La Agencia Española de Protección de Datos multó a CTC Externalización con 365.000 euros por usar la huella dactilar de sus empleados para fichar. Es la mayor sanción por fichaje biométrico publicada en España. ¿Cuántas empresas siguen usando el mismo sistema sin saberlo?
El registro de jornada laboral es obligatorio en España desde 2019. Muchas empresas lo implantaron con la tecnología disponible en ese momento — y una de las opciones más extendidas fue el fichaje por huella dactilar. Parecía cómodo, moderno e infalible. Lo que nadie les contó es que la huella dactilar es un dato biométrico especialmente protegido bajo el RGPD, y que usarla para el control horario sin cumplir una serie de requisitos muy estrictos puede salir extraordinariamente caro.
El caso de CTC Externalización lo demuestra con una cifra contundente.
Qué hizo CTC Externalización y por qué fue sancionada
CTC Externalización es una empresa española de outsourcing — servicios de externalización, mensajería y logística con varios centros de trabajo en España. Implantó un sistema de fichaje por huella dactilar en sus instalaciones para controlar la jornada laboral de sus empleados. En febrero de 2022 uno de esos empleados presentó una reclamación ante la AEPD.
El motivo era claro: cuando el trabajador preguntó a la empresa sobre el tratamiento de sus datos biométricos — su derecho reconocido por el RGPD — le respondieron que esa información estaba en el portal del empleado. Lo que no dijeron es que estaba en la parte más inaccesible de la plataforma, a la que no tenían acceso todos los trabajadores. Una información enterrada no es información.
La investigación de la AEPD reveló tres incumplimientos graves que derivaron en una sanción de 365.000 euros — la mayor impuesta en España por fichaje biométrico.
Los tres errores que costaron 365.000 euros
La resolución de la AEPD es muy clara. No fue un único error — fueron tres infracciones simultáneas del RGPD, cada una con su sanción independiente.
No informó adecuadamente a los trabajadores
El RGPD exige que los empleados sean informados de forma clara, accesible y comprensible sobre qué datos biométricos se recogen, para qué, durante cuánto tiempo y quién tiene acceso. Enterrar esa información en un rincón del portal del empleado no cumple con el deber de información.
200.000€ de multaMedidas de seguridad insuficientes
Los datos biométricos son datos de categoría especial bajo el RGPD — el nivel más alto de protección. La empresa no implementó las medidas de seguridad técnicas y organizativas proporcionales a ese nivel de riesgo.
65.000€ de multaSin evaluación de impacto (EIPD)
El tratamiento sistemático de datos biométricos de empleados requiere obligatoriamente una Evaluación de Impacto en la Protección de Datos antes de implantar el sistema. CTC no la había realizado. Es uno de los requisitos más incumplidos en España.
100.000€ de multa⚠️ La Audiencia Nacional avaló la sanción. CTC recurrió la resolución — y la Audiencia Nacional la confirmó. No hay margen de maniobra cuando los tres incumplimientos están tan documentados. La empresa tuvo que pagar los 365.000 euros y además adaptar sus sistemas en seis meses.
¿Es ilegal el fichaje con huella dactilar?
Esta es la pregunta que más hacen los directores de RRHH cuando conocen este caso. La respuesta no es blanco o negro.
El fichaje biométrico no está prohibido en España — pero tiene un listón jurídico muy alto. El Comité Europeo de Protección de Datos unificó criterios en 2023 estableciendo que la biometría para control horario debe considerarse desproporcionada salvo que la empresa acredite que no existe ninguna alternativa menos invasiva que permita cumplir igual de bien con la obligación de registro de jornada.
En la práctica esto significa que casi ninguna empresa puede justificar el uso de huella dactilar para fichar — porque siempre existen alternativas menos intrusivas que funcionan igual de bien. Y si no puedes justificarlo, el tratamiento es ilegal.
📌 Criterio AEPD en 2026: la tendencia normativa es inequívoca. La AEPD considera que la biometría para control horario es desproporcionada en la inmensa mayoría de casos. Las empresas que mantienen estos sistemas se exponen a sanción en cualquier inspección.
Qué debe hacer tu empresa si tiene fichaje biométrico
Las alternativas al fichaje biométrico que cumplen la ley
La buena noticia es que existen alternativas perfectamente válidas que cumplen con la obligación de registro de jornada sin los riesgos del fichaje biométrico.
📱 App de fichaje en móvil
El empleado ficha desde su smartphone con PIN o reconocimiento facial local (no almacenado en servidor). Solución económica y muy extendida.
💳 Tarjeta o llavero RFID
Sistema de tarjetas identificativas. Simple, barato, fiable y sin ningún tratamiento de datos especiales.
🔢 Terminal con código PIN
El empleado introduce un código numérico. Ningún dato biométrico implicado. La opción más sencilla de cumplimiento.
💻 Fichaje por ordenador
El trabajador registra su entrada y salida desde el ordenador o portal corporativo. Válido para trabajo de oficina o remoto.
La lección para empresas con empleados en Aragón
El caso de CTC Externalización no es una anécdota. La AEPD ha hecho de los datos biométricos laborales una de sus prioridades de inspección en 2026. Las empresas que además gestionan empleados en sectores regulados acumulan riesgo también en materia de compliance penal. Y lo que sucedió en Madrid-Coslada puede suceder en cualquier empresa de Zaragoza, Teruel o Huesca que hoy mismo tenga un terminal de huella dactilar en su entrada.
La dirección de la empresa cree que “esto siempre se ha hecho así”. Los trabajadores no saben que tienen derecho a reclamar. Y el DPO externo es quien puede identificar el riesgo antes de que llegue la reclamación — y gestionar la migración a un sistema alternativo de forma ordenada.
Porque 365.000 euros es mucho dinero para una empresa mediana. Pero el mayor coste no es la multa — es el daño reputacional ante los propios empleados cuando se hace público que la empresa trataba sus datos biométricos sin las garantías legales.
¿Tu empresa tiene fichaje biométrico?
En Artico Consultores analizamos tu situación, te decimos exactamente qué riesgo tienes y te ayudamos a migrar a un sistema alternativo conforme al RGPD antes de que llegue una inspección. Sin alarmas innecesarias — con soluciones concretas.
Solicitar información →¿También necesitas un canal de denuncias? Es obligatorio si tienes 50 o más trabajadores.
Fuentes: Confilegal (abril 2024), Xataka, Genbeta, Tirant Prime, AYS Innova. Resolución AEPD contra CTC Externalización — reclamación registrada el 14 de febrero de 2022, sanción de 365.000 euros confirmada por la Audiencia Nacional.
Escríbenos por WhatsApp