¿Es legal el control de asistencia con huella dactilar en Turquía? KVKK y fichaje móvil

El viejo sistema de torniquetes de la fábrica se va a renovar. El proveedor recomienda un lector de huella dactilar: rápido, sin préstamo de tarjetas y sin que nadie fiche por un compañero. El asesor jurídico dice: “Primero revisemos la KVKK”. Mientras tanto, el equipo de campo pregunta si puede fichar desde el teléfono. Surgen tres preguntas a la vez: ¿es legal el control de asistencia con huella dactilar?, ¿es legal el fichaje móvil? y ¿basta con un formulario de consentimiento firmado por el empleado? La respuesta corta a “¿es legal un PDKS (sistema de control de asistencia)?” es “depende del método”. Este artículo, centrado en la normativa turca, explica de qué depende la respuesta a partir del texto de la KVKK (la ley de protección de datos personales de Turquía) y de la última decisión de principio de la Junta.

La legalidad de un PDKS en Turquía es una valoración jurídica que depende menos de si se registran las entradas y salidas que de qué datos personales se usan y con qué método se toma el registro.

¿Es legal un PDKS? Llevar el registro y elegir el método son preguntas distintas

Según un comunicado de la Autoridad de Protección de Datos Personales de Turquía, los empleadores tienen la obligación de controlar y documentar el tiempo de trabajo. El mismo comunicado subraya que no existe ninguna disposición legal expresa que prevea hacer ese control con sistemas de identificación biométrica. Es decir, llevar el registro de asistencia no está en discusión; lo que se discute es cómo se toma. Aquí entran en juego los principios del artículo 4 de la Ley n.º 6698: los datos deben estar relacionados con la finalidad del tratamiento, ser limitados y proporcionados.

¿Es legal fichar con huella dactilar?

El apartado 1 del artículo 6 de la Ley considera los datos biométricos y genéticos como categorías especiales de datos personales. El apartado 3 establece la regla básica:

Queda prohibido el tratamiento de categorías especiales de datos personales.

La prohibición se levanta si se cumple alguna de las condiciones enumeradas, como el consentimiento explícito, la previsión expresa en una ley o una obligación legal relacionada con el empleo. En su Decisión de Principio n.º 2026/921, de 29.04.2026, la Junta analizó estas condiciones una por una para el control horario. La decisión se publicó en el Boletín Oficial turco el 02.06.2026 y sus conclusiones, en resumen, son:

• No se cumple la condición de previsión expresa en la ley. La normativa habla del control del tiempo de trabajo, pero no prevé hacerlo por medios biométricos.
• El consentimiento explícito por sí solo no se consideró suficiente. El desequilibrio de poder en la relación entre empleado y empleador genera dudas sobre si el consentimiento es realmente voluntario; además, puede retirarse.
• Incluso con un consentimiento válido, no se cumple la proporcionalidad. Tratar datos biométricos cuando existen alternativas menos invasivas se consideró desproporcionado.
• Se enumeraron alternativas: sistemas de tarjeta cifrada o basados en PIN, hojas de asistencia en papel con firma, tarjetas de identificación RFID/NFC y registro manual bajo supervisión de un responsable.

Un segundo comunicado de la Autoridad, de 27.08.2026, aclara otro punto: convertir la huella dactilar en un código matemático y guardarla en una base de datos no le quita su carácter de dato biométrico. Por eso, el argumento de “no guardamos la huella, solo su plantilla” no resuelve el problema.

¿Qué pasa si un empleado no quiere dar su huella dactilar?

El razonamiento de la Junta se apoya precisamente en esta pregunta. La Junta señala que, si no se ofrece de forma efectiva al empleado la posibilidad de no consentir o de retirar su consentimiento, o si negarse puede tener consecuencias negativas para él, no puede decirse que tenga una opción real. Así, un esquema de “huella para quien quiera, tarjeta para quien no” puede parecer razonable sobre el papel, pero por sí solo no crea una base jurídica. La verdadera solución es adoptar un método no biométrico para todos.

¿Se puede instalar un sistema biométrico por motivos de seguridad?

