Si tu empresa utiliza la huella dactilar, el reconocimiento facial u otro sistema biométrico para registrar la jornada laboral o controlar el acceso a las instalaciones, esta sentencia te interesa.
El 30 de junio de 2026, la Audiencia Nacional anuló la aprobación y la publicación de la Guía sobre tratamientos de control de presencia mediante sistemas biométricos de la Agencia Española de Protección de Datos (AEPD).
Ahora bien, la resolución no declara que el fichaje biométrico sea lícito ni da vía libre a las empresas para implantarlo. La Guía se anula por el procedimiento utilizado para aprobarla, no porque la Audiencia Nacional considere incorrectos sus criterios de fondo.
Te explicamos qué ha ocurrido, qué cambia realmente y qué deberían revisar las empresas que utilizan estos sistemas.
Te puede interesar: Datos biométricos: ¿Qué son y cómo tratarlos según la ley de protección de datos?
¿Qué ha ocurrido con la Guía de biometría?
La Sentencia 367/2026, de 30 de junio, de la Sala Contenciosa Administrativa de la Audiencia Nacional, estima el recurso presentado por la Asociación Española de Empresas de Seguridad y deja sin efecto la aprobación y la publicación de la Guía de biometría de la AEPD.
La Guía, publicada el 23 de noviembre de 2023, establecía los criterios de la Agencia para utilizar datos biométricos en sistemas de registro de jornada y control de acceso, tanto en el ámbito laboral como no laboral.
El documento adoptaba un enfoque restrictivo y exigía, entre otras cuestiones, analizar la necesidad y proporcionalidad del sistema, valorar alternativas menos invasivas y revisar los riesgos derivados del tratamiento.
Te puede interesar: Registra la jornada laboral en tiempo real y de forma digital
La Audiencia Nacional, sin embargo, no analiza si estos criterios son correctos o incorrectos. La cuestión que resuelve es si la AEPD podía aprobarlos mediante una guía o si, por sus efectos, debía seguir el procedimiento legal previsto para aprobar una circular.
¿Por qué la Audiencia Nacional la ha anulado?
La AEPD publicó el documento como una guía orientativa, amparándose en la disposición adicional decimoctava de la LOPDGDD, que le permite elaborar herramientas y orientaciones para facilitar el cumplimiento de la normativa.
La Audiencia Nacional recuerda, sin embargo, una regla clásica del derecho administrativo: la naturaleza de un documento no depende del nombre que le haya dado la Administración (su nomen iuris), sino de su contenido y de los efectos que produce.
La Guía no se limitaba a formular recomendaciones, sino que:
- Establecía criterios formulados en términos taxativos.
- Configuraba un marco restrictivo para implantar sistemas biométricos.
- Condicionaba las decisiones de los responsables del tratamiento.
- Contenía criterios que la AEPD utilizaba en resoluciones posteriores.
- Producía efectos sobre empresas y terceros, más allá del funcionamiento interno de la Agencia.
Te puede interesar: La AEPD publica una nueva guía sobre la utilización de los datos biométricos
Por ello, la Sala concluye que la Guía tenía, materialmente, la naturaleza de una circular de la AEPD. En consecuencia, debería haberse tramitado de acuerdo con el artículo 55 de la LOPDGDD y el artículo 6 del Estatuto de la AEPD, en lugar de aprobarse como una simple guía.
¿Qué procedimiento debería haberse seguido?
Las circulares de la AEPD fijan los criterios que seguirá la Agencia al aplicar la normativa de protección de datos. Por ello, su aprobación está sometida a un procedimiento específico con garantías de participación y control jurídico.
Entre los trámites principales, se incluyen:
- Un informe técnico que justifique la necesidad y el contenido de la circular.
- Un informe jurídico del Gabinete Jurídico de la AEPD.
- Un trámite de audiencia e información pública, con carácter general durante un mínimo de quince días hábiles.
- La posibilidad de consultar a otros organismos de la Administración afectados.
- Una memoria justificativa y el expediente completo.
- El dictamen preceptivo del Consejo de Estado.
- La aprobación de la Presidencia de la AEPD y la posterior publicación en el BOE.
El Estatuto permite reducir el plazo de audiencia hasta siete días hábiles cuando existan motivos justificados y solo permite omitirlo por razones graves de interés público, que deben motivarse expresamente.
La Guía de biometría no se tramitó mediante este procedimiento. Para la Audiencia Nacional, esta omisión no es una simple formalidad: impide que las empresas y los sectores afectados puedan participar en la elaboración de los criterios y que exista un control jurídico previo sobre su contenido.
¿Por qué esta sentencia es importante más allá de la biometría?
También fija un límite a la manera en que la AEPD puede publicar criterios que, aunque se presenten como orientaciones, instrucciones o guías, acaban condicionando las decisiones de las empresas.
Una guía puede servir para informar o facilitar el cumplimiento de la normativa. Pero, si establece criterios generales que la Agencia aplicará después en sus resoluciones, ya no actúa como una simple recomendación. En este caso, debe tramitarse con las garantías previstas para las circulares.
Esto también permite que las empresas puedan impugnar estos criterios antes de que se apliquen sanciones. En caso contrario, tendrían que esperar a recibir una sanción para poder discutir su legalidad.
¿Qué no cambia con esta sentencia?
Es importante no interpretar la resolución como una autorización general para utilizar la huella dactilar, el reconocimiento facial u otros sistemas biométricos.
