Si la teva empresa utilitza l’empremta dactilar, el reconeixement facial o un altre sistema biomètric per registrar la jornada laboral o controlar l’accés a les instal·lacions, aquesta sentència t’interessa.
El 30 de juny de 2026, l’Audiència Nacional va anul·lar l’aprovació i la publicació de la Guia sobre tractaments de control de presència mitjançant sistemes biomètrics de l’Agència Espanyola de Protecció de Dades (AEPD).
Ara bé, la resolució no declara que el fitxatge biomètric sigui lícit ni dona via lliure a les empreses per implantar-lo. La Guia s’anul·la pel procediment utilitzat per aprovar-la, no perquè l’Audiència Nacional consideri incorrectes els seus criteris de fons.
T’expliquem què ha passat, què canvia realment i què haurien de revisar les empreses que utilitzen aquests sistemes.
Et pot interessar: Dades biomètriques: Què són i com tractar-les segons la llei de protecció de dades?
Què ha passat amb la Guia de biometria?
La Sentència 367/2026, de 30 de juny, de la Sala Contenciosa Administrativa de l’Audiència Nacional, estima el recurs presentat per l’Associació Espanyola d’Empreses de Seguretat i deixa sense efecte l’aprovació i la publicació de la Guia de biometria de l’AEPD.
La Guia, publicada el 23 de novembre de 2023, establia els criteris de l’Agència per utilitzar dades biomètriques en sistemes de registre de jornada i control d’accés, tant en l’àmbit laboral com no laboral.
El document adoptava un enfocament restrictiu i exigia, entre altres qüestions, analitzar la necessitat i proporcionalitat del sistema, valorar alternatives menys invasives i revisar els riscos derivats del tractament.
Et pot interessar: Registra la jornada laboral a temps real i de forma digital
L’Audiència Nacional, però, no analitza si aquests criteris són correctes o incorrectes. La qüestió que resol és si l’AEPD podia aprovar-los mitjançant una guia o si, pels seus efectes, havia de seguir el procediment legal previst per aprovar una circular.
Per què l’Audiència Nacional l’ha anul·lat?
L’AEPD va publicar el document com una guia orientativa, emparant-se en la disposició addicional divuitena de la LOPDGDD, que li permet elaborar eines i orientacions per facilitar el compliment de la normativa.
L’Audiència Nacional recorda, però, una regla clàssica del dret administratiu: la naturalesa d’un document no depèn del nom que li hagi donat l’Administració (el seu nomen iuris), sinó del seu contingut i dels efectes que produeix.
La Guia no es limitava a formular recomanacions, sinó que:
- Establia criteris formulats en termes taxatius.
- Configurava un marc restrictiu per implantar sistemes biomètrics.
- Condicionava les decisions dels responsables del tractament.
- Contenia criteris que l’AEPD utilitzava en resolucions posteriors.
- Produïa efectes sobre empreses i tercers, més enllà del funcionament intern de l’Agència.
Et pot interessar: L’AEPD publica una nova guia sobre la utilització de les dades biomètriques
Per això, la Sala conclou que la Guia tenia, materialment, la naturalesa d’una circular de l’AEPD. En conseqüència, s’hauria d’haver tramitat d’acord amb l’article 55 de la LOPDGDD i l’article 6 de l’Estatut de l’AEPD, en lloc d’aprovar-se com una simple guia.
Quin procediment s’hauria d’haver seguit?
Les circulars de l’AEPD fixen els criteris que seguirà l’Agència en aplicar la normativa de protecció de dades. Per això, la seva aprovació està sotmesa a un procediment específic amb garanties de participació i control jurídic.
Entre els tràmits principals, s’inclouen:
- Un informe tècnic que justifiqui la necessitat i el contingut de la circular.
- Un informe jurídic del Gabinet Jurídic de l’AEPD.
- Un tràmit d’audiència i informació pública, amb caràcter general durant un mínim de quinze dies hàbils.
- La possibilitat de consultar altres organismes de l’Administració afectats.
- Una memòria justificativa i l’expedient complet.
- El dictamen preceptiu del Consell d’Estat.
- L’aprovació de la Presidència de l’AEPD i la posterior publicació al BOE.
L’Estatut permet reduir el termini d’audiència fins a set dies hàbils quan existeixin motius justificats i només permet ometre’l per raons greus d’interès públic, que s’han de motivar expressament.
La Guia de biometria no es va tramitar mitjançant aquest procediment. Per a l’Audiència Nacional, aquesta omissió no és una simple formalitat: impedeix que les empreses i els sectors afectats puguin participar en l’elaboració dels criteris i que existeixi un control jurídic previ sobre el seu contingut.
Per què aquesta sentència és important més enllà de la biometria?
També fixa un límit a la manera com l’AEPD pot publicar criteris que, tot i presentar-se com a orientacions, instruccions o guies, acaben condicionant les decisions de les empreses.
Una guia pot servir per informar o facilitar el compliment de la normativa. Però, si estableix criteris generals que l’Agència aplicarà després en les seves resolucions, ja no actua com una simple recomanació. En aquest cas, s’ha de tramitar amb les garanties previstes per a les circulars.
Això també permet que les empreses puguin impugnar aquests criteris abans que s’apliquin sancions. En cas contrari, haurien d’esperar a rebre una sanció per poder discutir-ne la legalitat.
Què no canvia amb aquesta sentència?
És important no interpretar la resolució com una autorització general per utilitzar l’empremta dactilar, el reconeixement facial o altres sistemes biomètrics.