El mismo comunicado separa algunas instalaciones de la valoración general. En procesos de seguridad de varios niveles, como el control de acceso a zonas críticas, la identificación biométrica es una herramienta de seguridad, no de control horario. Incluso en ese caso, la Autoridad espera que el uso se limite a las zonas y personas necesarias, que las alternativas sean insuficientes y que el uso sea proporcionado a una necesidad de seguridad concreta. Cada caso se evalúa por separado, así que el enfoque de “huella para todos por motivos de seguridad” no es un camino seguro.

¿Es legal el PDKS móvil? Fichar entradas y salidas desde el teléfono

Fichar desde el teléfono no genera por sí mismo datos de categoría especial. Lo que decide la valoración es qué datos recoge la aplicación. Un registro con usuario y contraseña es un tratamiento de datos personales y está sujeto a los principios del artículo 4. Si se añade reconocimiento facial o verificación de huella dactilar, se trata de datos biométricos y entra en juego la decisión de principio anterior. Si se recoge la ubicación, las preguntas cambian: ¿se toma solo al fichar la entrada y la salida o se sigue durante todo el día?, ¿lo sabe el empleado de antemano? En este artículo no nos hemos basado en una decisión de principio específica de la Junta sobre datos de ubicación; consulte a su asesor antes de implantar un método así.

Consentimiento KVKK para el PDKS: ¿basta con que el empleado firme un formulario?

Con un método biométrico, no; como se ha visto, el consentimiento por sí solo no se consideró una base válida. Con un método no biométrico, a menudo ni siquiera hace falta el consentimiento explícito: el apartado 2 del artículo 5 de la Ley permite el tratamiento sin consentimiento explícito si se cumple alguna condición, como la ejecución de un contrato, una obligación legal del responsable del tratamiento o un interés legítimo. Cuál se aplica depende del caso concreto. Elija la condición que elija, el artículo 10 le obliga a informar a los empleados sobre su identidad, la finalidad del tratamiento, a quién pueden transferirse los datos, el método de recogida, la base jurídica y sus derechos. En la práctica, el documento clave para un PDKS no es un “consentimiento” firmado, sino un aviso de privacidad claro y comprensible.

Siete pasos para un PDKS seguro desde el punto de vista legal

1. Haga inventario del método actual: ¿qué dispositivo, qué datos y quién los guarda?
2. Si hay un lector biométrico, planifique su retirada o el paso a una alternativa como tarjeta o PIN.
3. Entregue a los empleados un aviso de privacidad comprensible con su identidad, la finalidad, las transferencias, el método de recogida y sus derechos.
4. Limite el acceso a los datos de asistencia por rol; cada jefe de departamento debe ver solo a su propio equipo.
5. Defina un plazo de conservación y el paso para suprimir, destruir o anonimizar los datos cuando venza.
6. Si su proveedor de dispositivos o software accede a sus datos, fije las responsabilidades con claridad en el contrato.
7. Mantenga registros de acceso y de cambios; documente las medidas técnicas y organizativas del artículo 12.

¿Es más seguro jurídicamente llevar el registro en papel o en Excel?

Las hojas de asistencia en papel con firma están entre las alternativas que enumeró la Junta, así que jurídicamente estos métodos no plantean dudas. El problema es operativo: errores, ningún rastro de los cambios hechos a posteriori y descuadres con los registros de permisos. Además, la hoja en papel también contiene datos personales; importa quién la ve y dónde se guarda.

¿Dónde encaja YazSis KurumsalPortal?

El módulo Control horario y asistencia no es un dispositivo; reúne los registros del PDKS en una sola pantalla, los asocia a cada empleado y somete las excepciones a aprobación. La forma de transferir los datos de su dispositivo actual se define conjuntamente en el proyecto. El alcance de datos por rol del portal, el enmascaramiento de campos como el número de identidad turco y el IBAN, el registro de acceso a documentos y el registro de auditoría le ayudan a montar un proceso orientado a la KVKK; sin embargo, el portal no elige el método ni hace la valoración jurídica por usted. Para limitar el acceso a menús y datos por rol, consulte la página Gestión de menús y permisos.

Si quiere llevar los datos de asistencia de forma ordenada, sujeta a permisos y trazable, con independencia del método, puede ver la estructura de módulos en la página KurumsalPortal.