Apps de Control Horario y RGPD: Lo Que Debes Saber

Desde que el Real Decreto-ley 8/2019 convirtió en obligatorio el registro de jornada para todas las empresas en España, el mercado de aplicaciones de control horario no ha parado de crecer. Factorial, Sesame HR, Bizneo, Kenjo, Personio, Timekeeping… la lista es larga y la promesa, tentadora: fichajes con un clic desde el móvil, informes automáticos, integración con nóminas y hasta reconocimiento facial.

Lo que ningún comercial suele explicarte con la misma claridad es que, al contratar una de estas herramientas, estás cediendo datos personales de tus empleados a una empresa externa. Y eso, en el marco del Reglamento General de Protección de Datos (RGPD) y la LOPD-GDD española, tiene unas obligaciones muy concretas que no puedes ignorar.

En este artículo te explicamos exactamente qué datos de tus trabajadores manejan estas apps, qué documentación legal necesitas tener firmada, dónde están almacenando esa información y qué preguntas deberías hacer a cualquier proveedor antes de darle el sí.

¿Qué datos personales de tus empleados tratan estas aplicaciones?

Puede parecer que una app de control horario solo guarda "las horas de entrada y salida". En realidad, el volumen y la sensibilidad de los datos que gestionan estas plataformas va mucho más allá.

Datos básicos de identificación y laborales

• Nombre completo, DNI o número de empleado.
• Puesto de trabajo, departamento y centro de trabajo.
• Correo electrónico corporativo y, en muchos casos, número de teléfono móvil personal.
• Fecha de alta, contrato y categoría profesional.

Datos de geolocalización

Muchas apps permiten el fichaje por geolocalización: el trabajador ficha desde su móvil y la aplicación registra las coordenadas GPS en ese momento. Algunos sistemas incluso realizan un seguimiento continuo de la ubicación durante la jornada. Esto son datos de localización, con una protección reforzada en materia de privacidad laboral y sujetos a los límites que marcan tanto el RGPD como el Estatuto de los Trabajadores.

Datos biométricos

Las soluciones más avanzadas ofrecen fichaje por reconocimiento facial o huella dactilar. Los datos biométricos son datos especialmente protegidos según el artículo 9 del RGPD. Su tratamiento requiere una base jurídica reforzada y, en el ámbito laboral, la AEPD ha sido muy clara: el consentimiento del trabajador no es una base válida por la posición de desequilibrio entre empleador y empleado. Solo son admisibles cuando exista una necesidad real y proporcional, con garantías adicionales.

Datos de ausencias, vacaciones e incapacidades

Muchas de estas plataformas también gestionan las ausencias del empleado: bajas médicas, permisos de paternidad/maternidad, asuntos propios. Cuando se vincula una ausencia a una enfermedad o estado de salud, estamos ante datos de categoría especial (artículo 9 RGPD), con requisitos de protección mucho más exigentes.

El contrato de encargado de tratamiento: obligatorio, sin excepción

El artículo 28 del RGPD es taxativo: cuando contratas a un proveedor externo para que trate datos personales por tu cuenta, debes formalizar un contrato de encargado del tratamiento. No es una recomendación, no es una buena práctica: es una obligación legal.

Este contrato debe recoger, como mínimo:

1. El objeto y la duración del tratamiento: para qué se usan los datos, durante cuánto tiempo y qué ocurre cuando finaliza el contrato.
2. La naturaleza y la finalidad del tratamiento: registro de jornada, gestión de ausencias, informes de productividad, etc.
3. El tipo de datos personales y las categorías de interesados (empleados, en este caso).
4. Las obligaciones y derechos del responsable: tú tienes que poder auditar al proveedor, darle instrucciones documentadas y exigirle que borre los datos cuando se termina la relación comercial.
5. Las medidas de seguridad que aplica el encargado para proteger la información.
6. La política de subencargados: si la app usa servicios de terceros (por ejemplo, AWS o Google Cloud para almacenar los datos), tú tienes que saberlo y autorizarlo.

En la práctica, los proveedores grandes como Factorial o Sesame incluyen este contrato dentro de sus condiciones generales o como un anexo a firmar en el proceso de alta. Sin embargo, muchas PYMEs lo aceptan sin leerlo y sin verificar que cumple todos los requisitos del artículo 28. Ese es el primer error.

¿Dónde están almacenando los datos de tus trabajadores?

