La autoridad catalana de protección de datos declara dos infracciones al Departament de Drets Socials i Inclusió por controlar con huella la jornada del personal de la residencia Puig d’en Roca durante seis años, sin base legal ni evaluación de impacto. No hay multa porque es una Administración. Una empresa privada no tendría esa salida.
La Autoritat Catalana de Protecció de Dades (APDCAT) ha declarado que el Departament de Drets Socials i Inclusió de la Generalitat cometió dos infracciones del Reglamento General de Protección de Datos (RGPD) con el fichaje con huella que impuso al personal de la residencia de mayores Puig d’en Roca. La resolución del procedimiento sancionador PS-0061/2026, firmada el 16 de octubre y publicada el 20 en la sede electrónica de la autoridad, califica la primera como muy grave, por tratar datos biométricos sin ninguna excepción legal que lo permita. La segunda es grave: nadie evaluó los riesgos antes de instalar el lector. El sistema estuvo en marcha desde febrero de 2019 hasta el verano de 2025 y afectaba a toda la plantilla propia del centro, laborales y funcionarios.
La resolución importa por los argumentos que tumba. El Departamento se defendió con los dos que repiten casi todos los proveedores de terminales de fichaje y buena parte de las empresas que los compran. El aparato no guardaba la huella, sino una «plantilla» matemática. Y el registro de jornada es una obligación legal, así que el tratamiento estaba cubierto. La APDCAT rechaza los dos.
Una plantilla biométrica sigue siendo un dato biométrico
En su respuesta al requerimiento de la autoridad, fechada el 5 de marzo de 2026, el Departamento explicó que el dispositivo «no almacenaba la imagen completa de la huella dactilar, sino una plantilla biométrica». Esa plantilla, según su escrito, era «una representación matemática de determinados puntos» asociada a un número de usuario, y a partir de ella «no es posible reconstruir la imagen original de la huella» (todas las citas de la resolución son traducción propia del catalán).
La APDCAT responde en el fundamento de derecho tercero que la reversibilidad no es la pregunta relevante. Lo que cuenta es que la plantilla sirve para identificar a alguien. Según la resolución, actúa «como un identificador único de una persona que, aunque no permita la obtención o el dibujo de la totalidad de la huella dactilar de un individuo, sí permite identificarlo de manera unívoca». Encaja así en la definición del artículo 4.14 del RGPD, que considera biométricos los datos obtenidos mediante un tratamiento técnico específico que permitan o confirmen la identificación única de una persona, y que cita expresamente los datos dactiloscópicos. Desde ese momento rige la prohibición general del artículo 9.1 del RGPD, que veda tratar categorías especiales de datos salvo que concurra alguna de las excepciones tasadas del artículo 9.2.
El matiz tiene consecuencias. Que la plantilla no permita reconstruir la huella es una medida de seguridad, no una puerta de entrada. La propia guía de la Agencia Española de Protección de Datos (AEPD) sobre control de presencia biométrico, publicada en noviembre de 2023, coloca el cifrado de la plantilla o la posibilidad de revocar el vínculo entre la plantilla y la persona en la lista de garantías que el responsable debe aplicar después de haber superado todos los requisitos de licitud. Nunca los sustituyen.
El registro de jornada no habilita el uso de la huella
El segundo argumento era jurídico. El Departamento sostuvo que la base del tratamiento era el artículo 6.1.c del RGPD, que ampara los tratamientos necesarios para cumplir una obligación legal, en conexión con el artículo 34.9 del Estatuto de los Trabajadores. Este precepto obliga a la empresa a garantizar el registro diario de jornada, con la hora de inicio y fin de cada trabajador.
La autoridad recuerda que, con datos biométricos, una base del artículo 6 no basta. Hace falta además una excepción del artículo 9.2, y la única plausible en una relación de empleo es la letra b, que exige una norma con rango de ley. Esa norma no existe. La resolución lo dice sin rodeos: la normativa laboral y la de función pública «no determina ningún mecanismo por el cual el empresario o la administración puede controlar el registro de la jornada de sus trabajadores a partir del tratamiento de datos biométricos». Tampoco hay previsión alguna que autorice esas operaciones para controlar la presencia. Sin habilitación legal, el fichaje con huella no cabe en el 9.2.b, y por tanto tampoco en el 6.1.c.
