Quizás cada mañana se pone el dedo sobre un lector para registrar el inicio de la jornada. O quizás es un sistema de reconocimiento facial el que permite acceder a tu centro de trabajo. Es un gesto que muchas personas hacen cada día casi de manera automática, sin plantearse qué hay detrás de esta tecnología.
Los sistemas biométricos se han ido incorporando progresivamente a empresas y administraciones porque permiten identificar a las personas con rapidez y dificultan determinadas prácticas fraudulentas, como por ejemplo la suplantación de identidad en el control horario. Pero esta comodidad tiene una contrapartida evidente: el tratamiento de datos especialmente sensibles.
La huella dactilar, el reconocimiento facial o el escaneo del iris no son simples datos personales. El Reglamento general de protección de datos (RGPD) considera los datos biométricos utilizados para identificar de manera unívoca a una persona como una categoría especial de datos. Eso significa que su tratamiento está prohibido a todos los efectos, salvo que concurra alguna de las excepciones previstas en el artículo 9 del mismo Reglamento.
A diferencia de una contraseña o de una tarjeta de acceso, una huella dactilar o un patrón facial forman parte de nuestra identidad. Si estos datos se ven comprometidos, no los podemos cambiar como cambiaríamos una clave de acceso. Esta es una de las razones que explican la especial protección que les dispensa el RGPD.
Ello no significa que una empresa no pueda usar nunca un sistema biométrico para controlar la jornada o gestionar los accesos. Pero sí que implica que su implantación exige una justificación especialmente rigurosa. No basta con que sea una tecnología más cómoda o eficiente. Hay que acreditar que su uso es necesario, que la finalidad perseguida no se puede lograr mediante sistemas menos intrusivos y que se cumplen todas las garantías exigidas por la normativa de protección de datos.
En este contexto, la Agencia Española de Protección de Datos (AEPD) publicó en noviembre de 2023 la Guía sobre tratamientos de control de presencia mediante sistemas biométricos. Este documento pretendía orientar a empresas y organizaciones sobre las condiciones en las que estos sistemas podían utilizarse de acuerdo con el RGPD. En la práctica, sin embargo, la guía tuvo una gran repercusión. Muchas organizaciones se preguntaron si podían seguir usando los sistemas biométricos que ya tenían implantados o si debían sustituirlos por otros mecanismos de control de presencia. Por ello, muchas empresas revisaron sus sistemas de fichaje y numerosos profesionales entendieron que los criterios recogidos en aquel documento anticipaban la posición que adoptaría la propia AEPD en sus futuras actuaciones inspectoras y sancionadoras.
La guía, no obstante, no quedó al margen de la controversia. La Asociación Española de Empresas de Seguridad impugnó la publicación ante la Audiencia Nacional al considerar que aquel documento iba mucho más allá de una simple orientación. Según su opinión, la guía fijaba los criterios que la AEPD aplicaría en esta materia y, por lo tanto, no podía aprobarse siguiendo el procedimiento previsto para unas simples orientaciones. El litigio ha dado lugar a la Sentencia de la Audiencia Nacional 367/2026, de 30 de junio (recurso 84/2024).
La cuestión que debía resolver la Audiencia Nacional no era si los sistemas biométricos son compatibles con el RGPD, sino otra distinta: qué valor jurídico tenía realmente la guía publicada por la AEPD.
Una guía tiene, en principio, una función orientadora. Sirve para ofrecer criterios interpretativos y facilitar el cumplimiento de la normativa, pero no crea normas nuevas ni es jurídicamente vinculante. En cambio, las circulares son el instrumento que la ley reserva para que la AEPD fije formalmente los criterios que orientarán su actuación en la aplicación de la normativa de protección de datos. Precisamente por este motivo, su aprobación está sometida a un procedimiento específico previsto en la Ley orgánica de protección de datos y en su Estatuto.
