¿Es legal fichar con reconocimiento facial? El fallo de 53.768 euros

Una empresa no puede obligar a sus trabajadores a fichar mediante reconocimiento facial por simple comodidad, modernidad o ahorro de unos segundos. Cuando existen alternativas eficaces y menos invasivas —una tarjeta, un código personal o una aplicación sin biometría—, capturar los rasgos del rostro para controlar la jornada puede vulnerar derechos fundamentales.

Así lo ha establecido la Sala de lo Social del Tribunal Superior de Xustiza de Galicia, que ha reconocido a una trabajadora indemnizaciones por un total de 53.767,90 euros. Hay, eso sí, un matiz imprescindible: toda esa cantidad no se debe exclusivamente al fichaje facial. El tribunal concedió 7.501 euros por daños morales derivados de la vulneración de derechos fundamentales y otros 46.266,90 euros por la extinción indemnizada del contrato, justificada por la suma de varios incumplimientos graves de la empresa, entre ellos los retrasos reiterados en las nóminas.

La cifra redonda corre mejor por internet. También corre peor la verdad. No estamos ante una multa administrativa de casi 54.000 euros por mirar una cámara al entrar en la fábrica, sino ante dos indemnizaciones con causas jurídicas distintas. La tecnología puso la cara; los salarios tardíos, el resto del cuerpo.

Una condena de 53.767,90 euros por dos motivos

La trabajadora prestaba servicios desde agosto de 2007 y había sido subrogada por Make Packing SL en marzo de 2020. Según los hechos probados, la empresa implantó el sistema de reconocimiento facial el 9 de marzo de 2023, sin consultar ni obtener el consentimiento de la plantilla, y lo mantuvo activo hasta el 20 de febrero de 2025.

El conflicto no se limitaba a la biometría. Entre enero de 2024 y marzo de 2025, la empleada recibió sus nóminas con retrasos continuados. Algunas demoras fueron de cinco o siete días; otras alcanzaron los 18, 23 e incluso 29 días. Existía, además, un compromiso empresarial para pagar antes del día 5 de cada mes, con la intención de hacerlo el día 1. La promesa acabó convertida en una fecha decorativa del calendario.

El Juzgado de lo Social número 1 de Vigo reconoció inicialmente la vulneración de derechos fundamentales y fijó una indemnización de 7.501 euros, pero rechazó extinguir el contrato a petición de la trabajadora. Ambas partes recurrieron. El TSXG corrigió parcialmente aquella resolución y consideró que los retrasos salariales, unidos al uso ilegítimo de los datos biométricos, formaban un cuadro suficientemente grave para permitir que la empleada rompiera la relación laboral con la indemnización equivalente a un despido improcedente.

Cómo se reparten los 53.767,90 euros

Los 7.501 euros corresponden al daño moral causado por la vulneración del derecho a la propia imagen y a la protección de los datos personales. Esta condena se impuso solidariamente a Make Packing SL y a Art & Graphic Packaging SL, empresa vinculada que había participado en la instalación y pagado las facturas del sistema facial.

Los restantes 46.266,90 euros fueron reconocidos a cargo de Make Packing SL por la extinción del contrato conforme al artículo 50 del Estatuto de los Trabajadores. La cuantía se calculó atendiendo al salario, de 2.117,81 euros mensuales con las pagas extraordinarias prorrateadas, y a una antigüedad que se remontaba a 2007.

No es una sanción de protección de datos camuflada, sino la indemnización laboral correspondiente cuando el trabajador puede abandonar la empresa por incumplimientos empresariales graves. Presentar el caso como una condena de 53.768 euros únicamente por fichar con la cara resulta atractivo, sí, pero incompleto. Sin los retrasos salariales, el resultado económico habría sido distinto. Sin la biometría, probablemente también.

