El año 2025 trajo novedades relevantes en el ámbito laboral, particularmente en el campo del registro de jornada. Estas novedades responden a la evolución de la normativa, en favor de conseguir mejoras en la trazabilidad, la transparencia y el cumplimiento con los derechos de los trabajadores.
La generalización de los sistemas digitales de control horario, no obstante, ha traído consigo una práctica cada vez más extendida: requerir a los empleados que utilicen sus dispositivos personales (móviles, ordenadores, tablets…) para realizar ese registro, imponiendo en ocasiones, simultáneamente, el uso de la geolocalización del trabajador al realizar el fichaje laboral.
Esta práctica plantea ciertas problemáticas a analizar, como la validez del consentimiento del trabajador, la determinación de los límites del poder empresarial, y el derecho de los empleados a la protección de sus datos personales en el ámbito laboral.
- El uso de dispositivos personales en el ámbito laboral.
La primera cuestión que se plantea es si se puede imponer el uso de dispositivos personales a los trabajadores para el desarrollo de su actividad laboral.
La respuesta, tal como indica esta sentencia 14/2024 de la Audiencia Nacional, es que no. No existe una norma que habilite a la empresa a imponer a un trabajador el empleo de su dispositivo personal para funciones laborales.
No obstante, ello no implica que su utilización esté prohibida.
El artículo 20.3 del Estatuto de los Trabajadores (ET) reconoce la facultad del empresario para adoptar medidas de vigilancia y control de la actividad laboral, si bien estas deben respetar en todo caso la dignidad del trabajador y sus derechos fundamentales, entre ellos, el derecho a la protección de datos personales.
Por su parte, el art. 34.9 ET impone a las empresas la obligación de llevar a cabo el registro de jornada, pero imponer el uso de dispositivos personales supone un traslado de los medios productivos al trabajador, lo que puede conllevar un impacto en su privacidad, especialmente si se realiza un tratamiento de datos, como, cuando se emplea la geolocalización a través de estos dispositivos.
Así, es necesario ofrecer al trabajador una alternativa, permitirle optar por el uso de un terminal de trabajo desde el inicio de la relación laboral o en cualquier momento durante el desarrollo de esta.
Sin embargo, esto lleva a otro problema: la validez del consentimiento del trabajador, que acepta emplear su propio dispositivo en el ámbito laboral.
- El consentimiento como base de legitimación. ¿Válido?
Para poder hacer uso de un sistema de registro de jornada en el dispositivo personal de los trabajadores se deberá contar con una base de legitimación suficiente, y parece lógico pensar que, si un empleado acepta usar su dispositivo personal en el trabajo, consiente los tratamientos de datos que esto conlleve. Pero ¿es esto cierto?
Respecto a este posible consentimiento, el GT – 29ya se pronunció en 2017, en el Dictamen 2/2017 del Grupo de Trabajo del artículo 29, de 8 de junio de 2017 sobre tratamiento de datos en el trabajo, en el que hace referencia a las bases jurídicas del tratamiento en este contexto y donde recuerda que el consentimiento no podrá constituir base legal para el tratamiento en la mayoría de los casos debido a la naturaleza de la relación laboral.
En lo relativo al registro de jornada, es necesario tener en cuenta que la base jurídica para dicho registro, acorde a la Guía de la AEPD para las relaciones laborales, es la obligación legal y no el consentimiento de las personas trabajadoras.
En consecuencia, el registro de jornada constituye una obligación legal inexcusable, si bien la controversia se centra en la modalidad concreta de su implementación. Asimismo, conforme al criterio de la Agencia Española de Protección de Datos (AEPD), resulta esencial observar el principio de minimización de datos en la configuración y ejecución del sistema de registro, así como los principios de proporcionalidad y confidencialidad, debiendo adoptarse e implementarse las medidas de seguridad técnicas y organizativas adecuadas para garantizar su cumplimiento
- Elección del sistema de registro.
Al requerir el uso de un dispositivo, personal o no, para el registro de jornada, es razonable considerar que el método de control horario, en estos casos, será el uso de aplicaciones, que pueden o no conllevar geolocalización, y es necesario analizar si esto es también aceptable.