Esta es la pregunta que menos se hace y que más importa desde el punto de vista legal. El RGPD exige que, cuando los datos personales se transfieren fuera del Espacio Económico Europeo (EEE), existan garantías adicionales que aseguren un nivel de protección equivalente al europeo.

Proveedores con sede y servidores en la UE

Algunas aplicaciones de origen español o europeo almacenan los datos íntegramente en servidores ubicados dentro del EEE. Esto simplifica mucho el cumplimiento: no hay transferencia internacional, el RGPD se aplica directamente y no necesitas cláusulas adicionales.

Proveedores que usan infraestructura en EE. UU. u otros países terceros

Muchas plataformas SaaS, aunque tengan oficina en España, almacenan los datos en servidores de Amazon Web Services (AWS), Microsoft Azure o Google Cloud con regiones en Estados Unidos u otras zonas fuera del EEE. En estos casos, el proveedor debe garantizarte:

• Que aplica las Cláusulas Contractuales Tipo aprobadas por la Comisión Europea (Decisión de 4 de junio de 2021) con el subencargado.
• Que ha realizado una Evaluación de Impacto de la Transferencia (Transfer Impact Assessment o TIA) para verificar que el país de destino ofrece garantías reales.
• Que puedes consultar esa documentación si la solicitas.

Desde la invalidación del Privacy Shield por el Tribunal de Justicia de la UE en 2020 (asunto Schrems II) y hasta la entrada en vigor del nuevo marco EU-US Data Privacy Framework en 2023, la transferencia de datos a EE. UU. ha sido una zona de riesgo constante. Aunque el nuevo acuerdo da cierta cobertura, la AEPD y el Comité Europeo de Protección de Datos han señalado que sigue siendo necesario evaluar caso por caso.

Factorial, Sesame HR, Bizneo y otras: ¿cómo se posicionan?

No vamos a hacer una comparativa comercial, pero sí conviene conocer algunos rasgos generales de las plataformas más extendidas entre las PYMEs españolas:

Factorial HR

Empresa de origen barcelonés, con servidores declarados en la UE (AWS Frankfurt). Dispone de un DPA descargable desde su panel de cliente. Permite el fichaje por geolocalización y reconocimiento facial como opción adicional. Si activas estas funcionalidades, debes revisar si tu empresa ha informado correctamente a los trabajadores sobre ese tratamiento y, en el caso biométrico, si tienes base jurídica suficiente.

Sesame HR

También de origen español, con infraestructura en Azure. Tienen documentación de encargado disponible. Ofrecen módulo de geolocalización y registro de entrada/salida desde quiosco con reconocimiento facial. Mismo comentario que en el caso anterior: activar esas funciones sin la base jurídica adecuada y sin informar a los trabajadores es un incumplimiento.

Bizneo HR

Suite de RRHH con módulo de control horario, con presencia en España y Latinoamérica. Su DPA es accesible bajo solicitud. Es importante verificar dónde se ubican los servidores para la instancia contratada, ya que tienen operaciones en múltiples regiones.

Otras soluciones (Kenjo, Personio, Holded)

Personio tiene sede en Múnich y servidores en AWS Frankfurt; Kenjo, también de origen alemán, opera de forma similar. Holded, adquirida por Visma, tiene su infraestructura en Google Cloud. En todos los casos, el DPA debe estar disponible y debe especificar los subencargados utilizados.

La conclusión común: todas estas plataformas pueden cumplir con el RGPD, pero el cumplimiento depende en gran medida de cómo las configures y de si tú, como responsable del tratamiento, has hecho los deberes: registrar el tratamiento, informar a tus empleados y firmar el contrato de encargado.

Qué debes comunicar a tus empleados antes de implantar la app

Tus trabajadores tienen derecho a saber que sus datos van a ser tratados a través de una plataforma externa. El artículo 13 del RGPD exige que, en el momento en que se recogen los datos, el afectado reciba información clara sobre:

• Quién es el responsable del tratamiento (tu empresa).
• Para qué se van a usar los datos (control de jornada, gestión de ausencias…).
• Cuál es la base jurídica del tratamiento (en este caso, el cumplimiento de una obligación legal: el artículo 34 del Estatuto de los Trabajadores y el RDL 8/2019).
• Cuánto tiempo se conservarán los datos (la AEPD recomienda un mínimo de cuatro años, en línea con los plazos de la Inspección de Trabajo).
• A quién se ceden los datos: el proveedor de la app como encargado del tratamiento.
• Si hay transferencias internacionales de datos y con qué garantías.
• Los derechos que tienen: acceso, rectificación, supresión, limitación del tratamiento y portabilidad.

