disposición Adicional 1ª: El tratamiento de datos biométricos en el ámbito laboral requiere ley o convenio colectivo con garantías adecuadas

3. AI Act (Reglamento UE 2024/1689):

• Art. 5.1.d: Prohibición de identificación biométrica remota en tiempo real en espacios públicos (con excepciones)
• Clasifica los sistemas de identificación biométrica remota como alto riesgo (Anexo III)

4. Guía AEPD sobre control de presencia biométrico (noviembre 2023):

• Cierra la puerta al consentimiento como base legal en el contexto laboral
• Exige evaluación de proporcionalidad y alternativas
• Referencia interpretativa de máxima relevancia para las empresas españolas

5. Directrices CEPD 05/2020 sobre consentimiento:

• Establece que el consentimiento en la relación laboral generalmente no es libre

6. Estatuto de los Trabajadores (RDL 2/2015):

• Art. 34.9: Obligación de registro de jornada (que puede cumplirse con métodos no biométricos)
• Art. 64: Derecho de información de los representantes de los trabajadores sobre los sistemas de control

Caso práctico: auditoría forense de terminal biométrico ante reclamación AEPD

Nota: Caso construido sobre patrones de procedimientos ante la AEPD entre 2023 y 2025. Los datos identificativos han sido anonimizados.

Empresa: Cadena de supermercados, 8 establecimientos, 340 empleados.

Situación: En febrero de 2025, un empleado presenta reclamación ante la AEPD alegando que la empresa le obliga a fichar con huella dactilar sin alternativa y sin haber firmado consentimiento específico alguno. La AEPD abre actuaciones previas y requiere a la empresa que explique la base legal de su tratamiento biométrico.

Intervención pericial:

La empresa contrata a un perito informático forense para auditar su sistema antes de responder a la AEPD.

Terminales analizados: 16 unidades ZKTeco F22 (8 establecimientos, 2 por tienda)
Firmware: ZKTeco F22 v6.70
Base de datos: SQLite (almacenada en el terminal)

Hallazgo 1 - Tipo de dato almacenado:
  Cada registro de empleado contiene:
    - ID interno (integer)
    - Nombre (varchar)
    - Plantilla biométrica (blob, 498 bytes)
    - PIN de respaldo (varchar, texto plano)

  Análisis de la plantilla (498 bytes):
    - Formato: ZKTeco FP1 propietario
    - Tipo: plantilla de huella, NO imagen cruda
    - Irreversibilidad: verificada (no es posible reconstruir la imagen desde la plantilla)
    - Cifrado en reposo: NO (la plantilla se almacena en texto plano en SQLite)

Hallazgo 2 - Log de acceso:
  - El terminal almacena hasta 100.000 eventos
  - Datos por evento: ID empleado, timestamp, tipo verificación, resultado
  - Conservación: el terminal sobreescribe eventos antiguos al alcanzar el límite
  - Exportación al servidor central: diaria a las 23:00 mediante SFTP
  - Conservación en servidor: 18 meses (incumple los 4 años del art. 34.9 ET)

Hallazgo 3 - Accesos administrativos:
  - El PIN de administrador del terminal: "1234" (no modificado desde fábrica)
  - Accesos remotos vía TCP/IP: sin log de quién accedió desde qué IP
  - Descarga remota de plantillas: técnicamente posible; no hay registro de si se realizó

Hallazgo 4 - Alternativa de fichaje:
  - El terminal tiene lector RFID desactivado en configuración
  - El PIN de respaldo existe en la base de datos pero no está habilitado para los empleados
  - En la práctica, solo existe el método biométrico (ningún empleado conoce su PIN de respaldo)

Deficiencias identificadas:

Medidas correctoras recomendadas por el perito:

1. Activar inmediatamente el método RFID como alternativa y comunicarlo a todos los empleados
2. Cambiar el PIN de administrador de todos los terminales
3. Cifrar las plantillas almacenadas (solución: migración a firmware con cifrado AES-128 disponible en ZKTeco F22 v6.90)
4. Configurar el servidor central para retención de 4 años
5. Realizar DPIA retrospectiva y prospectiva
6. Implementar log de accesos administrativos remotos
7. Valorar migración completa a sistema no biométrico

Resultado: La empresa implementó las medidas correctoras antes de responder a la AEPD, presentando el informe pericial junto con un plan de acción fechado. La AEPD cerró las actuaciones con una advertencia formal (sin sanción económica), reconociendo la diligencia demostrada por la empresa al contratar auditoría forense y adoptar medidas inmediatas.

Conceptos relacionados

• Datos biométricos - Marco legal completo de los datos biométricos bajo el RGPD
• Reconocimiento facial - Tecnología biométrica de mayor riesgo regulatorio en España
• Geolocalización forense - Alternativa técnica para control de presencia de campo
• Registro horario digital - Obligación legal que el fichaje biométrico pretende cumplir
• Buddy punching - Fraude que los sistemas biométricos pretenden prevenir
• RGPD (Reglamento de Protección de Datos) - Marco normativo que regula el tratamiento de datos biométricos

Referencias y fuentes

1. RGPD (Reglamento UE 2016/679), arts. 4.14, 9, 25, 32 y 35. eur-lex.europa.eu
2. AEPD. (2023). “Guía sobre tratamientos de control de presencia mediante sistemas biométricos”. aepd.es
3. AEPD. Resolución PS/00120/2022 (VIU, 650.000€). aepd.es
4. AEPD. Resolución PS/00098/2021 (Aena, 10M€). aepd.es
5. CEPD. (2020). “Directrices 05/2020 sobre el consentimiento en virtud del Reglamento 2016/679”. edpb.europa.eu
6. AI Act (Reglamento UE 2024/1689), art. 5.1.d y Anexo III. eur-lex.europa.eu
7. LOPDGDD (Ley Orgánica 3/2018), art. 9 y Disposición Adicional 1ª. boe.es
8. STSJ del País Vasco, Sala de lo Social, 16 de enero de 2019: Despido improcedente por negativa a fichaje biométrico sin alternativa.
9. SAN, Sala de lo Social, 6 de junio de 2019: Nulidad de implantación de fichaje facial sin consulta a representantes y sin DPIA.
10. Real Decreto Legislativo 2/2015 (ET), arts. 34.9 y 64. boe.es
11. NIST. (2024). “Face Recognition Vendor Test (FRVT)”. pages.nist.gov
12. ZKTeco. Technical documentation: ZKAccess SDK, FP1/FP2 template formats. zkteco.eu

¿Tu empresa utiliza terminales biométricos para el registro de jornada y necesitas verificar tu cumplimiento RGPD o gestionar una reclamación ante la AEPD? Contacta con Digital Perito para una auditoría forense de tu sistema de fichaje biométrico y un plan de transición conforme.

Última actualización: febrero 2026 Categoría: Técnico Código: EXT-018