La sentencia:
- No declara que el registro de jornada mediante datos biométricos sea lícito en cualquier circunstancia.
- No establece que las empresas puedan implantar estos sistemas sin una base jurídica adecuada.
- No elimina la obligación de analizar la necesidad y la proporcionalidad del tratamiento.
- No deja sin efecto los principios de minimización, protección de datos desde el diseño y seguridad.
- No excluye la necesidad de realizar una evaluación de impacto cuando el tratamiento pueda comportar un alto riesgo para los derechos y las libertades de las personas.
La Audiencia Nacional no valida ni invalida el contenido material de la Guía. Lo que concluye es que, debido a la naturaleza y los efectos de los criterios que contenía, no podía aprobarse como una simple orientación sin seguir el procedimiento previsto para las circulares.
Por tanto, la anulación del documento no elimina las obligaciones que derivan directamente del Reglamento General de Protección de Datos. El RGPD sigue protegiendo los datos biométricos cuando se tratan con la finalidad de identificar de manera unívoca a una persona, y mantiene las exigencias de licitud, necesidad, proporcionalidad, minimización y responsabilidad proactiva.
Te puede interesar: Coordinación de Actividades Empresariales (CAE) y protección de datos: ¿qué debe tenerse en cuenta para cumplir la normativa?
¿Puede la AEPD volver a aprobar estos criterios?
La AEPD podría volver a formular criterios iguales o similares, pero, si tienen la finalidad de determinar con carácter general cómo actuará la Agencia, deberá tramitarlos como una circular.
Solo después de la publicación de la circular, esta cumpliría con la obligación prevista en la LOPDGDD.
Ahora bien, seguir correctamente el procedimiento no impediría que el contenido de la futura circular pudiera ser revisado por los tribunales. La tramitación correcta resuelve el defecto procedimental apreciado en esta sentencia, pero no excluye el control judicial sobre la legalidad material de los criterios que se aprueben.
¿Qué implica para las empresas que utilizan biometría?
La desaparición de la Guía como acto aprobado y publicado no crea un vacío legal. Las empresas siguen siendo responsables de demostrar que el tratamiento biométrico cumple el RGPD y la LOPDGDD.
Cada organización debe analizar su tratamiento concreto y poder justificar por qué la biometría es necesaria para alcanzar la finalidad perseguida.
En particular, conviene revisar:
- La finalidad del sistema: debe definirse si se utiliza para registrar la jornada, controlar el acceso o cumplir otra finalidad.
- La base jurídica: debe identificarse tanto la base que legitima el tratamiento como, cuando corresponda, la excepción que permite tratar categorías especiales de datos.
- La necesidad del sistema: la empresa debe poder explicar por qué no es suficiente una tarjeta, un código personal, una aplicación u otro mecanismo menos intrusivo.
- La proporcionalidad: los beneficios del sistema deben justificar el impacto que tiene sobre la privacidad de las personas.
- La evaluación de impacto: cuando el tratamiento pueda generar un alto riesgo, la evaluación debe realizarse antes de implantarlo y debe incluir las medidas previstas para reducir esos riesgos.
- Las garantías técnicas y organizativas: debe revisarse cómo se obtienen, transforman, almacenan y eliminan los datos o las plantillas biométricas, quién tiene acceso a ellos y durante cuánto tiempo se conservan.
- La información a las personas afectadas: personas trabajadoras, clientes o usuarios deben recibir información clara sobre el tratamiento y sobre el ejercicio de sus derechos.
Te puede interesar: ¿Qué es y por qué tu empresa debe cumplir la ley de protección de datos?
El Comité Europeo de Protección de Datos sigue considerando que el uso de datos biométricos comporta riesgos elevados y que deben respetarse la licitud, la necesidad, la proporcionalidad y la minimización. Por tanto, muchas de las cautelas que aparecían en la Guía no dependían exclusivamente de aquel documento, sino que derivan del propio RGPD y de la doctrina europea.
¿Y los encargados del tratamiento?
Los proveedores de sistemas biométricos también deberían revisar los servicios que ofrecen y la documentación contractual que facilitan a sus clientes.
Que una tecnología esté disponible en el mercado no significa que pueda utilizarse legítimamente en cualquier contexto. El responsable del tratamiento debe valorar la licitud del sistema, pero el encargado también debe ofrecer garantías suficientes y aplicar las medidas técnicas y organizativas establecidas en el contrato.
Por ello, es recomendable revisar las funcionalidades del producto, la ubicación de los datos, los plazos de conservación, la gestión de las plantillas biométricas, el acceso de subcontratistas y las medidas previstas ante una posible brecha de seguridad.
Te puede interesar: ¿Cómo garantizar el cumplimiento de la ley de protección de datos en tu negocio?
La conclusión, por tanto, es clara: la sentencia modifica el valor jurídico de la Guía, pero no convierte la biometría en una opción automáticamente válida para registrar la jornada o controlar accesos.
Si la empresa no puede acreditar que el sistema es necesario, proporcional y más adecuado que las alternativas menos invasivas, debería valorar su sustitución. Y, si puede justificarlo, deberá conservar la documentación que demuestre este análisis y mantener actualizadas las medidas de seguridad y la evaluación de los riesgos.
¿Tu empresa utiliza la huella dactilar, el reconocimiento facial u otro sistema biométrico? Este es un buen momento para revisar la base jurídica, la evaluación de impacto y las alternativas menos invasivas antes de que la AEPD vuelva a fijar sus criterios mediante el procedimiento correspondiente.