La sentència:
- No declara que el registre de jornada mitjançant dades biomètriques sigui lícit en qualsevol circumstància.
- No estableix que les empreses puguin implantar aquests sistemes sense una base jurídica adequada.
- No elimina l’obligació d’analitzar la necessitat i la proporcionalitat del tractament.
- No deixa sense efecte els principis de minimització, protecció de dades des del disseny i seguretat.
- No exclou la necessitat de fer una avaluació d’impacte quan el tractament pugui comportar un alt risc per als drets i les llibertats de les persones.
L’Audiència Nacional no valida ni invalida el contingut material de la Guia. El que conclou és que, a causa de la naturalesa i els efectes dels criteris que contenia, no es podia aprovar com una simple orientació sense seguir el procediment previst per a les circulars.
Per tant, l’anul·lació del document no elimina les obligacions que deriven directament del Reglament general de protecció de dades. El RGPD continua protegint les dades biomètriques quan es tracten amb la finalitat d’identificar de manera unívoca una persona, i manté les exigències de licitud, necessitat, proporcionalitat, minimització i responsabilitat proactiva.
Et pot interessar: Coordinació d’Activitats Empresarials (CAE) i protecció de dades: què cal tenir en compte per complir la normativa?
Pot l’AEPD tornar a aprovar aquests criteris?
L’AEPD podria tornar a formular criteris iguals o similars, però, si tenen la finalitat de determinar amb caràcter general com actuarà l’Agència, haurà de tramitar-los com una circular.
Només després de la publicació de la circular, aquesta compliria amb l’obligació prevista per la LOPDGDD.
Ara bé, seguir correctament el procediment no impediria que el contingut de la futura circular pogués ser revisat pels tribunals. La tramitació correcta resol el defecte procedimental apreciat en aquesta sentència, però no exclou el control judicial sobre la legalitat material dels criteris que s’aprovin.
Què implica per a les empreses que utilitzen biometria?
La desaparició de la Guia com a acte aprovat i publicat no crea un buit legal. Les empreses continuen sent responsables de demostrar que el tractament biomètric compleix el RGPD i la LOPDGDD.
Cada organització ha d’analitzar el seu tractament concret i poder justificar per què la biometria és necessària per assolir la finalitat perseguida.
En particular, convé revisar:
- La finalitat del sistema: cal definir si s’utilitza per registrar la jornada, controlar l’accés o complir una altra finalitat.
- La base jurídica: s’ha d’identificar tant la base que legitima el tractament com, quan correspongui, l’excepció que permet tractar categories especials de dades.
- La necessitat del sistema: l’empresa ha de poder explicar per què no és suficient una targeta, un codi personal, una aplicació o un altre mecanisme menys intrusiu.
- La proporcionalitat: els beneficis del sistema han de justificar l’impacte que té sobre la privacitat de les persones.
- L’avaluació d’impacte: quan el tractament pugui generar un alt risc, l’avaluació s’ha de fer abans d’implantar-lo i ha d’incloure les mesures previstes per reduir aquests riscos.
- Les garanties tècniques i organitzatives: cal revisar com s’obtenen, transformen, emmagatzemen i eliminen les dades o plantilles biomètriques, qui hi té accés i durant quant de temps es conserven.
- La informació a les persones afectades: persones treballadores, clients o usuaris han de rebre una informació clara sobre el tractament i sobre l’exercici dels seus drets.
Et pot interessar: Què és i per què la teva empresa ha de complir la llei de protecció de dades?
El Comitè Europeu de Protecció de Dades continua considerant que l’ús de dades biomètriques comporta riscos elevats i que s’ha de respectar la licitud, la necessitat, la proporcionalitat i la minimització. Per tant, moltes de les cauteles que apareixien a la Guia no depenien exclusivament d’aquell document, sinó que deriven del mateix RGPD i de la doctrina europea.
I els encarregats del tractament?
Els proveïdors de sistemes biomètrics també haurien de revisar els serveis que ofereixen i la documentació contractual que faciliten als seus clients.
Que una tecnologia estigui disponible al mercat no significa que pugui utilitzar-se legítimament en qualsevol context. El responsable del tractament ha de valorar la licitud del sistema, però l’encarregat també ha d’oferir garanties suficients i aplicar les mesures tècniques i organitzatives establertes en el contracte.
Per això, és recomanable revisar les funcionalitats del producte, la ubicació de les dades, els terminis de conservació, la gestió de les plantilles biomètriques, l’accés de subcontractistes i les mesures previstes davant d’una possible bretxa de seguretat.
Et pot interessar: Com garantir el compliment de la llei de protecció de dades en el teu negoci?
La conclusió, per tant, és clara: la sentència modifica el valor jurídic de la Guia, però no converteix la biometria en una opció automàticament vàlida per registrar la jornada o controlar accessos.
Si l’empresa no pot acreditar que el sistema és necessari, proporcional i més adequat que les alternatives menys invasives, hauria de valorar-ne la substitució. I, si pot justificar-lo, haurà de conservar la documentació que demostri aquesta anàlisi i mantenir actualitzades les mesures de seguretat i l’avaluació dels riscos.
La teva empresa utilitza l’empremta dactilar, el reconeixement facial o un altre sistema biomètric? Aquest és un bon moment per revisar la base jurídica, l’avaluació d’impacte i les alternatives menys invasives abans que l’AEPD torni a fixar els seus criteris pel procediment corresponent.