Control de accesos y registro horario: por qué tenerlos separados te está costando dinero (y exponiendo a sanciones)

Hablamos con responsables de RRHH y de Seguridad de empresas medianas y grandes prácticamente cada semana. Los problemas que reportan cuando los dos sistemas no están integrados se repiten de forma asombrosamente uniforme. Son cinco. Y conviene listarlos sin adornos.

1. El empleado ficha dos veces y nadie le dice por qué

Este es el más evidente y, paradójicamente, el que más daño hace a la cultura interna. El empleado pasa la tarjeta por el torno para entrar al edificio. Sube a su planta. Pasa la tarjeta de nuevo por la puerta de su planta por accesos. 0 segundos después, abre el ordenador. Y tiene que fichar otra vez en la app de RRHH —o en una pantalla, o en un móvil— para registrar su jornada laboral. La mayor parte de la plantilla se ha resignado, pero cuando pregunta por qué, la respuesta interna suele ser «porque son sistemas distintos». Lo que el empleado escucha es: «porque no nos hemos molestado en arreglarlo». La sensación de duplicidad burocrática es exactamente el tipo de fricción pequeña y repetida que erosiona el compromiso con la empresa.

2. Los datos no cuadran entre sistemas (y nadie sabe cuál es el bueno)

Es el problema operativo más caro. El sistema de control de accesos dice que Juan entró a las 8:47. La app de fichaje dice que Juan empezó a trabajar a las 7:55. ¿Cuál es la hora correcta? ¿Cuál vale ante una inspección? La empresa no lo sabe. Y cuando hay una reclamación del trabajador, una citación de Inspección de Trabajo o una auditoría interna, esos minutos de diferencia se convierten en horas de discusión entre RRHH, Seguridad y el propio empleado.
Cuando RRHH intenta cuadrar manualmente ambos sistemas cada mes para preparar la nómina, dedican muchísimas horas semanales en empresas medianas o grandes. Es un FTE entero de una persona formada copiando datos de un sistema a otro y revisando discrepancias. No es estratégico. Y se puede automatizar.

3. En una emergencia, nadie sabe quién está dentro

Aquí entramos en territorio legalmente delicado. La Ley 31/1995 de Prevención de Riesgos Laborales obliga al empresario, en sus artículos 14 y 20, a garantizar la seguridad de las personas en el centro de trabajo, lo que incluye disponer de medios para identificar quién se encuentra dentro en caso de incendio, evacuación o cualquier otra emergencia. Cuando control de accesos y registro horario funcionan por separado, ese listado de personas puede entrar en discrepancias. El sistema de accesos sabe quién entró pero puede no saber si sigue dentro (puede haber salido por una puerta sin lector). La app de fichaje sabe quién ha fichado pero no si está físicamente en el edificio.

4. Doble software, doble mantenimiento, doble soporte

La factura es el problema más fácil de ver y, sorprendentemente, el que menos atención recibe. Una empresa de 200 empleados con sistemas separados pagará, por un lado, los costes asociados a la licencia de software de control de accesos, y lo mismo relacionado con licencia de software de registro horario. Más dos contratos de mantenimiento. Más dos canales de soporte. Más dos integraciones. Más dos veces el coste de actualizaciones, formaciones y onboardings cuando entra gente nueva.

Una integración bien hecha reduce esa estructura a una sola plataforma con distintos módulos. El ahorro promedio en empresas que hacen la transición es elevado. Y el equipo de RRHH deja de perder horas en conciliar dos verdades distintas cada mes.

5. Biometría mal aplicada: el riesgo más caro y menos conocido

Y aquí llega el problema que más sanciones está generando en 2024-2026. Pero conviene aclarar algo desde el principio para no caer en simplificaciones que circulan mucho: la biometría sigue siendo una solución válida (con matices) en el ámbito empresarial, especialmente para control de accesos a zonas críticas, entornos con altas exigencias de seguridad o sectores donde otras tecnologías tienen limitaciones operativas. Miles de empresas en España usan biometría con normalidad y sin problemas porque la han implantado con todas las garantías que exige la normativa.

Lo que ha cambiado en 2024-2026 no es la legalidad de la tecnología. Es el nivel de exigencia documental y técnica para usarla. La Guía AEPD de noviembre de 2023 sobre tratamientos de control de presencia mediante sistemas biométricos no prohíbe la biometría: clarifica las garantías que la empresa debe acreditar para usarla legalmente. Los datos biométricos, al ser categoría especial del art. 9 RGPD, requieren cuatro elementos concretos:

• Una Evaluación de Impacto en Protección de Datos (EIPD) que documente la necesidad y proporcionalidad del tratamiento.
• Una base legal específica (que en el ámbito laboral no puede basarse únicamente en el consentimiento, porque la AEPD considera que no es «libre» dado el desequilibrio empresa-trabajador).
• Una alternativa no biométrica realmente disponible para el empleado que no quiera o no pueda usar la biométrica, sin penalización ni fricción.
• Una configuración técnica conforme al RGPD: minimización de datos (mejor verificación 1:1 que identificación 1:N), almacenamiento cifrado, plazos de conservación claros, registro de actividades de tratamiento.

