La Audiencia Nacional anula la guía de la AEPD sobre fichaje biométrico: ¿qué cambia para las empresas?
La Audiencia Nacional ha anulado la actuación mediante la que la Agencia Española de Protección de Datos —AEPD— aprobó y publicó en noviembre de 2023 su Guía sobre tratamientos de control de presencia mediante sistemas biométricos.
La decisión aparece recogida en la Sentencia número 367/2026, de 30 de junio de 2026, dictada por la Sección Primera de la Sala de lo Contencioso-Administrativo de la Audiencia Nacional, dentro del procedimiento ordinario 84/2024.
La resolución tiene una importancia considerable para las empresas que utilizan, comercializan o se plantean implantar sistemas de control horario mediante huella dactilar, reconocimiento facial u otros identificadores biométricos.
Sin embargo, conviene aclarar desde el principio una cuestión esencial:
La Audiencia Nacional no ha declarado que el fichaje biométrico sea automáticamente legal ni ha autorizado su utilización generalizada sin condiciones.
Lo que ha anulado es la aprobación y publicación de la guía por considerar que la AEPD utilizó un procedimiento que no era el jurídicamente adecuado.
¿Qué guía ha sido anulada?
En noviembre de 2023, la AEPD publicó una guía destinada a establecer los criterios aplicables al registro de jornada y al control de accesos mediante sistemas biométricos.
El documento consideraba que la identificación y la autenticación biométrica utilizadas para controlar la presencia implicaban el tratamiento de categorías especiales de datos personales y configuraban un tratamiento de alto riesgo.
Entre otras conclusiones, la guía establecía que las organizaciones debían analizar alternativas menos intrusivas, justificar la necesidad del sistema, aplicar los principios de minimización y protección de datos desde el diseño y realizar una evaluación de impacto antes de implantar este tipo de tecnología.
También mantenía una interpretación especialmente restrictiva sobre la existencia de una norma legal que permitiera utilizar datos biométricos para el registro de jornada y sobre la validez del consentimiento dentro de una relación laboral.
Tras conocerse la sentencia, el documento continúa disponible en la página web de la AEPD, pero actualmente aparece marcado en todas sus páginas con la indicación «EN REVISIÓN».
¿Por qué ha anulado la guía la Audiencia Nacional?
El recurso fue presentado por la Asociación Española de Empresas de Seguridad —AES—, que defendía que el documento de la AEPD no se limitaba a ofrecer recomendaciones u orientaciones.
Según la asociación recurrente, la guía establecía en la práctica criterios generales que condicionaban la actuación de las empresas, de los responsables del tratamiento y de los proveedores de soluciones biométricas.
La Audiencia Nacional ha aceptado este planteamiento.
Para el tribunal, no resulta determinante que la AEPD denominara al documento «guía». Lo importante es analizar su contenido y sus efectos reales.
La sentencia destaca varios elementos:
- El documento anunciaba expresamente que iba a determinar los criterios aplicables al control de presencia mediante biometría.
- La AEPD había utilizado posteriormente esos criterios para fundamentar algunas de sus resoluciones.
- La guía contenía conclusiones formuladas de manera taxativa.
- Su contenido configuraba un marco restrictivo que pretendía influir en las decisiones de los responsables del tratamiento.
- También producía efectos económicos sobre los distribuidores y proveedores de estos sistemas.
Por estas razones, la Audiencia Nacional considera que el documento funcionaba materialmente como una circular de la AEPD, y no como una simple publicación orientativa.
Una circular exige un procedimiento específico
El artículo 55 de la Ley Orgánica de Protección de Datos y Garantía de los Derechos Digitales permite a la AEPD dictar circulares para fijar los criterios que seguirá en la aplicación del Reglamento General de Protección de Datos y de la propia ley orgánica.
Estas circulares pueden tener carácter obligatorio, pero deben tramitarse siguiendo el procedimiento establecido en el artículo 6 del Estatuto de la AEPD.
El procedimiento incluye, entre otros trámites:
- La elaboración de informes técnicos y jurídicos.
- La identificación de la habilitación normativa.
