La Audiencia Nacional ha anulado la guía publicada por la Agencia Española de Protección de Datos sobre el uso de sistemas biométricos para el control de presencia. La resolución elimina la guía interpretativa, pero no significa que las empresas puedan implantar libremente sistemas de fichaje mediante huella dactilar o reconocimiento facial. La cuestión crítica sigue estando en determinar la excepción para que se permita tratar datos biométricos en un contexto laboral.
La obligación de registrar la jornada laboral continúa vigente, aunque la tecnología elegida para hacerlo debe respetar tanto la normativa laboral como la de protección de datos. Por ello, antes de instalar, recuperar o modificar un sistema biométrico, resulta recomendable contar con un adecuado asesoramiento legal para empresas y analizar las circunstancias concretas de cada organización.
¿Qué guía ha anulado la Audiencia Nacional?
En noviembre de 2023, la Agencia Española de Protección de Datos publicó la Guía sobre tratamientos de control de presencia mediante sistemas biométricos. El documento establecía los criterios que, a juicio de la Agencia, debían aplicarse al uso de tecnologías como la huella dactilar o el reconocimiento facial para registrar la jornada laboral o controlar el acceso a determinadas instalaciones.
La AEPD consideraba que estos tratamientos presentaban un riesgo elevado para los derechos de las personas y exigía una justificación especialmente rigurosa. Entre otros requisitos, señalaba la necesidad de contar con una base jurídica suficiente, superar un análisis de idoneidad, necesidad y proporcionalidad y realizar, con carácter previo, una evaluación de impacto en protección de datos.
La Sentencia 367/2026, de 30 de junio, dictada por la Sala de lo Contencioso-Administrativo de la Audiencia Nacional, ha acordado la anulación de esta guía tras el recurso presentado por la Asociación Española de Empresas de Seguridad.
¿Por qué se ha anulado la guía de la AEPD?
La Audiencia Nacional no ha anulado el documento por considerar que la protección de los datos biométricos sea innecesaria ni porque haya declarado incorrectos todos los criterios técnicos incluidos en él.
El motivo principal se encuentra en la naturaleza jurídica del documento y en el procedimiento utilizado para aprobarlo.
Aunque formalmente se presentó como una guía orientativa, el tribunal entiende que su contenido iba más allá de una simple recomendación. En la práctica, establecía criterios generales que condicionaban la actuación de empresas, proveedores tecnológicos y responsables del tratamiento, y que también podían ser utilizados por la propia AEPD en sus resoluciones.
Por este motivo, la Audiencia Nacional considera que el documento funcionaba materialmente como una circular de carácter obligatorio. Para tener ese alcance, debería haberse tramitado mediante el procedimiento legalmente establecido, con las correspondientes garantías, informes y trámites de participación.
La sentencia se centra, por tanto, en cómo se aprobaron y proyectaron esos criterios, no en declarar lícito o ilícito, de manera general, el uso de la biometría.
La sentencia no da vía libre al fichaje mediante huella dactilar
La principal cautela para las empresas es evitar una interpretación demasiado amplia de la resolución. La sentencia no se pronuncia sobre la corrección material de los criterios contenidos en la guía, sino que analiza la naturaleza jurídica del documento y concluye que, por sus efectos prácticos, debía haberse tramitado mediante el procedimiento previsto para las circulares. En consecuencia, la resolución no supone una validación ni una rectificación de la interpretación sustantiva que la AEPD venía manteniendo sobre el tratamiento de datos biométricos.
Por tanto, no puede concluirse que la anulación de la guía significa que el uso de la huella dactilar, el reconocimiento facial u otros sistemas biométricos queda automáticamente autorizado. Tampoco supone que desaparezcan las obligaciones establecidas por el Reglamento General de Protección de Datos y por la Ley Orgánica de Protección de Datos Personales y garantía de los derechos digitales.
Los datos biométricos reciben una protección reforzada cuando son tratados con la finalidad de identificar de manera unívoca a una persona física. Precisamente, uno de los debates jurídicos más relevantes en esta materia consiste en determinar cuándo determinados sistemas biométricos realizan una auténtica identificación de la persona y cuándo operan únicamente como mecanismos de autenticación o verificación.