Las sanciones reales que están cayendo son por la ausencia de estos cuatro elementos, no por la biometría en sí: 365.000 € a una empresa de externalización en 2024 por usar huella sin EIPD, sin base legal y sin alternativa200.000 € a un equipo de fútbol en 2024 por exigir huella sin las garantías necesarias. En todos los casos, el error no fue elegir biometría: fue no construir el marco que la AEPD exige.

Para las empresas que ya tienen sistemas biométricos instalados, la clave no es desmontarlos. Es auditar la implantación y añadir las garantías que falten: completar la EIPD si no se hizo, revisar la base legal aplicable, asegurar una alternativa real para quien la pida y ajustar la configuración técnica. 

Los dos sistemas se hablan en tiempo real a través de una API. Cuando alguien pasa la tarjeta por el torno, el sistema de accesos avisa al de fichaje. Mejor que el nivel 1, pero todavía hay dos sistemas distintos: dos bases de datos, dos políticas de seguridad, dos contratos de mantenimiento, dos posibles fuentes de error. Cuando alguno falla —cosa que pasa— los datos vuelven a desincronizarse. Y el coste de licencia sigue siendo doble.

Una pregunta que aparece siempre en estos proyectos: ¿qué pasa con quien no es empleado propio pero entra en tus instalaciones? Personal de contratistas, autoautónomos en servicios puntuales, técnicos de mantenimiento externos, visitas comerciales, candidatos en proceso de selección. Cuando el control de accesos está integrado en el mismo sistema que el registro horario, estos perfiles pueden darse de alta —con su tarjeta de acceso o credencial temporal, sus permisos de zona, su horario autorizado y su periodo de validez— y aparecen también en el listado de personas presentes en cada momento.

No es solo una cuestión operativa. Es la única forma realista de saber, en cualquier momento, cuánta gente hay dentro de tus instalaciones cuando esa cifra no se limita a tu plantilla propia. Que es, hoy, la norma en la mayoría de empresas medianas y grandes.

Durante una década, tener separados el control de accesos y el registro horario fue una decisión lógica porque eran dos problemas distintos resueltos en momentos distintos. Pero en 2026 los dos problemas se han convertido prácticamente en uno. La AEPD los trata con criterios cada vez más parecidos. La PRL los necesita conectados para cumplir con el deber general de protección. Y los empleados, simplemente, no entienden por qué tienen que fichar dos veces para registrar lo mismo.

Nosotros no somos auditores de protección de datos ni consultores de PRL, somos especialistas en gestión del tiempo y en control de accesos integrado. Y lo que vemos cada semana en las empresas con las que trabajamos es siempre el mismo patrón: cuando los dos sistemas funcionan por separado, el problema rara vez se manifiesta como una crisis. Se manifiesta como muchas pequeñas ineficiencias: horas de diferencia entre sistemas, horas semanales de cuadre manual, una factura de mantenimiento de software duplicada, un listado de presentes que no se actualiza en tiempo real. Cada cosa por separado parece menor. Juntas, son lo que diferencia una operación bien diseñada de una que se sostiene por inercia.

La integración no es una transformación profunda. No requiere reestructurar departamentos ni cambiar la cultura. Tampoco obliga a renunciar a la biometría si tu empresa la está usando bien. Requiere una sola decisión operativa: dejar de tratar accesos y fichaje como dos problemas distintos y empezar a tratarlos como lo que son, dos caras del mismo dato: cuándo y dónde está cada persona en cada momento. Cuando esa decisión se toma, el resto es ejecución. Y la ejecución es, hoy, más sencilla que nunca.

Aviso legal: Este artículo tiene carácter informativo y no constituye asesoramiento jurídico. La aplicación concreta de la Ley 31/1995 de PRL, el Real Decreto-ley 8/2019, el Reglamento General de Protección de Datos, la LOPDGDD y las guías de la AEPD depende de las circunstancias particulares de cada empresa, sector y convenio aplicable. Las cifras de sanciones citadas corresponden a resoluciones publicadas de la AEPD entre 2024 y 2026 y se aportan como referencia. Cada empresa debe analizar su situación con asesores legales y especialistas en protección de datos. Protime es una solución tecnológica de gestión del tiempo y control de accesos integrado y no presta servicios de asesoría legal.