Para llevar a cabo el registro de jornada, la Guía sobre el registro de jornada del Ministerio de Trabajo indica, sobre el art. 34.9 ET, que: “la norma no establece una modalidad específica o predeterminada para el registro diario de la jornada, limitándose a señalar que se debe llevar a cabo día a día e incluir el momento de inicio y finalización de la jornada. Para ello, y sobre el resto de los elementos configuradores, llama a la autorregulación, mediante la negociación colectiva o el acuerdo de empresa”. Tiene relevancia, también, la posibilidad de tener que acudir a las consultas con los trabajadores en los supuestos que indica la normativa.
Por tanto, la norma no parece contraria a la utilización de aplicaciones siempre y cuando se cumplan los requisitos legalmente determinados. No obstante, destaca la AEPD que deberá hacerse siempre: “debiendo buscarse los medios que, atendida la concreta finalidad, sean lo menos intrusivos en la esfera íntima del afectado, lo que solo puede valorarse atendiendo al caso concreto.
En este sentido, debe valorarse si el registro va a usarse a los solos efectos de lo previsto en el artículo 34.9 ET o si también se va a usar como medida de control por el empresario, persiguiendo ambas finalidades, atendiendo a las circunstancias concretas (…)”.
Esto tiene especial incidencia en la aplicación de los principios de limitación de la finalidad, minimización de datos y proporcionalidad.
Así, en consonancia con los principios del RGPD y la LOPDGDD y el criterio de la AEPD, la finalidad del registro de jornada será el control horario, deberá realizarse por los medios menos intrusivos posibles en la privacidad de los trabajadores y, además, en aras del principio de transparencia, debe informarse de forma previa y clara a los trabajadores sobre los medios, finalidad y derechos afectados por este registro de jornada, de acuerdo con lo dispuesto en el art. 13 RGPD.
Como garantías adicionales, será conveniente establecer políticas internas de uso de estas aplicaciones, aclarar que únicamente podrán emplearse y, en su caso, geolocalizar, en tiempo de trabajo y, para mayor seguridad, realizar una evaluación de impacto en la privacidad (EIPD) y agregar este tratamiento de datos al registro de actividades de tratamiento (RAT) de la empresa.
- Un nuevo nivel de complejidad: geolocalización asociada al fichaje.
Cuando estas aplicaciones, ya se utilicen en un dispositivo laboral o en uno personal, generalmente un smartphone, además, conllevan la geolocalización del trabajador, la licitud de su uso quedará condicionada por el cumplimiento de una serie de exigencias aún más estrictas.
El art. 90 de la LOPDGDD permite el uso de sistemas de geolocalización para el control de las personas trabajadoras, aunque conviene tener en cuenta lo siguiente:
- La base de legitimación del tratamiento para el empleo de esta medida es el contrato de trabajo y, correlativamente, las facultades de control legalmente atribuidas al empresario.
- Los trabajadores y sus representantes deben ser informados de forma expresa, clara e inequívoca acerca de la existencia y características de la geolocalización. Además, los trabajadores deben ser informados de los derechos que les reconoce el RGPD en sus artículos 15 – 18, de acuerdo con lo dispuesto en los artículos 12 y 13 de la misma norma.
- No deben existir medios menos invasivos de la privacidad para lograr los mismos fines, en cumplimiento de los principios de proporcionalidad y minimización de datos.
El GT-29, en su Opinion 13/2011 on Geolocation services on smart mobile devices, establece un límite muy claro como base: no serán posibles la monitorización y seguimiento constantes.
Los empresarios deben demostrar la necesidad de controlar la localización exacta de los empleados y ponderar esta necesidad con los derechos de los trabajadores. Cuando la necesidad pueda justificarse adecuadamente, la base jurídica será, además, el interés legítimo del responsable del tratamiento.
Así, se podrá adoptar esta tecnología de geolocalización a través del smartphone sólo cuando pueda demostrarse que es necesaria para un fin legítimo.
