Geolocalización de trabajadores: la regla que multó a un gigante

La furgoneta sale del almacén a las siete, hace seis paradas, vuelve a las cuatro, y en algún punto de ese recorrido alguien decidió que el GPS del móvil de empresa debía estar encendido todo el día. Nadie se lo dijo al conductor con esas palabras. Simplemente la aplicación de flota llegó con la opción activada, y la opción registraba dónde estaba la persona a cada minuto, comiendo, repostando, parada en un semáforo. El responsable de la empresa lo veía como una mejora de la organización. La Agencia Española de Protección de Datos lo ve de otra manera, y en 2026 lo deja todavía más claro que antes.

El punto de partida es engañosamente sencillo. El artículo 90 de la LOPDGDD permite tratar datos de geolocalización para el control laboral que el artículo 20.3 del Estatuto de los Trabajadores reconoce al empleador. Es decir, sí, puedes saber dónde está la persona durante su jornada cuando hay una razón ligada al trabajo. Lo que la ley no te da es un cheque en blanco. La misma norma que abre la puerta pone el marco: la finalidad tiene que estar acotada, los datos tienen que ser los mínimos imprescindibles, el trabajador tiene que estar informado de forma expresa y clara, y debe existir una base jurídica de verdad, no un consentimiento arrancado a quien teme decir que no.

Ahí es donde se rompen casi todos los sistemas que dan problemas. La AEPD insiste en un criterio que conviene grabarse: no todo lo que es técnicamente posible es legalmente admisible. Si para fichar la entrada y la salida basta con saber que la persona estaba en el sitio del cliente a esa hora, no necesitas un rastro continuo de toda la jornada. La localización permanente solo se sostiene cuando hay una justificación específica y no existe un medio menos invasivo para lograr lo mismo. Cuando hay una alternativa más respetuosa y la empresa elige igualmente la más intrusiva, el principio de minimización ya está incumplido antes de que nadie mire los detalles.

La transparencia no es un trámite, es la base

El otro pilar es la información, y es el que más empresas dan por hecho. La hoja de fichaje firmada en la incorporación, ese papel que nadie lee, no equivale a informar sobre una geolocalización. La AEPD pide que la persona y sus representantes sepan de forma inequívoca que existe el tratamiento, para qué sirve, qué se registra y durante cuánto tiempo se conserva. Conservar doce meses de rastro cuando para nóminas y para una eventual inspección basta con el momento del fichaje no es prudencia, es acumulación de un riesgo que no aporta nada. Y la transparencia tampoco es un cartel pegado en la pared: es entender que la persona controlada tiene derecho a saber, en cualquier momento, qué se está haciendo con su ubicación. Si tienes que explicar el sistema en voz baja, probablemente el sistema ya te está avisando de algo.

Conviene también desmontar el mito del consentimiento como salvavidas. En una relación laboral, donde una parte manda y la otra cobra a fin de mes, el consentimiento rara vez es libre, y la propia AEPD lo sabe. Por eso la base jurídica correcta para el control de jornada no es el “sí” del trabajador, sino el contrato y las facultades de control del artículo 20.3 del Estatuto, ejercidas dentro de los límites del artículo 90 de la LOPDGDD. Pedir un consentimiento que no es libre y apoyarse en él para justificar un tratamiento desproporcionado es uno de los caminos más rápidos hacia un expediente. Si quieres profundizar en cómo encaja todo esto, lo desarrollamos en esta guía sobre geolocalización de empleados y la LOPDGDD.

La misma regla que multó a Amadeus

Si piensas que esto solo aprieta a la pyme con tres furgonetas, vale la pena mirar hacia arriba. En mayo de 2026 la AEPD cerró el expediente EXP202315175 contra Amadeus IT Group con un pago voluntario de 14,4 millones de euros, rebajados desde una sanción inicial de 18 millones. ¿El motivo? La compañía reutilizó datos de reservas de pasajeros para un proyecto piloto de perfilado sin una base jurídica que lo amparase y sin informar a las personas afectadas. No hablamos de geolocalización de trabajadores, hablamos de un gigante tecnológico, pero el esqueleto del caso es exactamente el mismo que el de la furgoneta del principio: tratar datos personales para una finalidad que la gente no conocía, sin una base legal sólida detrás. Lo puedes leer con más detalle en el análisis de la multa a Amadeus.

Cambia la escala, no la sustancia. Los principios que la AEPD aplica a una multinacional son los mismos que aplica a quien gestiona un equipo de limpieza o de mantenimiento: finalidad concreta, datos mínimos, transparencia real y una base jurídica que se sostenga. Por eso desarrollamos GeoTapp justamente al revés de como nace el problema. La aplicación captura la ubicación solo en dos momentos, un toque para empezar y un toque para terminar, y no antes ni en medio ni después. No hay rastro continuo de la jornada, no se almacena un historial de coordenadas que nadie pidió, y el trabajador sabe en todo momento qué registra la herramienta porque está diseñada para que lo sepa. No es una decisión cosmética. Es que un sistema construido para vigilar de forma permanente es, por diseño, un sistema construido para meterte en problemas, y nosotros preferimos que la prueba de la jornada sea sólida precisamente porque es mínima.

La pregunta que deja 2026 sobre la mesa no es si puedes geolocalizar a tu equipo, porque puedes. La pregunta es si tu sistema guarda solo lo que necesita o se ha quedado con todo “por si acaso”, que es justo lo que la AEPD ya no perdona. ¿Sabrías responderla mirando tu herramienta de fichaje ahora mismo?