En consecuencia, una empresa no debería interpretar la sentencia como una autorización para reinstalar de forma inmediata un lector de huella que hubiera dejado de utilizar ni para contratar un nuevo sistema sin realizar previamente un análisis jurídico y técnico.
¿Puede una empresa utilizar datos biométricos para registrar la jornada?
La respuesta dependerá de las características del sistema, de la finalidad perseguida y de las circunstancias concretas de la empresa.
Además, debe analizarse cuidadosamente cuál es la base jurídica que legitima el tratamiento y si concurre alguna de las excepciones previstas para las categorías especiales de datos en el artículo 9 del Reglamento General de Protección de Datos. Esta cuestión continúa siendo uno de los principales puntos de debate jurídico en relación con los sistemas biométricos utilizados en el ámbito laboral y no ha sido resuelta por la sentencia de la Audiencia Nacional.
La obligación empresarial de registrar diariamente la jornada no legitima por sí sola el uso de cualquier tecnología. El registro puede realizarse mediante diferentes soluciones, como tarjetas personales, aplicaciones, códigos, sistemas digitales o herramientas instaladas en los equipos de trabajo.
Cuando la empresa opta por una tecnología biométrica, debe explicar por qué esa solución es necesaria y por qué las alternativas menos invasivas no resultan suficientes para alcanzar la misma finalidad.
También debe tenerse en cuenta que el tratamiento de datos biométricos no se limita a la imagen visible de una huella o de un rostro. Estos sistemas generan patrones o plantillas técnicas que permiten autenticar o identificar a una persona y que, si se pierden o se utilizan indebidamente, no pueden sustituirse con la misma facilidad que una contraseña o una tarjeta.
Por ello, cada caso requiere una valoración individual. La resolución de la Audiencia Nacional abre un nuevo escenario interpretativo, pero no elimina la necesidad de justificar la solución adoptada.
¿Qué obligaciones continúan vigentes?
Aunque la guía haya sido anulada, las empresas siguen sujetas a las obligaciones generales de protección de datos. Entre las cuestiones que deben analizarse se encuentran las siguientes:
Determinar la finalidad del sistema
La empresa debe definir con precisión para qué utilizará los datos biométricos: registro de jornada, control de acceso, protección de zonas restringidas o prevención de suplantaciones, entre otras posibles finalidades.
No resulta adecuado recoger estos datos de forma preventiva o simplemente porque el proveedor tecnológico incluya la funcionalidad dentro de su programa.
Identificar una base jurídica válida
El tratamiento debe estar amparado en una base que legitime la recogida y utilización de los datos personales y, además, cuando se trate de categorías especiales, debe concurrir alguna de las excepciones previstas en el artículo 9 del RGPD.
La existencia de una relación laboral o la obligación legal de registrar la jornada no resuelven automáticamente esta cuestión. Incluso cuando exista una base jurídica conforme al artículo 6 del RGPD, será necesario analizar específicamente qué excepción del artículo 9.2 permite tratar datos biométricos cuando estos constituyan una categoría especial de datos.
Analizar la necesidad y la proporcionalidad
La empresa debe valorar si el sistema biométrico es realmente imprescindible o si puede alcanzar el mismo objetivo mediante una alternativa menos intrusiva.
Este análisis debe atender al número de trabajadores, la actividad de la empresa, los riesgos de suplantación, las características de las instalaciones y la existencia de otras soluciones disponibles.
Evaluar los riesgos para las personas trabajadoras
Antes de comenzar el tratamiento, debe analizarse qué consecuencias tendría una pérdida, filtración, uso indebido o acceso no autorizado a las plantillas biométricas.
Cuando el tratamiento pueda generar un alto riesgo para los derechos y libertades de las personas, será necesario realizar una evaluación de impacto relativa a la protección de datos. El incumplimiento de esta obligación puede constituir una infracción grave.
