El registre horari processa dades personals de cada empleat. Això activa obligacions RGPD que moltes empreses passen per alt. La combinació de sanció laboral + sanció AEPD pot ser devastadora. Aquest és el mapa.
La base legal del registre horari
El tractament de dades per registrar la jornada té base legal directa en el RDL 8/2019 (compliment d'obligació legal del responsable, Art. 6.1.c RGPD). No necessites consentiment de l'empleat.
Però això només cobreix les dades mínimes imprescindibles: identificació de l'empleat, data, hora d'entrada i sortida. Qualsevol dada addicional necessita justificació proporcional.
Dades que sí pots recollir
Amb base legal al RDL 8/2019:
- Identificador de l'empleat: nom, DNI o ID intern.
- Data i hora d'entrada i sortida.
- Pauses quan apliquen per conveni.
- Correccions amb motiu i autor.
Amb base legal addicional (interès legítim o contracte):
- Ubicació GPS puntual en fitxar, si el treball és mòbil i està justificat (obres, repartiment, instal·lació).
- Adreça IP del dispositiu des d'on es fitxa, com a metadada d'auditoria.
Dades que NO pots recollir
Encara que el programari ho permeti, recollir aquestes dades per a fitxatge no té base legal i és sancionable:
- Seguiment GPS continu durant la jornada (més enllà del moment de fitxar).
- Captures de pantalla o seguiment d'activitat a l'ordinador.
- Biometria (empremta, facial) excepte casos molt taxats i amb EIPD.
- Dades de salut o sensibles sense base legal específica.
Biometria: el veto de l'AEPD
El 2024 l'AEPD va publicar una guia específica que va convertir la biometria (empremta, reconeixement facial) per a registre horari en sospitosa per defecte:
- La biometria és categoria especial de dades (Art. 9 RGPD).
- Requereix base legal específica més enllà del compliment d'obligació.
- Requereix EIPD prèvia (avaluació d'impacte) documentada.
- Requereix principi de proporcionalitat: demostrar que no hi ha alternativa menys invasiva.
A la majoria de casos, una app amb contrasenya o PIN compleix igual sense tocar biometria. Per això l'AEPD considera l'ús d'empremta per fitxar desproporcionat excepte excepcions.
Empreses que van instal·lar rellotges d'empremta el 2020-2023 els estan retirant pel risc de sanció.
Obligacions d'informació a l'empleat
Abans que un empleat comenci a fitxar, li has de lliurar per escrit:
- Identitat del responsable del tractament (l'empresa).
- Finalitat: complir obligació legal de registre horari.
- Base legal: Art. 6.1.c RGPD + RDL 8/2019.
- Destinataris: Inspecció de Treball, representants legals.
- Termini de conservació: 4 anys.
- Drets: accés, rectificació, supressió (amb limitacions per conservació legal), portabilitat.
- Com exercir-los: email o procediment intern.
Aquest document sol formar part del contracte o annex d'alta. Sense lliurar-lo, l'AEPD pot sancionar com a falta greu (fins a 300.000 €).
Avaluació d'Impacte (EIPD)
No sempre és obligatòria. Ho és quan:
- Fas servir biometria (si decideixes fer-ho malgrat el risc).
- Fas tractaments massius o amb geolocalització extensiva.
- Combines registre horari amb altres sistemes de vigilància.
Per al cas estàndard (app amb PIN, fitxatge 1 clic, sense geolocalització), no cal EIPD. Sí cal el registre d'activitats de tractament (RAT) actualitzat.
Encarregat del tractament
Quan contractes programari SaaS de fitxatge, el proveïdor és encarregat del tractament (Art. 28 RGPD). Has de signar un contracte d'encàrrec on el proveïdor es comprometi a:
- Processar dades només segons les teves instruccions.
- Garantir confidencialitat.
- Aplicar mesures de seguretat tècniques i organitzatives.
- Notificar bretxes de seguretat.
- Retornar o destruir dades en finalitzar el contracte.
Sense aquest contracte, l'empresa incompleix RGPD encara que el proveïdor compleixi. El contracte el proporciona el proveïdor seriós per defecte.
Com Jornal9 compleix RGPD
- Dades mínimes: només identificador, data i hora. Sense biometria, sense seguiment continu.
- GPS puntual opcional només si l'empresa l'activa (sectors mòbils).
- Dades a la UE: servidors a Espanya/UE, sense transferències fora sense salvaguardes.
- Contracte d'encàrrec signat per defecte amb cada client.
- EIPD template disponible per a clients que la necessitin.
- Drets RGPD executables pel treballador des de la mateixa app.
Des de 80 €/any. Calcula el teu preu o llegeix la guia legal completa.