La cara no es una tarjeta cualquiera

El registro diario de jornada es obligatorio para las empresas. El artículo 34.9 del Estatuto de los Trabajadores exige anotar la hora concreta de inicio y finalización, pero no autoriza a utilizar cualquier tecnología imaginable. El deber de controlar el horario no entrega a la empresa una llave maestra para entrar en los datos personales de la plantilla.

El reconocimiento facial transforma determinados rasgos físicos en una plantilla biométrica capaz de identificar de manera unívoca a una persona. No se limita a tomar una fotografía. El sistema mide características del rostro, extrae patrones y los compara cada vez que el trabajador se coloca delante del dispositivo.

Una tarjeta se sustituye. Una contraseña se cambia. La geometría de la cara viene de fábrica.

El Reglamento General de Protección de Datos incluye estos identificadores biométricos entre las categorías especiales de datos, sometidas a una protección reforzada. La regla general es la prohibición de tratarlos, salvo que concurra alguna de las excepciones previstas y se respeten las exigencias de necesidad, proporcionalidad, seguridad y minimización.

Imagen, intimidad y protección de datos

El juzgado de primera instancia había apreciado una vulneración de la intimidad y de la propia imagen. El TSXG introdujo una precisión jurídica importante: mantuvo la lesión del derecho a la propia imagen, conectado con la protección de datos personales, pero descartó que se hubiera vulnerado estrictamente la intimidad.

La razón es bastante gráfica. El rostro suele estar expuesto al conocimiento de otras personas y no forma parte, por sí mismo, de ese espacio reservado que protege el derecho a la intimidad. Otra cosa es que una empresa capture sus rasgos, los convierta en datos técnicos y los utilice para identificar automáticamente al trabajador. Ver una cara no equivale a tener permiso para procesarla.

La empresa alegó que el terminal estaba protegido y que los datos biométricos no se almacenaban de la manera denunciada. El tribunal respondió que el tratamiento de datos no requiere necesariamente una gran base informática guardada durante años: la mera recogida o utilización ya puede constituir tratamiento a efectos del RGPD.

Tampoco consideró suficiente invocar que la normativa era nueva o discutida. Los derechos a la propia imagen y a la protección de datos llevaban tiempo reconocidos en la Constitución y en la legislación europea. La aparición de una máquina más brillante no suspende las reglas; solo hace más tentador olvidarlas.

Por qué el reconocimiento facial fue desproporcionado

El elemento que inclina con claridad la balanza es la existencia de una alternativa menos invasiva. En una reunión celebrada el 30 de enero de 2024, la representación de los trabajadores advirtió de los problemas del fichaje mediante huella o reconocimiento facial. La propia empresa señaló entonces que solicitaría tarjetas personalizadas para modificar el registro de jornada.

Había, por tanto, otro medio disponible. Barato, reconocible, bastante menos cinematográfico. El tribunal concluyó que el tratamiento biométrico no era necesario, porque la jornada podía controlarse de forma efectiva con una tarjeta sin interferir de la misma manera en los derechos fundamentales.

La compañía, pese a conocer la objeción de los representantes de la plantilla, mantuvo el reconocimiento facial hasta el 20 de febrero de 2025. Más de un año después de aquella reunión. Para el TSXG no solo existió una vulneración, sino una persistencia consciente en ella. Esa continuidad agravó el incumplimiento y pesó, junto con los retrasos salariales, en la decisión de extinguir el contrato.

El principio de proporcionalidad obliga a comprobar si el sistema es adecuado para alcanzar el objetivo, si resulta verdaderamente necesario y si el sacrificio impuesto al trabajador guarda equilibrio con el beneficio obtenido por la empresa. En este caso, la segunda pregunta derrumbó las demás: había una tarjeta personalizada capaz de cumplir la misma función.

El estrecho margen para usar biometría al fichar

La sentencia no proclama que cualquier tecnología biométrica sea ilegal en todos los escenarios posibles. Lo que deja claro es que una empresa debe acreditar una base jurídica suficiente y demostrar que el sistema resulta realmente imprescindible. No basta con afirmar que evita fraudes, agiliza la entrada o queda bonito en el vestíbulo.