Tal y como determina la mencionada Guía, si la finalidad de la geolocalización es el registro horario, los datos no podrán emplearse para verificar la ubicación del trabajador en cada momento, sino las horas de inicio y fin de la actividad, que es lo que permite el art. 34.9 ET, que es la base jurídica del control horario. Además, deberá cumplirse siempre con los principios de necesidad, proporcionalidad y minimización de datos.
En resumen, la existencia y disponibilidad de esta tecnología de geolocalización en las aplicaciones de control horario, no justifica automáticamente su uso.
El empleo de la geolocalización sobre los trabajadores puede ser adecuado en ciertos contextos, como en actividades laborales que conlleven desplazamientos o viajes, pero será difícilmente justificable su uso para el control de jornada si no es necesaria en el ámbito de la actividad laboral concreta de los trabajadores; si no se informa previamente de manera expresa y clara a los empleados sobre su uso; o si no se limita única y específicamente al control del tiempo de trabajo.
Queda prohibido su uso para finalidades incompatibles. Hay que recordar, una vez más, que el fin es el control horario, no la geolocalización en sí del trabajador en todo momento. Así lo refleja, por ejemplo, la Sentencia del TSJ de Asturias 4125/2017.
- La dificultad definitiva: uso de dispositivos personales y geolocalización.
Cuando se combinan la geolocalización del trabajador y el uso de su dispositivo personal, el nivel de intrusismo en la privacidad del empleado se multiplica.
El acceso a la ubicación del trabajador desde su dispositivo privado supone difuminar la frontera entre la vida laboral y la personal, además de que supone un aumento del riesgo del control a los trabajadores fuera de su horario de trabajo, menoscabando su derecho a la privacidad.
En estos supuestos, el juicio de proporcionalidad debe ser especialmente riguroso. En este sentido, la Audiencia Nacional, en la resolución 136/2019, confirmada por el Tribunal Supremo en la resolución 518/2021, exige un análisis detallado de la finalidad real de la geolocalización, del impacto en los derechos fundamentales del trabajador a través de la realización de una EIPD, y la existencia de alternativas menos invasivas en la privacidad.
Es decir, no basta con que el sistema sea útil y eficaz para la empresa, sino que debe ser también necesario y equilibrado con los derechos del trabajador.
Las autoridades de protección de datos, en general, como manifiesta también esta resolución dictada en Italia, mantienen un criterio relativamente unánime sobre los peligros del empleo indiscriminado, injustificado o con finalidades difusas de la geolocalización en el trabajo, destacando la necesidad de superación de los juicios o test de necesidad, proporcionalidad e idoneidad, y la subsidiariedad para la implantación de esta medida. Medida que, además, deberá conllevar cautelas adicionales por parte de la empresa para mantener la seguridad y confidencialidad de los datos de los empleados que vayan más allá de su relación con el empleador en base al contrato de trabajo y sus funciones laborales.
- Riesgos y alternativas.
La implantación de estos sistemas de registro de jornada conlleva una serie de riesgos de incumplimiento en materia de protección de datos personales con diversas consecuencias:
- Sanciones de la AEPD: en este marco la AEPD ha sancionado por la inexistencia de bases de legitimación o bases de legitimación inadecuadas, la falta de información previa y detallada a los trabajadores, o la vulneración de principios como el de minimización de datos.
Como ejemplo, puede citarse el expediente sancionador de la AEPD 0054-2024, en el que multa con 200.000€ por incumplir, precisamente, los principios de licitud del tratamiento y minimización de datos y el deber de información a una empresa que emplea el dispositivo personal de algunos empleados para poder llevar a cabo el registro de jornada y, en este caso, también utilizaba la geolocalización de los trabajadores.
- Vulneración de derechos fundamentales de los trabajadores: en concreto, los derechos a la intimidad, privacidad y protección de datos personales. Puede conllevar demandas o denuncias a la empresa que, consecuentemente, puedan conllevar multas o penas a la empresa y la necesidad de indemnizar al empleado afectado; así como pérdida de prestigio profesional en el ámbito social.
