La sentencia 367/2026, correspondiente al recurso 84/2024, estima la impugnación presentada por la Asociación Española de Empresas de Seguridad contra la guía publicada el 23 de noviembre de 2023. El tribunal anula su aprobación y publicación, aunque no impone las costas del procedimiento debido a la complejidad jurídica del asunto. La resolución puede ser recurrida en casación.
La guía había supuesto un importante endurecimiento de la posición de la AEPD sobre el empleo de la huella dactilar, el reconocimiento facial y otras técnicas biométricas para registrar la jornada laboral o controlar el acceso a instalaciones. El documento consideraba que tanto la identificación como la autenticación biométrica constituían tratamientos de categorías especiales de datos y los calificaba como operaciones de alto riesgo para los derechos y libertades de las personas afectadas.
En el ámbito laboral, la Agencia sostenía que la obligación empresarial de llevar un registro diario de jornada no constituía por sí sola una habilitación legal suficiente para tratar datos biométricos. Según la guía, para acogerse a la excepción prevista en el artículo 9.2.b) del Reglamento General de Protección de Datos era necesaria una norma con rango de ley que autorizase específicamente el empleo de estos datos, norma que, a juicio de la AEPD, no existía en la legislación española.
Consentimiento del trabajador
El documento descartaba también, con carácter general, que el consentimiento del trabajador pudiera legitimar el tratamiento. La Agencia fundamentaba esta conclusión en el desequilibrio existente dentro de la relación laboral, que dificulta que la autorización pueda considerarse verdaderamente libre. La consecuencia práctica fue que numerosas empresas y administraciones sustituyeron los terminales de huella por tarjetas, códigos, aplicaciones informáticas u otros mecanismos menos intrusivos.
La Audiencia Nacional, sin embargo, no entra a determinar si esas conclusiones son correctas desde el punto de vista material. El motivo de la anulación es de naturaleza procedimental. La Sala considera que la guía excedió las funciones propias de un instrumento orientativo y actuó, en realidad, como una disposición general destinada a fijar el criterio que seguiría la AEPD al aplicar el RGPD y la Ley Orgánica de Protección de Datos y Garantía de los Derechos Digitales.
Para llegar a esta conclusión, el tribunal tiene en cuenta que el propio documento anunciaba que iba a “determinar los criterios” aplicables al control de presencia biométrico, introducía un cambio respecto de la posición mantenida anteriormente por la Agencia y formulaba conclusiones en términos taxativos. También valora que esos criterios habían sido utilizados posteriormente por la AEPD en actuaciones y resoluciones administrativas, lo que demostraba que la guía tenía capacidad para condicionar la conducta de los responsables del tratamiento.
Tramitar el texto como circular y no como guía
Esta naturaleza materialmente normativa obligaba a tramitar el texto como una circular, de acuerdo con el artículo 55 de la Ley Orgánica de Protección de Datos y el artículo 6 del Estatuto de la AEPD. Las circulares son el instrumento mediante el que la Agencia puede fijar criterios obligatorios para su actuación y solo adquieren eficacia tras su publicación en el Boletín Oficial del Estado.
Ese procedimiento exige la elaboración de un informe técnico que identifique la habilitación normativa y justifique la necesidad de la disposición, un informe jurídico del Gabinete Jurídico de la Agencia, la apertura de un trámite de audiencia e información pública y el dictamen del Consejo de Estado. La guía fue aprobada sin seguir estas garantías, lo que determina la invalidez de la actuación administrativa.
La sentencia representa así un pronunciamiento relevante sobre los límites del denominado soft law administrativo. Las autoridades independientes pueden publicar recomendaciones, orientaciones y documentos destinados a facilitar el cumplimiento normativo, pero no pueden utilizar estos instrumentos para establecer obligaciones generales o condicionar de manera vinculante la actuación de los ciudadanos y las empresas evitando los procedimientos previstos para la aprobación de disposiciones normativas.
Recuperar los sistemas biométricos
La anulación, no obstante, no significa que las empresas puedan recuperar automáticamente los sistemas de fichaje mediante huella dactilar o reconocimiento facial. El tribunal no declara lícito el tratamiento biométrico ni invalida las exigencias derivadas directamente del RGPD y de la legislación nacional. Los datos biométricos dirigidos a identificar de forma unívoca a una persona continúan sometidos al régimen reforzado de las categorías especiales de datos.
Las organizaciones que pretendan utilizar estas tecnologías deberán acreditar una base jurídica conforme al artículo 6 del RGPD y alguna de las excepciones del artículo 9.2 que permitan levantar la prohibición general de tratar categorías especiales de datos. También deberán respetar los principios de minimización, necesidad y proporcionalidad, informar adecuadamente a las personas afectadas y realizar una evaluación de impacto cuando el tratamiento pueda entrañar un alto riesgo para sus derechos y libertades.
Por tanto, la sentencia elimina el valor jurídico de la guía tal y como fue aprobada, pero no convierte la biometría en una tecnología libremente utilizable. La AEPD podría volver a establecer criterios semejantes mediante una circular correctamente tramitada, sometida a participación pública, control jurídico y dictamen del Consejo de Estado. Hasta entonces, cada sistema deberá examinarse atendiendo directamente al RGPD, a la Ley Orgánica de Protección de Datos y a la jurisprudencia aplicable, sin que la mera obligación de registrar la jornada pueda entenderse como una autorización automática para tratar la huella o el rostro de los trabajadores.
