La Audiencia Nacional anula la guía de la AEPD sobre control de presencia con sistemas biométricos

La Sentencia 367/2026, de 30 de junio, anula la guía de la AEPD sobre control de presencia con sistemas biométricos por un defecto de forma: funcionaba como una circular obligatoria sin haberse tramitado como tal. Ni legaliza el fichaje con huella ni deroga el RGPD.

La Audiencia Nacional ha anulado la Guía sobre tratamiento de control de presencia mediante sistemas biométricos que la Agencia Española de Protección de Datos (AEPD) publicó en noviembre de 2023. La Sentencia 367/2026, de 30 de junio (Sala de lo Contencioso-Administrativo, Sección 1.ª), no declara que la biometría sea legal o ilegal: anula la guía por un motivo de forma, porque funcionaba como una circular obligatoria sin haberse tramitado como tal. Conviene leerla con precisión, porque ni el fichaje con huella queda con vía libre ni desaparece ninguna de las obligaciones del RGPD.

Qué ha resuelto exactamente la Audiencia Nacional

El recurso lo interpuso la Asociación Española de Empresas de Seguridad contra la guía publicada por la AEPD el 23 de noviembre de 2023. La Agencia, con el respaldo de la Abogacía del Estado, pidió que el recurso se inadmitiera alegando que una guía no es una actividad impugnable y que la asociación carecía de legitimación. La Sala rechaza ambas objeciones: las empresas de seguridad tienen un interés evidente en la implantación de sistemas de control de accesos basados en datos biométricos, y los criterios de la guía condicionaban directamente su actividad.

Resuelto lo anterior, el fallo estima el recurso, anula la actuación impugnada —es decir, la propia guía— y no impone costas por la especial complejidad del asunto. La sentencia no es firme: cabe recurso de casación ante el Tribunal Supremo, que deberá prepararse en el plazo de 30 días.

Qué era la guía anulada

En noviembre de 2023, la AEPD publicó una guía en la que fijaba su posición sobre el uso de sistemas biométricos —huella dactilar, reconocimiento facial y tecnologías similares— para el control horario y el control de accesos de los trabajadores. El documento configuraba un marco marcadamente restrictivo: en la práctica venía a desaconsejar el uso de la biometría para fichar salvo en supuestos muy tasados, y la propia Agencia se remitía después a esos criterios para motivar sus resoluciones.

El efecto sobre el mercado fue inmediato. Muchas empresas paralizaron proyectos de control horario o de control de accesos por huella o reconocimiento facial por temor a incumplir los criterios de la guía; otras mantuvieron sus sistemas, pero bajo una permanente sensación de inseguridad jurídica. La guía, sin ser formalmente una norma, operaba como si lo fuera.

El corazón del fallo: una «guía» que era en realidad una circular

La cuestión nuclear que resuelve la Audiencia Nacional es de naturaleza formal: determinar si ese documento debió elaborarse siguiendo el procedimiento previsto para las circulares de la AEPD —artículo 6 del Real Decreto 389/2021, que aprueba el Estatuto de la Agencia, en relación con el artículo 55 de la LOPDGDD— o si bastaba con ampararlo en la disposición adicional decimoctava de la misma ley, que habilita a la Agencia para desarrollar «herramientas, guías, directrices y orientaciones».

El artículo 55 de la LOPDGDD define con claridad qué es una circular y cómo adquiere fuerza obligatoria:

Artículo 55 de la Ley Orgánica 3/2018 (LOPDGDD)

1. La Presidencia de la Agencia Española de Protección de Datos podrá dictar disposiciones que fijen los criterios a que responderá la actuación de esta autoridad en la aplicación de lo dispuesto en el Reglamento (UE) 2016/679 y en la presente ley orgánica, que se denominarán «Circulares de la Agencia Española de Protección de Datos». […] 3. Las circulares serán obligatorias una vez publicadas en el Boletín Oficial del Estado.

Frente a ello, la Agencia sostenía que su documento era una simple guía orientativa. La Sala aplica la doctrina reiterada del Tribunal Supremo —compilada en su reciente sentencia de 24 de marzo de 2026— según la cual lo decisivo no es cómo se llame el documento, sino lo que realmente contiene:

Doctrina del Tribunal Supremo reproducida en la sentencia

«Lo relevante no es tanto el nomen iuris, sino el contenido de la disposición en cuestión. Esto es, si una circular o instrucción interna no se limita a ordenar y regular la actuación de los propios funcionarios o agentes de la Administración, sino que incluye previsiones que pretenden ser de obligado cumplimiento para terceros, o lo que es igual, si pretende tener eficacia ad extra, es evidente que en esa medida no es propiamente una circular interna, sino una norma de naturaleza reglamentaria. En consecuencia, será nula —al menos, en cuanto a esas previsiones de eficacia ad extra— por no haber sido elaborada de conformidad con el procedimiento legalmente establecido.»

