La Sección Primera de la Sala de lo Contencioso-Administrativo de la Audiencia Nacional ha dictado la sentencia 367/2026, de 30 de junio (recurso 84/2024), que anula la “Guía sobre tratamiento de control de presencia mediante sistemas biométricos” publicada por la Agencia Española de Protección de Datos (AEPD) el 23 de noviembre de 2023. Es una resolución con impacto directo para cualquier empresa de seguridad, integrador tecnológico o departamento de recursos humanos que trabaje con sistemas de control de presencia basados en huella dactilar, reconocimiento facial u otras técnicas biométricas, aunque su alcance real conviene precisarlo con cuidado.
Antecedentes del caso
La Asociación Española de Empresas de Seguridad recurrió la guía publicada por la AEPD, alegando que fijaba criterios que la propia Agencia trataba como obligatorios, condicionando de facto la actuación de responsables y encargados del tratamiento, cuando una guía debería tener una función meramente orientativa. Según la parte demandante, ese contenido debió tramitarse siguiendo el procedimiento legalmente previsto para las circulares, y no como un simple documento divulgativo publicado en la web de la Agencia.
La Abogacía del Estado planteó primero la inadmisión del recurso, por entender que una guía no es una actividad administrativa impugnable, y alegó también falta de legitimación activa de la asociación recurrente. Ambas cuestiones fueron rechazadas por la Sala antes de entrar al fondo del asunto.
Qué dice la sentencia
- Confirma que las empresas asociadas a la demandante tienen un interés legítimo y directo en los criterios sobre biometría, por lo que existe legitimación activa para recurrir.
- Aplica la doctrina consolidada del Tribunal Supremo, recopilada recientemente en su sentencia de 24 de marzo de 2026, según la cual lo relevante no es el nombre que se dé a un documento -guía, circular, instrucción-, sino su contenido real. Si una disposición pretende producir efectos frente a terceros, es materialmente una norma, y si no siguió el procedimiento de elaboración legalmente exigido, carece de validez en esa medida.
- Analiza el contenido concreto de la guía y constata que anuncia expresamente que “va a determinar los criterios” para el tratamiento de control de presencia mediante sistemas biométricos; que la propia AEPD ha motivado resoluciones sancionadoras posteriores remitiéndose a esos criterios como si fueran vinculantes; que el documento anuncia un cambio de criterio de actuación de la Agencia; y que concluye con una relación extensa de conclusiones formuladas en términos taxativos, que configuran un marco restrictivo con clara intención de influir en las decisiones de los responsables del tratamiento y de desalentar a los distribuidores de estos sistemas en España.
- Concluye que, por su contenido, la guía debe considerarse materialmente una circular en el sentido del artículo 55 de la LOPDGDD y del artículo 6 del Real Decreto 389/2021 (Estatuto de la AEPD), y que, al no haberse tramitado siguiendo ese procedimiento, su aprobación y publicación deben anularse.
- Estima el recurso sin imposición de costas, dada la especial complejidad del asunto, y advierte que la sentencia es susceptible de recurso de casación en el plazo de 30 días.
Qué no dice la sentencia
Conviene distinguir con precisión el alcance real de este fallo, porque es fácil confundirlo con una decisión sobre el fondo de la biometría:
- No se pronuncia sobre si el control de presencia mediante sistemas biométricos es lícito o ilícito. La anulación se basa exclusivamente en un defecto de procedimiento en la aprobación del documento, no en un juicio sobre si sus criterios técnico-jurídicos eran correctos.
- No deja sin efecto el RGPD ni la LOPDGDD. Las obligaciones legales sobre datos biométricos -categoría especial de datos, principio de minimización, necesidad de evaluación de impacto- siguen vigentes con total independencia de esta guía, porque nacen directamente de la norma, no del documento anulado.
- No afecta a otras resoluciones judiciales que hayan analizado casos concretos de biometría aplicando directamente el RGPD y la jurisprudencia europea, al margen de la guía.
- No impide que la AEPD publique en el futuro un contenido similar, siempre que esta vez lo tramite correctamente como circular, conforme al procedimiento del artículo 6 del RD 389/2021.
- No es firme: cabe recurso de casación ante el Tribunal Supremo.
