Qué significa que un registro de jornada sea «inalterable» (y qué te obliga de verdad la ley)
Inalterable no quiere decir que no se pueda tocar: corregir errores es legítimo y necesario. Quiere decir que nada se puede tocar sin que se note. Te explicamos cómo funciona el sellado por dentro y por qué protege igual a la empresa que a la plantilla.
«Registro inalterable» es de esas expresiones que aparecen en casi todas las webs del sector y pocas veces se explican. Suena a caja fuerte, y como suena bien, se repite sin contar qué hay debajo.
Vamos a contarlo: qué es, cómo funciona y por qué importa.
Primero, un malentendido: inalterable no significa intocable
Si un sistema no te dejara corregir nunca un fichaje, sería inservible. La gente se olvida de fichar la salida, se marcha con prisa, se equivoca de botón, entra sin cobertura. Un registro que no admite corrección te deja con dos malas opciones: dejarlo mal, o apañarlo por otro lado.
Corregir es legítimo. Lo que no debería poder pasar es que se corrija sin que quede rastro.
Esa es toda la idea. Inalterable no quiere decir «nadie puede tocarlo». Quiere decir: si alguien lo toca, se nota.
Qué te obliga la ley (y qué no)
Conviene separar dos cosas, porque es fácil mezclarlas.
Lo que dice la norma vigente. El artículo 34.9 del Estatuto de los Trabajadores —introducido por el Real Decreto-ley 8/2019— obliga a llevar un registro diario con el horario concreto de inicio y fin de cada persona, conservarlo cuatro años y tenerlo a disposición de los trabajadores, de sus representantes y de la Inspección de Trabajo.
Lo que no dice. No te obliga a usar sellado criptográfico, ni cadenas de hashes, ni ninguna tecnología concreta. Si lees por ahí que la ley «exige» eso, conviene cogerlo con pinzas: no es así.
Lo que la ley sí exige es, en realidad, más difícil que cualquier tecnología concreta: que el registro sea veraz. Que refleje lo que pasó de verdad. Y ahí está el matiz que se menciona poco:
La ley no te pide sellar. Te pide algo más de fondo: que tu registro sea fiable y que puedas sostenerlo. El sellado es, simplemente, una forma limpia de poder demostrarlo el día que haga falta.
Porque una cosa es que tu registro sea verdad, y otra que puedas probar que lo es. Un Excel puede contener la verdad exacta y aun así no servir como prueba: no hay forma de saber si se retocó el mes pasado.
Y sobre la reforma que viene: el reglamento de registro digital sigue en tramitación y no está publicado en el BOE. Los borradores conocidos hablan de un registro personal, inmediato, objetivo, fiable, inalterable y trazable. Es decir, la palabra aparecerá. Pero todavía no rige, y su contenido final dependerá del texto que se apruebe. No te diremos que es obligatorio antes de que lo sea.
Cómo funciona el sellado, en cristiano
La idea es antigua y muy sólida: encadenar.
Cada vez que alguien ficha, no guardamos solo la hora. Calculamos una huella digital del fichaje —a partir de quién fue, qué marcó (entrada, salida, pausa) y cuándo— con un algoritmo llamado SHA-256. Una huella es un texto de 64 caracteres que sale del contenido: si cambias una coma del original, la huella cambia entera y de forma impredecible.
El paso clave es el siguiente: esa huella se calcula incluyendo también la huella del fichaje anterior.
Así, los fichajes de cada persona quedan enlazados como los eslabones de una cadena, desde el primero hasta el último. Y eso tiene una consecuencia muy concreta:
Si se edita un fichaje de hace tres meses directamente en la base de datos, su huella deja de cuadrar. Y como esa huella entra en el cálculo del siguiente, el siguiente también deja de cuadrar. Y el siguiente. Hasta hoy.