- Conflictos laborales: la imposición de medios y terminales propios del trabajador para el desarrollo de su actividad laboral o el cumplimiento de obligaciones de la empresa, como el control horario, junto a la intromisión en la esfera privada que puede conllevar, son una fuente probable de desavenencias entre el empleador y los trabajadores o sus representantes, pudiendo desembocar en conflictos colectivos.
Para evitar estas situaciones, es necesario contemplar una serie de alternativas, con capacidad real de implantación según las posibilidades de cada empresa, que diluyan la posibilidad de materialización de los riesgos:
- Terminales físicos: el fichaje a través de tarjetas RFID, PIN, o la colocación de terminales en el centro de trabajo no suponen un tratamiento intensivo de datos, son menos invasivos en la privacidad del trabajador y eliminan el problema del uso de dispositivos personales. Son adecuados para trabajos a realizar de forma presencial; sin embargo, no resultaría adecuado emplear la biometría en estos terminales, como ya se analiza en esta otra entrada.
- Fichaje web sin geolocalización: el empleo de una web o entorno corporativo para realizar el fichaje, mediante una dirección IP corporativa o con credenciales corporativas, permitirá un control de jornada menos intrusivo en la privacidad del trabajador, aunque se realizase desde un terminal propio.
- Fichaje desde dispositivos corporativos: supone separar los ámbitos laboral y personal del trabajador, eliminando el problema del “consentimiento” y supone un mayor control del tratamiento de datos por parte de la empresa, empleen o no la geolocalización. Queda, no obstante, condicionado a la disponibilidad real de terminales suficientes por parte de la empresa.
- Geolocalización limitada y justificada: para momentos clave, únicamente durante el desarrollo de la jornada laboral e informando previamente de forma expresa y clara al trabajador, cumpliendo con lo dispuesto en los artículos 12 y 13 RGPD, evitando la monitorización constante e informando también a los trabajadores sobre cómo desactivar el dispositivo de monitorización fuera de las horas de trabajo.
- Políticas Bring Your Own Device (BYOD): si la persona trabajadora rechaza el terminal facilitado por la empresa, podrá emplear dispositivos o herramientas de su propiedad, pero deberán establecerse medidas adecuadas para distinguir entre el uso privado y corporativo del dispositivo, implantando sistemas y políticas BYOD, ya analizadas en esta entrada.
Además, la empresa deberá ofrecer en todo momento una alternativa al uso de este dispositivo personal, pero de no ser posible, será muy recomendable el empleo de cláusulas contractuales informativas y reguladoras sobre el uso y funcionamiento de la aplicación de control horario, los datos tratados y sus finalidades, conforme al Reglamento General de Protección de Datos (RGPD), dejando constancia de que la negativa a utilizar el dispositivo personal no supondrá ningún perjuicio.
- Conclusiones.
El registro de jornada constituye una obligación legal del empresario; no obstante, dicha obligación no ampara la utilización indiscriminada de cualesquiera mecanismos de control. En particular, la empresa no se encuentra, con carácter general, facultada para imponer el uso de dispositivos personales en el ámbito laboral y, en este contexto, el consentimiento del trabajador no opera, en numerosos supuestos, como una base jurídica válida de legitimación, pues se puede considerar un consentimiento viciado, pero habrá que atender al caso en concreto.
Es necesario, pues, un cuidadoso análisis ad casum para la implantación de estos mecanismos de registro de jornada. Si, además, implican geolocalización, se intensifican los juicios de proporcionalidad, idoneidad y necesidad, así como la obligación de transparencia. Destacan también la necesidad de realizar una EIPD y actualizar el RAT.
Lo adecuado es, desde la óptica de la protección de datos, en todo caso, el empleo de dispositivos, métodos o sistemas que permitan el fichaje, registro de jornada y geolocalización de la forma menos invasiva posible para con la privacidad de los empleados.
En definitiva, no se trata de si la tecnología lo permite, sino de si el Derecho y la protección de los derechos fundamentales lo justifican.
Si quieres saber más sobre la protección de datos y las relaciones laborales, puedes acudir a esta entrada del blog o a esta otra entrada y, si quieres saber más sobre el control laboral, puedes pinchar aquí.
Escrito por: Claudia Román