La Agencia Española de Protección de Datos mantiene un criterio especialmente exigente para el control laboral. Considera la identificación y autenticación biométricas tratamientos de alto riesgo y sostiene que la legislación española actual no contiene una habilitación legal específica suficiente para utilizar estos datos en el registro ordinario de jornada.

El consentimiento del empleado tampoco resuelve automáticamente el problema. En una relación laboral existe un evidente desequilibrio de poder entre quien solicita la autorización y quien depende de esa misma persona para cobrar el salario. Decir que sí cuando quien pregunta paga la nómina no siempre es una elección enteramente libre.

Antes de implantar un sistema de este tipo, la empresa tendría que analizar su idoneidad, necesidad y proporcionalidad, realizar una evaluación de impacto en protección de datos y comprobar si el mismo objetivo puede alcanzarse con una solución menos intrusiva. Si existe una tarjeta, una clave o un sistema convencional que funciona, la biometría pierde buena parte de su posible justificación.

El criterio afecta también a los fichajes mediante huella dactilar, iris u otros patrones corporales empleados para identificar de forma única a una persona. El soporte cambia; la cuestión legal permanece: por qué necesita la empresa una parte inseparable del cuerpo cuando podría controlar la hora con un instrumento que el trabajador pueda guardar, apagar o reemplazar.

La persona sometida a estos sistemas puede solicitar información sobre la base jurídica utilizada, la finalidad del tratamiento, el tiempo de conservación, la empresa proveedora y la evaluación de impacto. También puede acudir a la representación de los trabajadores, al delegado de protección de datos, a la Agencia Española de Protección de Datos o a la jurisdicción social, según la naturaleza del conflicto.

Qué supone la sentencia para empresas y trabajadores

La resolución constituye una advertencia para las compañías que hayan implantado controles biométricos como si fueran una simple evolución del reloj de fichar. La obligación de registrar la jornada existe, pero debe cumplirse respetando la protección de datos personales, la dignidad del trabajador y el principio de minimización.

No todos los sistemas de control tienen la misma intensidad. Una tarjeta registra que una credencial ha sido utilizada; el reconocimiento facial analiza características físicas permanentes. Ese salto no es pequeño. Convierte una operación administrativa rutinaria en un tratamiento de información especialmente sensible.

Las empresas deberían revisar no solo la tecnología utilizada, sino también la información proporcionada a la plantilla, las medidas de seguridad, los plazos de conservación y la participación de proveedores externos. Delegar la instalación en otra sociedad no elimina la responsabilidad de quien decide cómo se controla a los trabajadores.

Para los empleados, el fallo recuerda que aceptar el sistema o utilizarlo durante meses no vuelve necesariamente legítimo el tratamiento. En el ámbito laboral, el silencio cotidiano puede ser obediencia, costumbre o simple necesidad. No siempre es consentimiento válido.

El control horario tiene límites

La sentencia 144/2026 del TSXG, dictada el 15 de enero de 2026, sostiene que el reconocimiento facial utilizado en este caso vulneró el derecho a la propia imagen y a la protección de datos. La resolución eliminó, eso sí, la referencia a una lesión autónoma de la intimidad y mantuvo la indemnización de 7.501 euros por daños morales.

A esa cantidad añadió los 46.266,90 euros por la extinción del contrato, consecuencia conjunta del uso ilegítimo de los datos biométricos y de los retrasos salariales prolongados. El propio fallo contemplaba la posibilidad de presentar recurso de casación para la unificación de doctrina, de modo que no debe confundirse una decisión relevante de un tribunal superior autonómico con una sentencia del Tribunal Supremo.

El mensaje, mientras tanto, resulta bastante limpio: la empresa tiene derecho a saber cuándo comienza y termina la jornada, pero no a convertir automáticamente el cuerpo del trabajador en el mecanismo de control. Entre fichar y ser fichado hay una diferencia. Y, como demuestra este caso, a veces también hay 53.767,90 euros.