No se rompe un eslabón: se rompe la cadena entera a partir de ahí. Por eso cuesta tanto tocar un registro sellado sin dejar rastro: no basta con cambiar el dato que interesa.
El doble sello de tiempo
Aquí hay un detalle que resuelve una tensión real, y que nos gusta explicar.
Un fichaje tiene que funcionar sin cobertura —obra, sótano, nave, polígono—, así que la hora que vale legalmente es la que marca el dispositivo en el momento, no la de cuando sincroniza horas después. Hasta ahí, todo bien.
Pero eso abre una puerta: si la hora la pone el dispositivo, en teoría alguien podría adelantar el reloj del móvil.
Por eso sellamos dos marcas de tiempo:
- La hora del evento, la que declara el dispositivo. Es la hora legal del fichaje y la única correcta cuando se ficha sin red.
- La hora del servidor, que ponemos nosotros al recibirlo y que el dispositivo no puede falsear. Entra también en la firma, así que queda congelada.
Con las dos selladas, compararlas ya dice mucho. Que la hora del evento sea anterior a la del servidor es lo normal (online, segundos; sin cobertura, las horas que tarde en haber señal). Pero que un fichaje diga haber ocurrido después de que el servidor lo recibiera es imposible, salvo que el reloj del dispositivo vaya adelantado. Eso se detecta y se marca.
Sellar no basta: hay que mirar
Un sello no sirve de nada si nadie lo revisa. Cada noche, un proceso recorre las cadenas de todas las empresas y de cada persona: empieza por el primer eslabón, recalcula cada huella y sigue los enlaces hasta el final.
Lo que busca:
- Huellas que no cuadran — un registro editado sin recalcular.
- Cadenas sin origen o con dos orígenes — falta el principio, o hay una bifurcación.
- Ramificaciones — dos fichajes que dicen venir del mismo anterior.
- Eslabones sueltos — registros a los que no se llega recorriendo la cadena.
- Relojes adelantados — dispositivos con la hora por delante.
Si algo no encaja, queda escrito en el registro de auditoría y se levanta un aviso automáticamente. No es un informe que alguien tenga que acordarse de mirar.
Por qué esto os protege a los dos
El control horario se suele presentar como una herramienta de la empresa para vigilar al trabajador. Con un registro sellado, la foto es otra: empresa y trabajador están del mismo lado.
Para la persona: sus horas no se pueden recortar a posteriori. Si un día se quedó hasta las 19:15, eso quedó sellado a las 19:15, y no hay forma de convertirlo en las 18:00 tres meses después sin que se note.
Para la empresa: puede demostrar que no lo hizo. Que es justo lo que necesita el día que alguien reclame, o el día que llame la Inspección. Sin sellado, incluso una empresa que ha actuado bien se queda sin forma de probarlo.
Un registro sellado no es un instrumento de control. Es una prueba compartida: lo mismo que protege al trabajador de que le recorten horas protege a la empresa de que se las inventen.
Cuatro preguntas útiles para tu sistema (el que sea)
Sirven para el nuestro y para cualquier otro:
- Si edito un fichaje de hace tres meses, ¿qué queda registrado? Lo sano es que exista un historial: qué se cambió, quién y cuándo.
- ¿Cómo puedo demostrar que el registro no se ha tocado? La confianza está bien, pero no es una prueba.
- ¿Qué pasa si alguien ficha sin cobertura? Debería guardarse la hora real del fichaje, no la de la sincronización.
- ¿Puedo llevarme el registro completo si un día me voy? Los datos son tuyos: deberías poder exportar los cuatro años en un formato legible, sin depender de nadie.
Este contenido es informativo y no constituye asesoramiento jurídico. Se basa en el artículo 34.9 del Estatuto de los Trabajadores (RDLeg 2/2015, modificado por el RDL 8/2019). El reglamento de registro horario digital sigue en tramitación y no está publicado en el BOE. Para decisiones concretas sobre tu empresa, consulta con un profesional.