Documento de Evaluación de Impacto en Protección de Datos

Versión: 1.0 Fecha: 2026-05-21 Aplicable a: Plataforma MISYNO — módulo Fichaje, captura GPS desde dispositivo móvil Versión del texto legal asociado: 2026-05-21-v1

Este documento es la DPIA formal que respalda el tratamiento de geolocalización en el módulo Fichaje cuando el empleado ficha desde un dispositivo móvil. Sustituye al borrador lopdgdd-art90-gps-borrador.md v0.1 (2026-05-04) en lo relativo a la implementación actual.

Asesoría jurídica externa: pendiente de revisión.

1. Necesidad de DPIA

1.1 Base legal

• Art. 35 RGPD (Evaluación de Impacto): obligatorio cuando un tratamiento “es probable que entrañe un alto riesgo para los derechos y libertades de las personas físicas”.
• Lista de la AEPD de tratamientos sujetos a DPIA: incluye “Tratamientos que impliquen el uso de datos de localización (a gran escala o en el ámbito laboral)”.
• Art. 90 LOPDGDD (sistemas de geolocalización en el ámbito laboral): exige información previa y exhaustiva al trabajador.
• Art. 88 RGPD + Art. 20.3 ET: facultades empresariales de control sobre el trabajador, sujetas a proporcionalidad.
• Guía de la AEPD sobre uso de tecnologías de control de la actividad laboral (octubre 2024).

1.2 Por qué procede

La geolocalización del empleado en el momento del fichaje:

• Trata datos personales en contexto laboral, donde el empleado está en posición de subordinación → consentimiento no es base legal válida por sí solo (Considerando 43 RGPD).
• Permite inferir patrones de presencia, hábitos, identificación de domicilio cuando se ficha en remoto.
• El despliegue es a escala: todos los empleados de cada empresa cliente que active el módulo Fichaje y opten por móvil.

Conclusión: procede DPIA formal.

2. Descripción del tratamiento

2.1 Datos tratados

• Coordenadas (latitud, longitud) capturadas por el navegador del dispositivo móvil en el instante exacto en que el empleado pulsa “Fichar” en la app web.
• Precisión variable según el dispositivo: 5 m – 200 m típicos.
• No se almacena historial de movimiento.
• No se ejecuta tracking en segundo plano.
• No se accede a la ubicación cuando el empleado no está fichando.

2.2 Cuándo se captura

Sólo cuando concurren las tres condiciones:

1. El dispositivo desde el que se ficha es móvil/tablet (UA match con Android|iPhone|iPad|iPod|Mobile|Tablet).
2. El empleado ha aceptado expresamente el texto legal de geolocalización vía el modal FichajeGeoConsentModal.
3. El navegador concede permiso de geolocalización (segunda capa nativa del sistema operativo).

Si el empleado rechaza el modal, los fichajes desde móvil se guardan sin coordenadas (lat = NULL, lon = NULL). El derecho a fichar nunca queda condicionado al GPS.

2.3 Dónde se almacena

Tabla fichajes (campo lat, lon REAL nullable) de la base de datos del Cliente correspondiente, alojada en servidores de Misyno dentro del EEE (Alemania, Hetzner).

2.4 Trazabilidad del consentimiento

Tabla fichaje_geo_consents:

• user_id, empresa_id
• decision (acepta | rechaza)
• texto_version (versión del texto legal que se mostró)
• ip, user_agent (registro forense)
• created_at (timestamp)

Cada decisión es un INSERT nuevo — el histórico se mantiene para poder demostrar cuándo y qué versión del texto aceptó cada trabajador.

3. Responsabilidad y roles

Misyno no usa los datos GPS para fines propios distintos de la prestación del servicio. No los cede a terceros (salvo subencargados estrictamente necesarios para alojamiento).

4. Base legal

La base legal NO es el consentimiento: la AEPD considera que en una relación laboral el consentimiento “no es libre” por la asimetría de poder, de modo que no constituye una base válida. El tratamiento se apoya en:

1. Cumplimiento de una obligación legal (Art. 6.1.c RGPD): el registro horario es obligatorio (RD-ley 8/2019).
2. Interés legítimo del empresario (Art. 6.1.f RGPD + Art. 20.3 ET): para el dato de geolocalización en el momento del fichaje, como control razonable y proporcionado de la jornada.

Que el empleado pueda rechazar el GPS y fichar igualmente (sin ubicación) es una medida de proporcionalidad y minimización, no la base jurídica del tratamiento.

5. Análisis de necesidad y proporcionalidad

5.1 Finalidad legítima

• Cumplir el RD-ley 8/2019 (registro horario obligatorio fiable).
• Verificar dónde se ficha cuando hay obligación contractual de presencia (rondas, visitas, jornada en sede vs remoto).
• Detectar anomalías (fichaje desde ubicación incompatible con el puesto).

5.2 Necesidad

El registro horario es obligatorio. La ubicación no lo es. Por eso:

• La empresa Cliente decide si activar o no GPS para su plantilla.
• Cada empleado decide si acepta o no en su dispositivo.
• Si rechazan, los fichajes son válidos igual.

5.3 Proporcionalidad

• Mínimos datos: sólo coordenadas, no histórico ni dirección inversa.
• Momento exacto: sólo al pulsar Fichar, no en background.
• Sin enriquecimiento: no se cruza con redes sociales, movilidad, etc.
• Conservación limitada: 4 años (alineado RD-ley 8/2019), luego se anonimiza (cron retention-cron purga lat/lon, conserva el fichaje).

