Prohibido el control horario con huellas y reconocimiento facial: decisión de principio KVKK 2026/921
Los lectores de huellas y terminales de reconocimiento facial, habituales desde hace años en los centros de trabajo, se han convertido en un riesgo de incumplimiento. La decisión de principio…
⏱️ Tiempo de lectura: 9 min · 📁 Categoría: KVKK, Cumplimiento Digital y Seguridad de Datos
Prohibido el control horario con huellas y reconocimiento facial: decisión de principio KVKK 2026/921
Los lectores de huellas y terminales de reconocimiento facial, habituales desde hace años en los centros de trabajo,
se han convertido en un riesgo de incumplimiento. La
decisión de principio del Consejo de Protección de Datos Personales de 29 de abril de 2026, n.º 2026/921, sobre tratamiento de datos biométricos para control horario,
entró en vigor al publicarse en el Boletín Oficial n.º 33268 de 2 de junio de 2026.
El efecto de la decisión se resume en una frase: aunque el empleado haya dado su consentimiento explícito,
tratar datos biométricos para control horario (PDKS) es ilícito.
Esto significa que la defensa de que "he recibido la aprobación de mi personal" ya no es válida.
Están incluidas todas las empresas e instituciones públicas que controlen horarios con huellas, reconocimiento facial o escaneo del iris y retina.
El consentimiento explícito por sí solo no basta como base jurídica. El control horario debe realizarse con tarjetas cifradas, PIN, tarjetas RFID/NFC, hojas de firmas o sistemas móviles/QR como
métodos menos intrusivos.
Incumplir la decisión puede iniciar un procedimiento de multa administrativa conforme al artículo 18 de la KVKK.
¿Cuál es la base jurídica de la decisión principal?
Los datos de huellas, reconocimiento facial, iris y retina se consideran
categorías especiales de datos personales conforme a la Ley n.º 6698 de Protección de Datos Personales. Estos datos identifican de forma única a una persona y
no pueden revertirse una vez comprometidos; por ello exigen el máximo nivel de protección.
Aunque la legislación contempla registrar las horas de trabajo, el Consejo constató
que el uso de datos biométricos para este fin carecía de base legal expresa.
La decisión se basa en la sentencia del Tribunal Constitucional que consideró vulnerados los derechos por no cumplir el control horario con huellas el requisito de legalidad, y
en la jurisprudencia del Consejo de Estado que consideró los lectores de venas de la palma contrarios a la proporcionalidad.
La decisión de principio hizo esta línea jurisprudencial vinculante también en el ámbito administrativo.
Muchas empresas basaban el PDKS biométrico en el consentimiento explícito de los empleados. El Consejo rechazó este método por dos motivos.
Invalidez Razones- Desequilibrio de poder: El empleado que teme perder su empleo tiene libertad limitada para negarse, lo que cuestiona el carácter libre del consentimiento.
- Posibilidad de retirada: Si un empleado retira el consentimiento, se altera la continuidad del sistema, por lo que es una base débil desde el principio.
- Proporcionalidad: Elegir el método más sensible pese a alternativas menos intrusivas vulnera el principio de vinculación con la finalidad, limitación y proporcionalidad del artículo 4.
La decisión aclara qué métodos de control horario generan riesgos y qué alternativas pueden sustituirlos.
Comparación de métodos de control horario| Categoría | Método | Situación para el control horario |
|---|---|---|
| Biométrico | huella digital, reconocimiento facial, iris, retina | ❌ Ilegal (incluso con consentimiento explícito) |
| Tarjeta / código | Tarjeta cifrada, sistemas basados en PIN | ✅ Adecuado |
| Tarjeta sin contacto | Tarjetas de identificación RFID/NFC | ✅ Adecuado |
| Manual | Cuadro de firmas, entrada manual bajo la supervisión del auditor | ✅ Adecuado |
| Móvil | PDKS móvil basado en código QR o ubicación | ✅ Adecuado, siempre que no recoja datos biométricos |
La decisión vincula directamente al sector privado y a las instituciones y organismos públicos.
Están incluidos todos los responsables con control biométrico de asistencia, desde fábricas y complejos de oficinas hasta municipios y hospitales.
Es erróneo pensar «Somos una institución pública o pequeña empresa, esto no nos afecta».
La decisión incluye a quienes traten datos biométricos para control horario, con independencia del tamaño o sector.
Sí, pero son limitadas. La prohibición afecta al control horario rutinario (PDKS).
En áreas que requieren alta seguridad, como una bóveda bancaria, laboratorio de I+D, centro de datos o sala de servidores críticos,
puede plantearse el uso de datos biométricos solo para limitar el acceso al personal autorizado, evaluando por separado la finalidad y necesidad.