Esta información debe constar por escrito, habitualmente en el contrato de trabajo, en un anexo específico de protección de datos o en la política de privacidad interna para empleados. Un simple aviso verbal no es suficiente.

10 preguntas que debes hacer a cualquier proveedor antes de contratar

Antes de dar el alta en cualquier app de control horario, te recomendamos exigir respuesta escrita a estas preguntas:

1. ¿Disponen de un contrato de encargado del tratamiento (DPA) conforme al artículo 28 del RGPD?
2. ¿Dónde están físicamente los servidores donde se almacenan los datos?
3. ¿Se realizan transferencias de datos fuera del Espacio Económico Europeo? ¿Con qué garantías?
4. ¿Qué subencargados utilizan (proveedores de nube, analítica, soporte…)?
5. ¿Han realizado una Evaluación de Impacto de Protección de Datos (EIPD) para los tratamientos de alto riesgo (biometría, geolocalización)?
6. ¿Qué medidas técnicas y organizativas aplican para garantizar la seguridad de los datos (cifrado en tránsito y en reposo, control de accesos, logs de auditoría…)?
7. ¿Tienen un procedimiento documentado para gestionar brechas de seguridad y notificarte en un plazo máximo de 72 horas?
8. ¿Qué sucede con los datos de mis empleados si cancelo el contrato? ¿Me los devuelven? ¿En qué formato? ¿Los borran de forma segura y me lo certifican?
9. ¿Tienen nombramiento de Delegado de Protección de Datos (DPD)?
10. ¿Puedo realizar una auditoría o solicitar informes de cumplimiento (como una certificación ISO 27001 o SOC 2)?

El Registro de Actividades de Tratamiento: no olvides actualizarlo

Cuando incorporas una nueva herramienta que trata datos personales de tus empleados, debes actualizar tu Registro de Actividades de Tratamiento (RAT), obligatorio para la mayoría de empresas según el artículo 30 del RGPD. El RAT debe recoger esta nueva actividad de tratamiento (control de jornada mediante app externa) con todos sus detalles: finalidad, categorías de datos, destinatarios, plazos de conservación y, si procede, transferencias internacionales.

Si todavía no tienes formalizado tu RAT o no lo has actualizado en los últimos meses, es un buen momento para hacerlo. La AEPD puede solicitarlo en cualquier inspección.

Geolocalización y vigilancia: dónde está el límite legal

El control de la jornada laboral no puede convertirse en una herramienta de vigilancia constante. La AEPD, en su guía sobre protección de datos en las relaciones laborales, deja claro que la geolocalización de los empleados solo está justificada cuando existe una necesidad real y proporcional, y siempre con información previa al trabajador.

Registrar la ubicación GPS en el momento del fichaje (entrada y salida) puede ser razonable. Rastrear continuamente la posición del empleado durante toda la jornada requiere una justificación mucho más sólida y es difícilmente compatible con el principio de minimización de datos del artículo 5.1.c del RGPD.

Si la app que estás considerando ofrece seguimiento continuo de ubicación, plantéate seriamente si realmente lo necesitas y, si decides activarlo, consulta con un especialista en protección de datos antes.

Resumen: el checklist antes de activar tu app de control horario

• ✔ Has firmado el contrato de encargado del tratamiento (DPA) con el proveedor.
• ✔ Has verificado dónde están los servidores y si hay transferencias fuera del EEE.
• ✔ Conoces qué subencargados usa la plataforma y están listados en el DPA.
• ✔ Has informado a tus empleados sobre el tratamiento de sus datos antes de implantar la herramienta.
• ✔ Has actualizado tu Registro de Actividades de Tratamiento.
• ✔ Si activas geolocalización o biometría, tienes base jurídica suficiente y lo has documentado.
• ✔ Tienes claro qué pasa con los datos si cambias de proveedor o cierras el contrato.

Implantar una app de control horario puede hacer la vida mucho más fácil a tu equipo de RRHH y garantizar el cumplimiento del registro de jornada obligatorio. Pero hacerlo sin las garantías de protección de datos en orden te expone a sanciones que ninguna app va a pagarte.