≡En resumen
- ZKTeco fabrica terminales de huella, reconocimiento facial, palma y tarjeta para fichar y controlar accesos.
- En España el registro diario de jornada es obligatorio desde el 12 de mayo de 2019 (art. 34.9 del Estatuto de los Trabajadores).
- La ley obliga a registrar la jornada, pero no exige ni ampara por sí sola el uso de biometría para hacerlo.
- La AEPD considera la biometría para fichar un tratamiento de alto riesgo que exige una evaluación de impacto previa.
- En 2024 Kaspersky publicó 24 vulnerabilidades en un terminal biométrico de ZKTeco: la seguridad del dispositivo también cuenta.
01 ¿Qué es ZKTeco?
Según su propia cronología, el equipo fundador empezó a desarrollar algoritmos de huella dactilar en 1998, y la compañía se constituyó oficialmente en 2007, cuando empezó a vender fuera de China. Después añadió reconocimiento de vena, palma y rostro, y en 2015 lanzó su plataforma ZKBioSecurity. Tiene su sede en Dongguan (provincia de Guangdong) y cotiza en el mercado ChiNext de la Bolsa de Shenzhen desde el 17 de agosto de 2022. En Europa opera con una filial que tiene web propia y líneas de producto específicas para el mercado europeo.
02 Productos y software de ZKTeco
Control de presencia
Terminales de fichaje con huella, cara, palma, tarjeta o PIN, y software para calcular horas, turnos y ausencias.
Control de acceso
Lectores y controladoras para puertas, con permisos por persona, zona y horario.
Control de entrada
Torniquetes, barreras y pasillos para oficinas, gimnasios o estaciones.
Videovigilancia
Cámaras y grabadores, a veces combinados con reconocimiento facial.
Cerraduras
Cerraduras para hoteles, apartamentos y viviendas con tarjeta, código o app.
Software y nube
ZKBio Time para presencia, ZKBioSecurity para seguridad integrada y ZKBio Zlink como plataforma en la nube para pymes.
La mayoría de clientes no compra a ZKTeco directamente, sino a distribuidores e instaladores, que suelen combinar el terminal con un software de gestión de personal propio o de terceros. Al elegir, fíjate tanto en el hardware como en cómo se exportan los datos, dónde se guardan y quién tiene acceso a ellos.
03 Métodos de identificación: de la tarjeta a la cara
| Método | Cómo funciona | Datos personales que trata |
|---|---|---|
| Tarjeta RFID o llavero | Se acerca al lector | Identificador de la tarjeta; no biométrico |
| PIN o código | Se teclea en el terminal | Código; no biométrico, pero se puede prestar |
| App móvil o QR | Se ficha desde el teléfono, a veces con ubicación | Identificador y, si se activa, geolocalización |
| Huella dactilar | Se compara con una plantilla guardada | Dato biométrico (categoría especial del RGPD) |
| Reconocimiento facial | Una cámara compara el rostro con una plantilla | Dato biométrico (categoría especial del RGPD) |
| Palma o vena | Lectura de la palma o de las venas del dedo | Dato biométrico (categoría especial del RGPD) |
04 El registro de jornada en España
El Real Decreto-ley 8/2019 añadió el apartado 9 al artículo 34 del Estatuto de los Trabajadores. Desde el 12 de mayo de 2019, toda empresa debe llevar un registro diario de jornada con la hora concreta de inicio y fin de cada trabajador, conservarlo cuatro años y tenerlo a disposición de la plantilla, sus representantes y la Inspección de Trabajo. La norma vigente no impone un sistema concreto: vale el papel, una hoja de cálculo, una app o un terminal.
- ✓Registrar cada día la hora de entrada y de salida de cada trabajador, incluidos los que trabajan a distancia.
- ✓Conservar los registros durante cuatro años.
- ✓Ponerlos a disposición de los trabajadores, sus representantes y la Inspección de Trabajo.
- ✓Organizar el sistema por convenio, acuerdo de empresa o, en su defecto, decisión del empresario tras consultar a los representantes.
- ✓Informar a la plantilla de qué datos se tratan y con qué finalidad, conforme al RGPD.
05 Biometría, RGPD y la guía de la AEPD
En noviembre de 2023 la Agencia Española de Protección de Datos (AEPD) publicó su guía sobre tratamientos de control de presencia mediante sistemas biométricos, que revisó su criterio anterior de 2021. Sus conclusiones afectan directamente a quien instala terminales de huella o reconocimiento facial para fichar:
- ✓Usar biometría para identificar o autenticar en el control de presencia es un tratamiento de alto riesgo con datos de categoría especial.
- ✓Para ampararse en el artículo 9.2.b del RGPD haría falta una norma con rango de ley que prevea la biometría para esta finalidad, y la AEPD concluye que la normativa española actual no la contiene.