La Asociación Española de Empresas de Seguridad sostenía que la guía sobre sistemas biométricos no se limitaba a formular recomendaciones. A su entender, el documento establecía los criterios que la AEPD aplicaría en sus actuaciones inspectoras y sancionadoras y, por lo tanto, producía efectos prácticos muy similares a los de una circular. Si así era, no podía aprobarse como una simple guía.
La Audiencia Nacional comparte esta tesis. La sentencia recuerda que, para determinar la naturaleza jurídica de un documento, no basta con la denominación que le atribuye la Administración. Lo que resulta determinante es su contenido y, sobre todo, los efectos que despliega en la práctica.
Para llegar a esta conclusión, la Sala analiza el propio contenido de la guía. Observa que el documento no se limita a recopilar la normativa aplicable o la jurisprudencia existente, sino que anuncia los criterios que la AEPD seguirá en relación con los sistemas biométricos de control de presencia. Además, constata que la propia Agencia había empezado a invocar estos criterios en sus resoluciones, lo que refuerza la idea de que la guía transcendía la mera función orientadora.
A partir de ahí, la Audiencia Nacional aplica una doctrina consolidada del Tribunal Supremo según la cual la naturaleza de un documento no depende del nombre que recibe, sino de los efectos que produce. Si una guía termina condicionando de manera efectiva el comportamiento de las empresas y de los responsables del tratamiento de datos porque anticipa los criterios que aplicará la autoridad de control, deja de ser una simple orientación. En este caso, la Sala entiende que el documento actuaba materialmente como una circular y, por ello, debería haber sido aprobado siguiendo el procedimiento previsto legalmente.
No basta con el nombre del documento
Esta es, probablemente, la principal aportación del trabajo. Las administraciones pueden elaborar guías, recomendaciones o criterios interpretativos para facilitar la aplicación de la normativa. Ahora bien, no pueden utilizar estos instrumentos para fijar criterios de actuación con efectos generales al margen de los procedimientos que la ley reserva para esta finalidad. Como recuerda la Audiencia Nacional, la naturaleza jurídica de un documento no depende del nombre que le da la Administración, sino de su contenido y de los efectos que produce.
La resolución tiene interés porque no modifica el régimen jurídico de los sistemas biométricos ni declara que su uso sea lícito o ilícito. El RGPD sigue siendo el mismo y las empresas siguen obligadas a justificar adecuadamente cualquier tratamiento de datos biométricos. La aportación de la sentencia es otra. Recuerda que las administraciones públicas también están sometidas a reglas cuando interpretan y aplican el derecho. Las guías son herramientas útiles para orientar a empresas, profesionales y ciudadanía, pero no pueden convertirse en un mecanismo para fijar criterios de actuación con efectos generales al margen de las garantías previstas por el ordenamiento jurídico.
En un contexto en el que cada vez es más habitual que las autoridades administrativas publiquen guías, recomendaciones, criterios interpretativos o preguntas frecuentes para dar respuesta a los retos que plantean las nuevas tecnologías, esta sentencia recuerda que estos instrumentos pueden ser muy útiles para orientar a empresas y administraciones. Sin embargo, cuando su contenido deja de ser meramente orientativo y pasa a fijar los criterios que condicionarán la actuación de sus destinatarios, también deben respetar las garantías y los procedimientos que el ordenamiento jurídico establece. En definitiva, la flexibilidad en la forma de interpretar y aplicar el derecho no puede conseguirse a expensas de la seguridad jurídica.
¿Y qué significa todo esto si en tu empresa se ficha con la huella dactilar o con el reconocimiento facial? Que esta sentencia no declara ilegales estos sistemas ni obliga a dejar de utilizarlos. Pero sí que recuerda que el tratamiento de datos biométricos exige una justificación especialmente rigurosa y que los criterios con los que las autoridades públicas orientan a empresas y administraciones también deben respetar las reglas del estado de derecho.