6. Riesgos identificados y medidas

6.1 Riesgo: vigilancia desproporcionada

Mitigación:

• Texto legal con 8 bloques explicando: qué se captura, cuándo, con qué base, retención, derechos, rechazo posible, sólo primera vez, dispositivo personal.
• El empleado puede cambiar la decisión desde /mi-fichaje → “Mi consentimiento GPS”.
• Auditoría: cada decisión queda registrada con IP/UA/timestamp.

6.2 Riesgo: consentimiento no libre

Mitigación:

• Rechazo no impide fichar. El empleado ficha igualmente, solo sin coordenadas.
• No hay impacto disciplinario ni evaluativo derivado del rechazo (cláusula expresa en DPA Cliente).
• El empleado puede revocar el consentimiento en cualquier momento.

6.3 Riesgo: filtración a terceros

Mitigación:

• Datos GPS sólo accesibles a: super (Misyno técnico), admin de la empresa Cliente y el propio empleado (sobre los suyos).
• TLS 1.3 obligatorio en transporte.
• Base de datos sin cifrado de columna (no aplica), pero acceso por roles + audit log.
• Sub-encargados (Hetzner, DanubeData) con SCC/UE.

6.4 Riesgo: error de localización (falso positivo)

Mitigación:

• Precisión declarada en el texto legal (5 m – 200 m según dispositivo).
• Ninguna decisión laboral automatizada se toma sobre la coordenada. La revisa siempre un humano (admin) antes de cualquier acción.

6.5 Riesgo: identificación de domicilio en teletrabajo

Mitigación:

• El empleado se informa de que el fichaje desde su domicilio revelará la ubicación aproximada de éste.
• Recomendación al Cliente: no activar GPS si la modalidad es teletrabajo declarado (no aporta valor de control).
• El empleado puede rechazar → ficha sin coordenadas.

6.6 Riesgo: cambios futuros en el texto legal

Mitigación:

• Cada decisión guarda texto_version. Si subimos a v2, el modal vuelve a salir y exige nueva aceptación (necesita_reconfirmar = true).
• La página /mi-fichaje muestra al empleado si hay una versión nueva pendiente de reconfirmar.

7. Derechos del interesado

Plazo de respuesta: un mes (art. 12.3 RGPD), prorrogable a dos en casos complejos.

8. Consulta a representación legal de trabajadores

Art. 64 ET, Art. 90 LOPDGDD: el Cliente debe consultar al Comité de Empresa o delegados de personal antes de implantar el sistema de geolocalización, e informarles de:

• Categorías de datos tratados.
• Finalidad y base legal.
• Plazo de conservación.
• Mecanismo de consentimiento.
• Derechos del trabajador.

Misyno facilita al Cliente:

• Texto legal estandarizado (texto-legal-gps-fichaje.js).
• Modelo de notificación al Comité (ver docs/legal/textos-ui-mailbox-baja.md para precedente).
• Configuración por empresa: activar/desactivar GPS en cualquier momento.

9. Decisión y plan de acción

9.1 Decisión

APROBADO con condiciones.

El tratamiento de geolocalización en fichaje móvil tal como está implementado a fecha 2026-05-21 se considera proporcional y ajustado a derecho siempre que:

1. El Cliente consulte previamente con la representación legal de trabajadores.
2. Cada empleado vea y acepte el texto legal antes de la primera captura GPS.
3. El rechazo no acarree consecuencias laborales.
4. Misyno aplique la política de retención automatizada.

9.2 Acciones pendientes

• Revisión por asesoría jurídica externa (pendiente).
• Plantilla de comunicación al Comité (pendiente).
• Auditoría periódica anual del cumplimiento del consent.
• Test de regresión que valide:
  • Modal sale en móvil sin decisión previa.
  • Modal NO sale en desktop.
  • Modal vuelve a salir si cambia texto_version.
  • Rechazo guarda fichaje sin coords.

9.3 Próxima revisión

• Fecha programada: 2027-05-21 (anual).
• O antes si:
  • Cambia el texto legal.
  • La AEPD publica nueva guía.
  • Se detecta un incidente.

10. Referencias

• RGPD (Reglamento UE 2016/679), Arts. 5, 6, 7, 13, 17, 21, 28, 32, 35, 88, 89.
• LOPDGDD (LO 3/2018), Arts. 87, 88, 89, 90, 91.
• Real Decreto-ley 8/2019 — registro de jornada.
• Estatuto de los Trabajadores, Arts. 20.3, 64.
• Guía AEPD “Uso de tecnologías de control de la actividad laboral” (oct. 2024).
• Borradores previos: lopdgdd-art90-gps-borrador.md, dpia-monitorizacion-laboral.md.
• Implementación técnica:
  • backend/src/lib/texto-legal-gps-fichaje.js
  • backend/src/routes/fichaje.js (endpoints /geo-consent)
  • backend/src/db/migrations/0075_fichaje_geo_consent.sql
  • backend/src/lib/retention-cron.js (anonimización 4 años)
  • frontend/src/components/FichajeGeoConsentModal.jsx
  • frontend/src/components/FicharWidget.jsx
  • frontend/src/pages/MiFichajePage.jsx

Firmado (cuando esté validado):