- La audiencia de las personas y organizaciones afectadas.
- Un periodo de información pública.
- La intervención de los organismos consultivos correspondientes.
- La aprobación por la Presidencia de la AEPD.
- Su publicación en el Boletín Oficial del Estado.
Como la guía biométrica no siguió ese procedimiento, la Audiencia Nacional ha dejado sin efecto su aprobación y publicación.
¿Significa esto que vuelve a estar permitido fichar con huella?
No de manera automática.
La sentencia no entra a resolver si el contenido técnico y jurídico de la guía era correcto o incorrecto. Tampoco declara que todos los sistemas de fichaje biométrico sean lícitos.
La anulación se produce por una cuestión relacionada con la naturaleza del documento y con el procedimiento seguido para aprobarlo.
Por tanto, la resolución:
- No elimina el Reglamento General de Protección de Datos.
- No modifica la Ley Orgánica de Protección de Datos.
- No deja de considerar los datos biométricos como datos especialmente protegidos cuando se utilizan para identificar de manera unívoca a una persona.
- No elimina la obligación de justificar la necesidad y proporcionalidad del tratamiento.
- No convierte el consentimiento del trabajador en una autorización automática.
- No permite instalar lectores de huella o reconocimiento facial sin analizar previamente cada caso.
El artículo 9 del RGPD mantiene, como regla general, la prohibición de tratar categorías especiales de datos, salvo que concurra alguna de las excepciones previstas en el propio Reglamento. Además, todo tratamiento debe disponer de una base de legitimación conforme al artículo 6.
¿Qué cambia entonces para las empresas?
La principal consecuencia es que la guía de 2023 deja de poder operar como un documento que establezca criterios generales de obligado cumplimiento en los términos en los que fue aprobada.
Esto reduce el peso que tenía la guía como referencia administrativa directa y permite que las empresas vuelvan a analizar sus proyectos atendiendo al marco normativo completo y a las circunstancias particulares de cada tratamiento.
No obstante, interpretar la sentencia como una autorización general para recuperar sistemas biométricos retirados sería arriesgado.
Antes de implantar o reactivar un sistema de fichaje mediante huella, rostro u otra característica biométrica, la empresa debería revisar, como mínimo:
1. La finalidad del tratamiento
Debe definirse con precisión si el sistema se utilizará para registrar la jornada, controlar el acceso a instalaciones, proteger zonas especialmente sensibles o cumplir otra finalidad.
Los datos no deberían reutilizarse posteriormente para objetivos diferentes que no hayan sido previamente justificados.
2. La existencia de alternativas menos intrusivas
La organización debe estudiar si puede alcanzar el mismo objetivo mediante tarjetas, códigos personales, aplicaciones, dispositivos corporativos u otros sistemas que no requieran tratar datos biométricos.
La comodidad, la rapidez o la reducción del denominado «fichaje por compañeros» pueden ser factores relevantes, pero no siempre bastan para acreditar que la biometría sea estrictamente necesaria.
3. La base jurídica y la excepción aplicable
El tratamiento debe contar tanto con una base jurídica válida como con una excepción que permita tratar categorías especiales de datos.
Esta cuestión debe analizarse individualmente y no puede darse por resuelta únicamente porque exista una obligación legal de registrar la jornada laboral.
4. La evaluación de impacto
Cuando el tratamiento pueda entrañar un alto riesgo para los derechos y libertades de las personas, deberá realizarse una Evaluación de Impacto relativa a la Protección de Datos —EIPD—.
Esta evaluación debe analizar los riesgos, la necesidad y proporcionalidad del sistema, las alternativas disponibles y las medidas previstas para proteger a las personas afectadas.
5. La arquitectura técnica del sistema
No todos los sistemas biométricos presentan el mismo nivel de riesgo.
Debe analizarse, entre otras cuestiones:
- Si se almacena una imagen completa o solamente una plantilla biométrica.
- Si la información se conserva en una base de datos centralizada.
- Si la plantilla permanece en una tarjeta o dispositivo controlado por el trabajador.
- Si la comprobación es individual —uno a uno— o se busca a la persona dentro de una base de datos —uno a varios—.