Circulares y guías: una distinción con consecuencias reales
El artículo 55 de la LOPDGDD atribuye a la AEPD la potestad de dictar circulares, definidas como disposiciones que fijan los criterios a los que responderá su actuación en aplicación del RGPD y de la propia ley orgánica, con la particularidad de que son obligatorias una vez publicadas en el BOE. Se trata de una figura híbrida: se aprueba con un procedimiento equivalente al de los reglamentos, mientras que las guías, herramientas y orientaciones a las que se refiere la disposición adicional decimoctava de la LOPDGDD tienen, en cambio, una función de apoyo a profesionales y pymes para el cumplimiento del principio de responsabilidad activa, sin ese carácter vinculante ni ese procedimiento reforzado.
La sentencia recuerda que esta distinción no puede resolverse por el nombre que la Administración decida dar al documento, sino por su contenido y por los efectos reales que produce sobre los ciudadanos y las empresas.
Bases de legitimación, RGPD y evaluación de impacto: lo que sigue vigente
Con independencia de la anulación de esta guía concreta, el marco jurídico de fondo no cambia:
- El artículo 9.1 del RGPD prohíbe con carácter general el tratamiento de datos biométricos dirigidos a identificar de forma unívoca a una persona, por tratarse de una categoría especial de datos, salvo que concurra alguna de las excepciones tasadas del artículo 9.2 (consentimiento explícito o necesidad en el ámbito laboral con garantías adecuadas), que deben interpretarse restrictivamente.
- El artículo 5.1.c) del RGPD exige que el tratamiento se limite a lo necesario para la finalidad perseguida (minimización de datos), lo que obliga a valorar en cada caso si existen alternativas menos intrusivas.
- El artículo 35.3.b) del RGPD exige realizar una Evaluación de Impacto relativa a la Protección de Datos cuando el tratamiento a gran escala afecte a categorías especiales de datos, como ocurre con la biometría, con independencia de que exista o no una guía de la AEPD que lo recuerde.
Es decir: aunque la guía haya sido anulada por motivos formales, ninguna empresa puede interpretar esta sentencia como una vía libre para implantar sistemas biométricos sin justificación. La exigencia de proporcionalidad, necesidad y evaluación de impacto proviene directamente del RGPD, no del documento anulado.
Beneficios y riesgos de esta sentencia
La anulación tiene un beneficio claro desde el punto de vista de la seguridad jurídica: refuerza el control judicial sobre la potestad normativa de las autoridades independientes y evita que documentos con apariencia de mera orientación produzcan, en la práctica, efectos vinculantes sin las garantías procedimentales exigidas por ley.
El riesgo, por el contrario, es la confusión regulatoria a corto plazo: empresas y proveedores de sistemas biométricos podrían interpretar erróneamente que la anulación abre la puerta a implantar biometría sin restricciones, cuando en realidad el criterio de fondo sobre proporcionalidad y minimización de datos sigue vigente en el RGPD y en la jurisprudencia que lo aplica directamente.
Recomendaciones prácticas
- No basar las decisiones de cumplimiento exclusivamente en guías de la AEPD, sino en el RGPD, la LOPDGDD y la jurisprudencia aplicable.
- Mantener documentada la Evaluación de Impacto relativa a la Protección de Datos en cualquier proyecto que implique tratamiento de datos biométricos.
- Vigilar si la AEPD reedita este contenido como circular, tramitada conforme al procedimiento del artículo 6 del RD 389/2021, porque en ese caso sí tendría carácter vinculante.
- Consultar con el delegado de protección de datos o con asesoría jurídica especializada antes de implantar o mantener sistemas de control de presencia biométricos.
Conclusión
La sentencia 367/2026 de la Audiencia Nacional anula la guía de la AEPD sobre control de presencia mediante sistemas biométricos, pero lo hace por un defecto de procedimiento en su aprobación, no porque su contenido sustantivo fuera jurídicamente incorrecto. El marco de fondo del RGPD y la LOPDGDD sobre datos biométricos permanece intacto, y las empresas deben seguir aplicando los mismos principios de necesidad, proporcionalidad y minimización de datos, documentados a través de una evaluación de impacto, con independencia de qué ocurra con esta guía en el futuro.
#sipylopd #SIPY #ProteccionDeDatos #RGPD #Biometria
Este artículo tiene finalidad informativa y no sustituye el asesoramiento jurídico específico sobre el caso concreto de cada organización.