En este caso, incluso el marco jurídico y un análisis riguroso de la necesidad son esenciales.
El Consejo considera incumplir la decisión una vulneración de la obligación de medidas técnicas y administrativas del artículo 12 y
anunció sanciones administrativas conforme al artículo 18.
Las multas administrativas KVKK aumentan cada año con la tasa de revalorización; en esta categoría, el máximo de 2026 puede alcanzar
millones de liras turcas, alrededor de 17 millones TRY.
Más importante aún, este riesgo suele activarse por una sola queja de un empleado que provoca una inspección de oficio.
- Entradas y salidas: terminal de reconocimiento facial
- Base: consentimiento explícito de los empleados
- Resultado: el consentimiento explícito no basta; existe riesgo de incumplimiento y hay que cambiar de sistema.
- Seguimiento de la asistencia del personal: huella dactilar
- Tipo de institución: público
- Resultado: la práctica debe revisarse de inmediato, pues la decisión también vincula a organismos públicos.
- Objetivo: sólo entrada autorizada en el laboratorio crítico
- Ámbito: control de acceso, sin control horario rutinario
- Resultado: puede valorarse una excepción, pero exige un análisis de necesidad y un marco legal.
Si ya está usando PDKS biométricos, administrar la transición en el siguiente orden es el enfoque más seguro:
- Detección: Identifique qué datos biométricos se conservan y de qué empleados.
- Actualización del inventario: Registre la actividad actual de tratamiento y su fundamento.
- Cambio a un sistema alternativo: Cambie a tarjeta/PIN, RFID/NFC, QR o PDKS móvil.
- Supresión de datos biométricos: Suprima o anonimice irreversiblemente los datos que ya carezcan de base legal.
- Acta de supresión: Documente la supresión; es la prueba más importante para protegerle en una inspección.
- Renovación de información y consentimiento: Prepare avisos de privacidad e información a los empleados adecuados al nuevo sistema.
- Actualización VERBİS: Refleje el cambio de tratamiento en el sistema dentro del plazo.
Cambiar el dispositivo no basta. Mientras no se supriman debidamente los datos biométricos anteriores
y no se documente el proceso en acta, incluso tras cambiar el sistema, el riesgo por infracciones pasadas persiste.
La decisión de principio KVKK 2026/921 marca claramente el fin del control horario biométrico.
«Todos lo usan» u «Obtuve el consentimiento de los empleados» ya no ofrece protección jurídica.
Las empresas deben gestionarlo como un proyecto de cumplimiento que reúna inventario, supresión, información, consentimiento y VERBİS
, en lugar de cambiar solo un dispositivo. De lo contrario, una sola queja de un empleado
puede activar directamente un procedimiento de multa administrativa.
En B10 Digital Agency analizamos los riesgos de su sistema de huellas o reconocimiento facial,
planificamos la transición a una alternativa conforme y creamos documentación lista para inspección.
Con nuestro modelo híbrido de asesores jurídicos y equipos técnicos gestionamos la supresión de datos biométricos,
inventario, avisos de privacidad y actualización VERBİS en un solo flujo.
Se analizan su infraestructura PDKS existente y los elementos de datos biométricos recogidos. 🗑️ Eliminación documentada
Los datos sin base legal se suprimen con acta, lista para inspección. ⚖️ Plan de acción de cumplimiento
El sistema alternativo, información y pasos VERBİS se integran en una hoja de ruta.
Si controla horarios con huellas o reconocimiento facial, debe realizar un análisis de cumplimiento antes de una queja de un empleado.
Solicite un análisis de cumplimiento del PDKS biométrico
Sí. El Consejo considera insuficiente el consentimiento explícito para control horario por el desequilibrio entre empleador y empleado y el principio de proporcionalidad.
¿Qué métodos alternativos son lícitos?Tarjetas cifradas, sistemas PIN, tarjetas RFID/NFC, hojas tradicionales de firmas y papel, PDKS QR o móvil y registro manual supervisado.
¿Puedo usar huellas dactilares en áreas de alta seguridad?La prohibición afecta al control horario rutinario. Para acceder a laboratorios de I+D, salas de servidores o cajas fuertes, puede ser posible usar biometría dentro del marco legal, evaluando por separado finalidad y necesidad.
¿Qué debo hacer con los datos biométricos antiguos?Suprima o anonimice los datos sin base legal conforme a la Política de Supresión de Datos y documente el proceso en acta.
¿La decisión también incluye organismos públicos?Sí. Incluye al sector privado y a las instituciones y organismos públicos.
Fuentes y documentos relacionados
Estos documentos sirven de referencia para los métodos y las reglas tratados en este artículo.