La Audiencia Nacional anula la Guía de la AEPD sobre biometría: efectos prácticos de la sentencia
La Sentencia 367/2026, de 30 de junio de 2026, de la Audiencia Nacional (ECLI: ES:AN:2026:2870) ha anulado la Guía sobre tratamientos de control de presencia mediante sistemas biométricos publicada por la Agencia Española de Protección de Datos (AEPD) en noviembre de 2023.
La decisión tiene especial interés porque dicha Guía había supuesto un endurecimiento de los criterios aplicables al uso de biometría, como la huella dactilar, el reconocimiento facial y otros sistemas biométricos, para el control de presencia y de acceso.
Muchas empresas que utilizaban este tipo de tecnología terminaron sustituyéndola ante las dificultades para encajar el tratamiento en los criterios establecidos por la AEPD y el riesgo que suponía mantener estos sistemas.
La sentencia anula la Guía, pero conviene precisar que no declara lícito el uso de sistemas biométricos ni considera incorrectos los criterios de fondo mantenidos por la AEPD. La anulación responde, en realidad, a un defecto de carácter formal.
¿Por qué se anula la Guía de la AEPD sobre biometría?
La sentencia tiene su origen en el recurso interpuesto por la Asociación Española de Empresas de Seguridad, sector especialmente afectado por los criterios establecidos en la Guía respecto del uso de sistemas de identificación biométrica.
La cuestión que analiza la Audiencia Nacional es si la AEPD podía utilizar una simple Guía para fijar criterios que, en la práctica, estaban condicionando de forma directa la actuación de empresas y responsables del tratamiento.
La AEPD defendía que se trataba de un documento meramente orientativo. Sin embargo, la Audiencia Nacional entiende que su alcance era distinto. La propia Guía señalaba que su finalidad era determinar los criterios aplicables al control de presencia mediante sistemas biométricos y, además, esos mismos criterios estaban siendo utilizados posteriormente por la Agencia en sus resoluciones.
La sentencia considera que el documento configuraba:
“Un marco restrictivo para la implantación sistemas biométricos de tratamiento de datos para el control de presencia de personas, que indudablemente pretende influir en las decisiones que tomen los responsables del tratamiento sobre los medios de tratamiento de datos a utilizar y desalientan a los distribuidores de estos sistemas en nuestro país”.
La Audiencia Nacional basa su razonamiento en una máxima del Derecho:
“La necesidad de atender no a cómo se nombran las cosas, sino a lo que son”.
Así, que el documento se denominase “Guía” no era suficiente si, por su contenido y por sus efectos, estaba actuando en realidad como un instrumento para fijar criterios generales de aplicación frente a terceros.
Para este tipo de supuestos, la normativa prevé la figura de la Circular de la AEPD, que está sujeta a un procedimiento específico de elaboración y publicación. Como ese procedimiento no se siguió, la Audiencia Nacional concluye que la Guía tenía materialmente naturaleza de Circular y acuerda su anulación.
¿Qué consecuencias tiene la sentencia para el uso de biometría?
Considero que es importante no hacer una lectura excesivamente amplia de la resolución.
La Guía ha sido anulada, pero eso no significa que todos los criterios que contenía hayan quedado sin efecto desde un punto de vista material.
La Audiencia Nacional no entra a valorar si son o no correctas las exigencias relativas a la necesidad, proporcionalidad, minimización o evaluación de riesgos del tratamiento. Tampoco cuestiona la especial protección que el RGPD establece para los datos biométricos. Lo que censura es el procedimiento utilizado por la AEPD para establecer esos criterios con efectos generales.
Por ello, en mi opinión, debe actuarse con prudencia. La AEPD podría seguir considerando contrario a la normativa un determinado sistema biométrico si fundamenta su decisión directamente en el RGPD, la LOPDGDD, la jurisprudencia y las circunstancias concretas del tratamiento, sin necesidad de remitirse a la Guía anulada.
Biometría y control de presencia: ¿se puede fichar con huella o reconocimiento facial?
La sentencia no permite llegar a esa conclusión, pues el hecho de que la Guía haya sido anulada no supone que hayan desaparecido las exigencias derivadas directamente de la normativa de protección de datos.
Los datos biométricos destinados a identificar de manera unívoca a una persona continúan sometidos a las exigencias reforzadas establecidas en el RGPD.
Por ello, entiendo que la anulación de la Guía no debería interpretarse como una autorización para implantar sistemas de huella dactilar, reconocimiento facial u otros mecanismos biométricos de control de presencia.
La licitud de estos tratamientos seguirá dependiendo de las circunstancias concretas y, especialmente, de que exista una base jurídica suficiente que permita tratar este tipo de datos y se cumplan el resto de las obligaciones y principios establecidos en la normativa.
La empresa deberá poder justificar, entre otros extremos:
- la finalidad perseguida;
- por qué resulta necesario utilizar biometría;
- qué alternativas ha valorado;
- por qué esas alternativas no resultan adecuadas; y
- por qué considera que el tratamiento es proporcionado.