- Qué cifrado y medidas de protección se utilizan.
- Durante cuánto tiempo se conservan los datos.
- Cómo se eliminan cuando finaliza la relación laboral.
- Qué procedimiento se seguirá ante una brecha de seguridad.
A diferencia de una contraseña, una huella o determinadas características faciales no pueden sustituirse fácilmente si los datos resultan comprometidos.
6. La información proporcionada a los trabajadores
La plantilla debe recibir información clara sobre la finalidad del sistema, los datos tratados, la base jurídica, los plazos de conservación, los destinatarios, las medidas de seguridad y la forma de ejercer sus derechos.
Cuando exista delegado de protección de datos, deberá participar en el análisis y supervisión del proyecto.
¿Qué ocurrirá ahora?
La propia sentencia señala que puede ser recurrida en casación. Por tanto, todavía pueden producirse nuevos pronunciamientos judiciales.
La AEPD también podría:
- Elaborar una nueva guía con carácter exclusivamente orientativo.
- Tramitar una circular siguiendo el procedimiento legalmente establecido.
- Modificar su interpretación sobre determinadas modalidades de autenticación biométrica.
- Establecer sus criterios mediante resoluciones administrativas concretas.
- Esperar a que exista una regulación legal más específica.
Mientras se aclara el escenario, las empresas deberían evitar decisiones precipitadas y revisar cada proyecto desde una perspectiva jurídica, organizativa y tecnológica.
Conclusión
La Sentencia 367/2026 supone un pronunciamiento relevante sobre los límites de las guías publicadas por las autoridades administrativas.
La Audiencia Nacional recuerda que una guía puede orientar y facilitar el cumplimiento normativo, pero no puede convertirse en una disposición general con efectos obligatorios sin respetar el procedimiento legalmente previsto.
La resolución proporciona más margen para debatir y analizar la utilización de sistemas biométricos, pero no representa una desregulación de la biometría ni una autorización general para fichar mediante huella dactilar o reconocimiento facial.
Las empresas que utilicen o pretendan utilizar estos sistemas deben continuar justificando su necesidad, proporcionalidad y seguridad, evaluando alternativas menos intrusivas y documentando adecuadamente el cumplimiento del RGPD.
En G.C. Computing desarrollamos e implantamos soluciones de control horario integradas con entornos empresariales como Odoo, incluyendo alternativas mediante código, tarjeta, aplicaciones y otros mecanismos de identificación. Cada proyecto debe configurarse atendiendo a las necesidades operativas de la empresa y coordinarse, cuando proceda, con profesionales especializados en protección de datos.
Fuentes consultadas
Para la elaboración de este artículo se han consultado la resolución judicial, la documentación oficial de la Agencia Española de Protección de Datos y distintas publicaciones especializadas:
Documentación oficial
- Audiencia Nacional — Sentencia 367/2026, de 30 de junio de 2026
ROJ: SAN 2870/2026 · ECLI:ES:AN:2026:2870
Consultar la sentencia en CENDOJ - Agencia Española de Protección de Datos — Guía sobre tratamientos de control de presencia mediante sistemas biométricos
Consultar la guía de la AEPD - Reglamento General de Protección de Datos — Reglamento (UE) 2016/679
Consultar el RGPD en EUR-Lex - Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales
Consultar la ley en el BOE
Publicaciones y análisis consultados
- Merca2 — “La Justicia anula la guía antihuella: el fichaje biométrico en empresas vuelve a estar permitido”
Consultar el artículo - Autónomos y Emprendedor — “La Justicia anula la guía de Protección de Datos que limitaba el fichaje en las pymes con datos biométricos”
Consultar el artículo - Abogados Contratos — “La Audiencia Nacional habría anulado la guía de fichaje biométrico de la AEPD”
Consultar el análisis - BROSETA — Publicación sobre la anulación de la guía de la AEPD
Consultar la publicación en LinkedIn
Fuentes consultadas el 27 de julio de 2026. Este contenido tiene carácter exclusivamente informativo y no constituye asesoramiento jurídico.