El artículo 34.9 ET impone el resultado (que haya registro) y remite su organización a la negociación colectiva, al acuerdo de empresa o, en su defecto, a la decisión del empresario previa consulta con la representación legal de los trabajadores. No dice nada del medio. Un código numérico, una tarjeta o una aplicación cumplen la misma obligación sin tocar categorías especiales de datos. Es precisamente lo que el Departamento acabó implantando.
Hay además un detalle de calendario que debilita la defensa. El apartado 9 del artículo 34 lo añadió el Real Decreto-ley 8/2019, de 8 de marzo, y no fue exigible hasta mayo de ese año. La residencia instaló el lector de huellas en febrero de 2019, antes de que existiera la obligación legal que después invocó para justificarlo.
Tampoco quedaba la vía del consentimiento, y no solo porque el Departamento reconoció que nunca lo pidió. La AEPD ya había fijado en su guía de 2023 que, en el ámbito laboral, el consentimiento no puede levantar la prohibición, por el desequilibrio entre quien trabaja y quien controla. El sistema siguió funcionando año y medio después de esa guía.
La evaluación de impacto que nunca se hizo
La segunda infracción es autónoma y la habría cometido igualmente un responsable que sí tuviera base legal. La evaluación de impacto relativa a la protección de datos (AIPD) es el análisis previo de riesgos que el artículo 35 del RGPD exige antes de poner en marcha un tratamiento que pueda entrañar un alto riesgo para los derechos de las personas. El Departamento lo admitió por escrito: «no se hizo ninguna AIPD».
La APDCAT recurre a la lista de tratamientos que requieren evaluación de impacto, publicada por la propia autoridad el 6 de mayo de 2019. Según esa lista, basta con cumplir dos criterios para que la evaluación pueda ser necesaria. El fichaje con huella cumplía cuatro: control sistemático del interesado, uso de categorías especiales de datos, biometría para identificar de forma única y uso de tecnologías con nuevas formas de recogida de datos. Añade el artículo 28.2.c de la Ley Orgánica de Protección de Datos (LOPDGDD) y sus dictámenes CNS 2/2022 y 19/2023, que ya concluían que el control de presencia biométrico exige una evaluación de impacto. El resultado es la infracción del artículo 83.4.a del RGPD en relación con el artículo 35, tipificada como grave en el artículo 73.t de la LOPDGDD.
Por qué no hay multa y quién sí la pagaría
La resolución no impone sanción económica, y no por benevolencia. El artículo 77 de la LOPDGDD excluye las multas para las Administraciones públicas: la autoridad se limita a declarar la infracción y, si procede, a ordenar medidas correctoras. Tampoco las hay en este caso, porque la residencia ya ficha con un código numérico personal. La APDCAT da por corregidos los efectos de la infracción y ordena comunicar la resolución al Síndic de Greuges.
La cronología del cambio queda en el expediente. La denuncia entró en la APDCAT el 7 de agosto de 2025, y el Departamento sitúa la retirada de la huella en el «verano de 2025» en un punto de su escrito y «desde septiembre de 2025» en otro. El acuerdo de inicio del procedimiento, del 29 de junio de 2026, no recibió alegaciones, y por eso la autoridad resolvió sin propuesta previa, como permite el artículo 64.2.f de la Ley 39/2015.
Para una empresa privada, el mismo expediente tendría otra factura. La infracción del artículo 83.5 del RGPD admite multas de hasta 20 millones de euros o el 4% de la facturación anual mundial, y la del artículo 83.4, hasta 10 millones o el 2%. La responsabilidad, además, recae en quien decide fichar con la huella, que es el responsable del tratamiento, y no en el fabricante que le vendió el terminal con la promesa de que la plantilla era anónima. La infracción muy grave prescribe a los tres años y la grave a los dos, según los artículos 72 y 73 de la LOPDGDD.
La resolución agota la vía administrativa. El Departamento dispone de un mes para un recurso potestativo de reposición ante la directora de la APDCAT, o de dos meses para acudir directamente a los juzgados de lo contencioso-administrativo de Barcelona. Fuera de ese expediente queda la cuestión de fondo para cualquier empleador que mantenga un lector de huellas a la entrada. Con la AEPD y la autoridad catalana alineadas, ya no se discute si la plantilla es reversible. Se discute qué ley con rango de ley autoriza a usarla para fichar, y hoy no hay ninguna.
