Varapalo a la Agencia Española de Protección de Datos (AEPD). La Audiencia Nacional ha anulado la Guía sobre control de presencia mediante sistemas biométricos, pero no porque el contenido fuese contrario a derecho o demasiado restrictivo. El defecto de este documento es formal, no material.
La Sala de lo Contencioso-Administrativo, en su sentencia nº367/2026, considera que aunque se presenta como una mera orientación, en realidad este documento actúa en la práctica como una Circular y no como una guía.
Con este fallo, la AN refuerza los límites de la potestad interpretativa de la Agencia y recuerda que el contenido prevalece sobre la denominación del documento, aunque mantiene intacto el marco europeo de exigencia para el uso de datos biométricos.
Una guía de 2023 acaba en los tribunales
La Asociación Española de Empresas de Seguridad demandó ante la Audiencia Nacional exigiendo la anulación de la Guía sobre tratamiento de control de presencia mediante sistemas biométricos, publicada en la página web de la AEPD el 23 de noviembre del 2023 [donde actualmente tiene una marca de agua que indica que está ‘En revisión’].
Este documento pretendía establecer unas recomendaciones sobre el uso de biometría (las tecnologías que permiten identificar la identidad de los individuos a través de las características físicas o conductuales únicas) para el control de acceso/presencialidad en el entorno laboral. Un ejemplo muy común es la huella dactilar para acceder a una oficina.
Las empresas que impugnaron dicho documento, que tienen un interés general sobre este asunto ya que los criterios fijados en la guía pueden condicionar su actividad al implantar sistemas de control de accesos basados en datos biométricos,
A su juicio, el documento debió elaborarse siguiendo el procedimiento previsto en para las circulares de la autoridad que se establece en el artículo 6 del Real Decreto 389/2021, de 21 de junio y el artículo 55 de la Ley Orgánica de Protección de Datos Personales y garantía de los derechos Digitales (LOPDPGDD).
La AEPD se defendió: esta guía, tal y como indica su nombre, establecía meras pautas que promueven el el cumplimiento de las obligaciones de responsabilidad activa en materia de protección de datos.
La AN señala que lo relevante no es el nombre, sino el contenido
Y la asociación mandó este asunto ante la Sala de lo Contencioso-Administrativo, integrada por Fernando Luis Ruiz Piñeiro (presidente), Amalia Basanta Rodríguez, Nieves Buisan García, Helmuth Moya Meyer (ponente) y Ricardo Fernández Carballo-Calero.
Los magistrados han dado la razón a la asociación, siguiendo la jurisprudencia consolidada del Tribunal Supremo, compilada en la STS de 24 de marzo del 2026 (recurso nº 2156/2023): lo determinante no es el nombre, sino el contenido de la disposición en cuestión.
«Esto es, si una circular o instrucción interna no se limita a ordenar y regular la actuación de los propios funcionarios o agentes de la Administración, sino que incluye previsiones que pretenden ser de obligado cumplimiento para terceros, o lo que es igual, si pretende tener eficacia ad extra, es evidente que en esa medida no es propiamente una circular interna, sino una norma de naturaleza reglamentaria», subraya mencionada resolución.
En esta guía, a juicio de la Sala, se afirma expresamente que iba a determinar criterios aplicables al tratamiento biométrico, hecho que sirvió para que la Agencia utilizase posteriormente esos criterios para fundamentar resoluciones sancionadoras o interpretativas.
Además, señala la sentencia en análisis, que en dicho documento incluye un marco claramente restrictivo para el uso de sistemas biométricos, incluye conclusiones redactadas en términos taxativos y además condiciona el comportamiento tanto de responsables del tratamiento como trabajadores.
Teniendo en cuenta estos factores y en línea con la jurisprudencia, los magistrados de la Sala Contencioso-administrativo acreditan que el documento no es meramente divulgativo, sino el anuncio oficial de cómo iba a actuar la AEPD y recuerdan que una Administración no puede evitar los controles legales simplemente llamando «guía» a lo que materialmente es una norma o circular.
Por todo ello, la AN estima el recurso contencioso-administrativo y anula la Guía sobre tratamiento de Control de Presencia mediante sistemas biométricos de noviembre de 2023.
La biometría será extraordinariamente difícil de justificar
¿Significa esta anulación que las empresas pueden implantar sistemas de biometría A pesar de que la Audiencia Nacional declare la anulación de esta guía, en ningún momento los magistrados dan pie a que vuelva a ser libremente utilizable para el control horario.
La AN no entre a analizar el fondo: «En nuestro caso no se tratará de analizar si la guía contiene normas que innoven el ordenamiento jurídico, sino si son el anuncio de criterios de actuación de la Agencia que van a ser observados para exigir a los responsables y encargados del tratamiento de datos personales el cumplimiento del principio de responsabilidad activa, con la intención de influir en las decisiones de estos», señala la sentencia.
Es decir, a pesar de que el vehículo jurídico utilizado por la AEPD haya caído, no necesariamente el contenido material de sus criterios son excesivos o no conformes a Derecho.
Para las empresas, especialmente en materia de fichaje mediante huella o reconocimiento facial, el panorama apenas cambia. Según algunos profesionales, como Alberto Casaseca (quien ha compartido la resolución en redes sociales), seguirá siendo extraordinariamente difícil justificar que existe una «estricta necesidad» cuando normalmente existen medios alternativos menos invasivos.