Aunque la obligación de realizar una evaluación de impacto debe analizarse caso por caso, los tratamientos biométricos suelen presentar características que pueden justificar este análisis reforzado debido a su potencial impacto sobre los derechos y libertades de las personas afectadas.
Informar a la plantilla
Las personas trabajadoras deben recibir información clara sobre los datos que se recogen, la finalidad del sistema, su funcionamiento, el plazo de conservación, los destinatarios y la forma de ejercer sus derechos.
La información debe facilitarse antes de iniciar el tratamiento y actualizarse cuando se introduzcan cambios relevantes.
Revisar las medidas de seguridad
El sistema debe incorporar medidas técnicas y organizativas adecuadas, como el cifrado, la limitación de accesos, la supresión de los datos cuando dejen de ser necesarios y la imposibilidad de utilizar las plantillas biométricas para finalidades distintas.
También deben revisarse las garantías ofrecidas por el proveedor tecnológico y formalizarse correctamente las relaciones entre responsable y encargado del tratamiento.
¿Qué deben hacer las empresas que ya utilizan un sistema biométrico?
Las empresas que actualmente empleen huella dactilar, reconocimiento facial u otra tecnología biométrica no deberían limitarse a considerar que la anulación de la guía confirma automáticamente la legalidad de su sistema.
Es aconsejable revisar:
- La documentación que justificó su implantación.
- La base jurídica utilizada.
- El análisis de necesidad y proporcionalidad.
- La evaluación de impacto, cuando resulte exigible.
- La información entregada a las personas trabajadoras.
- Las medidas de seguridad y los periodos de conservación.
- El contrato suscrito con el proveedor.
- La existencia de alternativas menos invasivas.
Esta revisión también debe comprobar que el funcionamiento real del sistema coincide con lo reflejado en la documentación. En protección de datos no basta con disponer de políticas correctamente redactadas: las garantías deben aplicarse de forma efectiva durante todo el ciclo de vida del tratamiento.
¿Y las empresas que estaban pensando en implantarlo?
Las organizaciones que estén valorando implantar un sistema biométrico no deberían asumir que la anulación de la guía elimina los requisitos existentes en materia de protección de datos. Resulta aconsejable realizar previamente un análisis jurídico, técnico y organizativo que permita acreditar la licitud, necesidad y proporcionalidad del tratamiento, así como valorar la existencia de alternativas menos invasivas.
La sentencia cuestiona el instrumento utilizado por la Agencia para establecer criterios generales, pero no resuelve todas las dudas existentes sobre la base jurídica del fichaje biométrico en el ámbito laboral.
Hasta que exista una mayor claridad, el enfoque más prudente consiste en estudiar primero si el objetivo puede alcanzarse mediante una tecnología menos intrusiva. En caso de optar por la biometría, la empresa deberá documentar de forma especialmente sólida las razones de la decisión y las garantías adoptadas.
Un cambio relevante que exige prudencia
La anulación de la guía de la AEPD modifica el marco interpretativo que venían utilizando empresas y proveedores, pero no convierte el fichaje biométrico en una solución libre de restricciones.
La principal conclusión para las empresas es que la sentencia modifica el marco interpretativo existente, pero no altera las obligaciones fundamentales derivadas del RGPD. La anulación de la guía responde a razones procedimentales y no implica que el uso de datos biométricos en el entorno laboral se considere automáticamente lícito.
Por ello, cualquier proyecto basado en huella dactilar, reconocimiento facial u otras tecnologías biométricas debe seguir apoyándose en un análisis documentado de licitud, necesidad, proporcionalidad, riesgos y medidas de garantía adecuadas para las personas afectadas.
Antes de implantar, mantener o recuperar un sistema de control horario mediante huella dactilar o reconocimiento facial, es recomendable analizar conjuntamente sus implicaciones laborales, tecnológicas y de protección de datos. Desde GSM&B acompañamos a las empresas en la revisión de sus sistemas de registro de jornada y en la adopción de soluciones proporcionadas, seguras y adaptadas a su realidad organizativa.