- ✓En el ámbito laboral, el consentimiento del trabajador no sirve como base, por el desequilibrio entre empleado y empresa.
- ✓Antes de empezar es obligatoria una evaluación de impacto que supere el triple juicio de idoneidad, necesidad y proporcionalidad.
- ✓Hay que justificar por qué no bastan alternativas menos intrusivas, como tarjetas, códigos o sistemas sin contacto.
En la práctica, muchas empresas han pasado a fichar con tarjeta, PIN o app en terminales que antes usaban huella. Si quieres entender el marco general, la ficha sobre la Ley de Protección de Datos resume las obligaciones básicas. Esto no es asesoramiento jurídico: ante un caso concreto, consulta a tu delegado de protección de datos o a un abogado laboralista.
06 Seguridad de los terminales: el caso Kaspersky
El 11 de junio de 2024, Kaspersky publicó el análisis de un terminal biométrico híbrido de ZKTeco en el que encontró 24 vulnerabilidades, entre ellas inyecciones SQL, desbordamientos de búfer e inyecciones de comandos. Según la empresa de ciberseguridad, un atacante podía saltarse la verificación con un código QR manipulado, robar datos biométricos o instalar puertas traseras. Kaspersky informó al fabricante antes de publicarlo y, en ese momento, no tenía datos sobre si se habían publicado parches. Cada fallo es una vulnerabilidad que se corrige actualizando el firmware.
-
1
Aísla el terminal
Colócalo en un segmento de red separado del resto de equipos, con un cortafuegos entre ambos.
-
2
Cambia las contraseñas
Sustituye las credenciales de administrador por defecto por otras robustas.
-
3
Actualiza el firmware
Revisa periódicamente las actualizaciones del fabricante o del distribuidor.
-
4
Reduce funciones
Desactiva lo que no uses, como el acceso por QR, y revisa los ajustes de seguridad.
-
5
Minimiza datos
Si no necesitas biometría, no la actives: lo que no se guarda no se puede robar.
07 Cómo elegir un sistema de fichaje
| Opción | Encaja con | A tener en cuenta |
|---|---|---|
| Terminal con tarjeta o PIN | Centros con entrada física común | Sin biometría, menor riesgo; la tarjeta se puede prestar |
| Terminal biométrico | Casos muy justificados tras una evaluación de impacto | Alto riesgo según la AEPD y base legal difícil en el ámbito laboral |
| App o web de fichaje | Teletrabajo, equipos móviles y varias sedes | Si usa geolocalización, limitarla al momento del fichaje e informar |
| Software integrado con nóminas | Empresas con turnos complejos | Comprueba exportaciones, conservación de 4 años y acceso para la Inspección |
Si ninguna solución estándar encaja con tus turnos o tu ERP, una opción es un software de gestión a medida. En appyweb trabajamos el desarrollo de aplicaciones web a medida y el desarrollo de aplicaciones empresariales para móvil, incluidos sistemas de fichaje que no necesitan datos biométricos.
Preguntas frecuentes sobre ZKTeco
Es un fabricante chino de terminales y software de biometría, control de acceso y control de presencia, con sede en Dongguan y cotizado en la Bolsa de Shenzhen desde 2022.
Según la guía de la AEPD de noviembre de 2023, es un tratamiento de alto riesgo sin una norma legal española que lo ampare y en el que el consentimiento del trabajador no vale como base. Requiere evaluación de impacto previa y justificar que no hay alternativa menos intrusiva.
Sí. Desde el 12 de mayo de 2019 todas las empresas deben registrar a diario el inicio y el fin de la jornada de cada trabajador y conservar los registros cuatro años (art. 34.9 del Estatuto de los Trabajadores).
El Gobierno tramita desde 2025 un real decreto para exigirlo, pero a 29 de septiembre de 2026 no hemos podido confirmar su publicación en el BOE. Comprueba el BOE antes de decidir.
El fabricante ofrece ZKBio Time para control de presencia, ZKBioSecurity para seguridad integrada y ZKBio Zlink en la nube, entre otros; muchos distribuidores los conectan con su propio software.
En junio de 2024 Kaspersky publicó 24 vulnerabilidades en uno de sus terminales híbridos. Conviene aislarlos en la red, cambiar contraseñas por defecto y actualizar el firmware.
Tarjetas o llaveros RFID, códigos PIN, apps o webs de fichaje y sistemas sin contacto. Todas sirven para cumplir el registro de jornada con menos riesgo para la privacidad.
Fuentes consultadas
Sobre el autor
Germán Gutiérrez
Development Manager en appyweb
Dirige el equipo de desarrollo de appyweb: aplicaciones web y móviles, SaaS, integraciones y arquitectura de software.
Ver perfil en LinkedIn ↗