Aplicada esa doctrina, el resultado es claro. El propio documento de la AEPD anunciaba que «se van a determinar los criterios para el tratamiento de control de presencia mediante sistemas biométricos», y la Agencia los invocaba después para fundamentar sus resoluciones. Es decir, fijaba criterios con vocación de obligar a terceros —los responsables y encargados del tratamiento— y desalentaba a los proveedores de estas tecnologías. Materialmente, por tanto, era una circular, y como tal debió someterse al procedimiento del artículo 55 de la LOPDGDD y del artículo 6 del RD 389/2021, con sus informes técnicos y jurídicos, la audiencia a los interesados y su publicación en el BOE. Al no haberlo hecho, la guía se anula.

Lo que la sentencia NO dice (y conviene no malinterpretar)

Este es el punto que más titulares ha generado y el que más fácilmente se tergiversa. La sentencia es explícita: no entra a valorar el fondo. No afirma que el fichaje con huella o con reconocimiento facial sea legal, ni que los criterios de la AEPD fueran materialmente excesivos. Se limita a expulsar del ordenamiento un documento por un defecto de forma.

Dicho de otro modo: desaparece la guía, pero no las obligaciones. Siguen plenamente vigentes el Reglamento General de Protección de Datos (RGPD) y la LOPDGDD, con toda su exigencia. Los datos biométricos utilizados para identificar de forma unívoca a una persona son categoría especial de datos —artículo 9 del RGPD— y su tratamiento está sometido a un régimen reforzado. Continúan operando los principios de necesidad, proporcionalidad y minimización, y la exigencia, consolidada por la jurisprudencia europea, de descartar previamente las alternativas menos invasivas antes de recurrir a la biometría.

¿Y ahora qué? Casación y una posible nueva circular

La sentencia no es firme. La AEPD puede preparar un recurso de casación ante el Tribunal Supremo en el plazo de 30 días, de modo que la última palabra podría no estar dicha. Y aunque no recurra, la Agencia conserva intacta la posibilidad de volver a fijar sus criterios: bastaría con aprobarlos esta vez como una verdadera circular, siguiendo el procedimiento del artículo 55 de la LOPDGDD —informes técnicos y jurídicos, audiencia a los interesados y publicación en el BOE—. De hecho, tras conocerse el fallo, la propia guía figura en la web de la Agencia con la advertencia de estar «en revisión».

En consecuencia, lo razonable es interpretar la sentencia como lo que es: una victoria sobre la forma que devuelve algo de seguridad jurídica al mercado, no un cambio de las reglas de fondo. Quien esperaba una vía libre para la biometría laboral tendrá que seguir esperando.

Qué deben hacer las empresas y los gestores

Para las empresas que utilizan o valoran sistemas de control de presencia, y para los gestores y asesores que las acompañan, la recomendación práctica no cambia demasiado, pero conviene ordenarla:

• No precipitar la instalación de biometría. Que haya caído la guía no equivale a un permiso. Antes de implantar huella o reconocimiento facial, hay que documentar el juicio de necesidad y proporcionalidad.
• Valorar y descartar alternativas menos invasivas. Un registro de jornada digital convencional —tarjeta, PIN, usuario y contraseña— suele bastar para cumplir la obligación de registro horario sin tratar datos biométricos.
• Elaborar la evaluación de impacto. El tratamiento de datos biométricos a gran escala exige, por regla general, una evaluación de impacto en protección de datos (EIPD) previa.
• Revisar la base jurídica. En el ámbito laboral, el consentimiento del trabajador rara vez es una base válida por el desequilibrio entre las partes; hay que identificar y motivar la base y la excepción del artículo 9 del RGPD que se invoque.
• Informar a la representación legal de las personas trabajadoras. La implantación de sistemas de control afecta a derechos de los trabajadores y a la negociación colectiva.

Para el sector de la formación bonificada, además, la lección de fondo es transversal: la protección de datos atraviesa toda la gestión —desde el control de asistencia y las conexiones en el aula virtual hasta el tratamiento de la documentación de los participantes— y ninguna «guía» o nota informativa sustituye a la norma.

Conclusión

La Sentencia 367/2026 de la Audiencia Nacional corrige un problema real: que una autoridad fije criterios de obligado cumplimiento por la puerta de atrás, bajo la etiqueta de «guía» y sin el procedimiento que la ley reserva a las circulares. Es una buena noticia para la seguridad jurídica. Pero no es un salvoconducto para la biometría: el RGPD y la LOPDGDD siguen ahí, y con ellos la obligación de tratar los datos biométricos con la máxima cautela.

En el Departamento Jurídico de Autoforma seguimos de cerca esta y otras resoluciones que afectan al control de presencia y a la protección de datos en el entorno laboral y de la formación. Si tu empresa está valorando un sistema de control horario o de accesos, contrasta la decisión antes de implantarla.

Este artículo tiene carácter meramente informativo y no constituye asesoramiento jurídico. Para el análisis de un caso concreto, consulta con un profesional.