Por ello, una decisión de este tipo exige un análisis previo riguroso de las circunstancias de cada caso, que permita determinar si existe una justificación suficiente para recurrir a estos sistemas, y no debería adoptarse únicamente por el hecho de que la Guía haya sido anulada.
Conclusión sobre biometría tras la anulación de la Guía de la AEPD
La anulación de la Guía de la AEPD supone un cambio, pero no altera por sí misma el régimen jurídico aplicable al tratamiento de datos biométricos.
La Audiencia Nacional no ha declarado que estos sistemas sean lícitos ni ha invalidado de forma general los criterios de fondo utilizados por la Agencia. Lo que ha considerado incorrecto es que unos criterios con claros efectos externos se establecieran mediante una Guía sin seguir el procedimiento previsto para ello.
Por tanto, la sentencia no debe entenderse como una vía libre para la utilización de sistemas biométricos. La AEPD puede continuar aplicando directamente el RGPD y la LOPDGDD y llegar a conclusiones similares a las que mantenía hasta ahora.
Habrá que estar también atentos a la posición que adopte la AEPD, tanto para conocer si finalmente ha interpuesto o no recurso contra la sentencia como para comprobar si decide volver a fijar criterios en esta materia mediante el instrumento legalmente adecuado, por ejemplo, a través de la aprobación y publicación de una Circular.
En una materia como esta, en la que cada caso puede ser distinto, contar con un buen asesoramiento en protección de datos resulta especialmente importante antes de tomar decisiones.
Desde Devesa podemos ayudar a las empresas a revisar que sus procedimientos y sistemas cumplen correctamente con la normativa de protección de datos.
FAQ sobre biometría y la anulación de la Guía de la AEPD
¿Qué ha decidido la Audiencia Nacional sobre la Guía de la AEPD sobre biometría?
La Audiencia Nacional ha anulado la Guía sobre tratamientos de control de presencia mediante sistemas biométricos publicada por la AEPD en noviembre de 2023. La anulación responde a un defecto formal en el instrumento utilizado por la Agencia, no a que los criterios materiales contenidos en la Guía hayan sido declarados incorrectos.
¿La anulación de la Guía significa que las empresas pueden volver a utilizar biometría para fichar?
No. La sentencia no supone una autorización general para utilizar biometría mediante huella dactilar, reconocimiento facial u otros sistemas de identificación biométrica. Las empresas siguen teniendo que cumplir las exigencias establecidas en la normativa de protección de datos.
¿Por qué ha anulado la Audiencia Nacional la Guía sobre biometría?
La Audiencia Nacional considera que la Guía no actuaba únicamente como un documento orientativo, sino que establecía criterios generales capaces de condicionar las decisiones de empresas y responsables del tratamiento. Por sus efectos, entiende que tenía materialmente naturaleza de Circular de la AEPD, pero no se siguió el procedimiento previsto para aprobar este tipo de instrumento.
¿Siguen teniendo especial protección los datos biométricos?
Sí. Los datos biométricos utilizados para identificar de manera unívoca a una persona continúan sometidos a las exigencias reforzadas previstas en el RGPD. La anulación de la Guía no modifica por sí misma el régimen jurídico aplicable a este tipo de datos.
¿Puede una empresa utilizar huella dactilar o reconocimiento facial para controlar la presencia de los trabajadores?
Dependerá de las circunstancias concretas de cada caso. La empresa deberá contar con una base jurídica suficiente y poder justificar, entre otros aspectos, la finalidad del tratamiento, la necesidad de recurrir a biometría, las alternativas analizadas y la proporcionalidad de la medida.
¿Qué debe valorar una empresa antes de implantar un sistema de biometría?
Antes de implantar un sistema biométrico, la empresa debería realizar un análisis previo riguroso que permita justificar por qué es necesario utilizar biometría, qué alternativas menos intrusivas existen, por qué no resultan adecuadas y si el tratamiento resulta proporcionado respecto de la finalidad perseguida.
¿Puede la AEPD seguir sancionando tratamientos de biometría tras esta sentencia?
La anulación de la Guía no impide que la AEPD valore la licitud de un tratamiento biométrico aplicando directamente el RGPD, la LOPDGDD, la jurisprudencia y las circunstancias concretas del caso. Por tanto, la sentencia no elimina el riesgo asociado a un uso de biometría que no cumpla con la normativa.
¿La AEPD puede volver a establecer criterios generales sobre biometría?
Sí. La sentencia cuestiona el procedimiento utilizado para establecer criterios con efectos generales, pero no impide que la AEPD pueda volver a fijarlos mediante el instrumento jurídicamente adecuado, como podría ser una Circular aprobada y publicada conforme al procedimiento correspondiente.
¿Qué cambia realmente para las empresas tras la anulación de la Guía?
El principal cambio es que la Guía de 2023 queda anulada como instrumento jurídico. Sin embargo, las empresas no deberían interpretar la sentencia como una vía libre para implantar sistemas biométricos, ya que siguen siendo aplicables las obligaciones y principios derivados de la normativa de protección de datos.
¿Necesita asesoramiento? Acceda a nuestra área relacionada con la Guía de la AEPD sobre biometría:
