Si tu empresa controla la jornada con fichaje con huella o reconocimiento facial —o te han ofrecido instalarlo—, habrás visto circular la noticia: una sentencia ha anulado la guía de la Agencia Española de Protección de Datos sobre control de presencia mediante sistemas biométricos. La lectura rápida invita a pensar que se ha levantado el veto. La lectura completa dice otra cosa.
Merece la pena detenerse en la letra pequeña, porque la diferencia entre lo que se ha anulado y lo que sigue vigente es exactamente la diferencia entre cumplir y exponerse a una sanción.
Qué ha decidido la Audiencia Nacional
La Sala de lo Contencioso-Administrativo de la Audiencia Nacional, en sentencia de 30 de junio de 2026 (recurso 84/2024, resolución 367/2026), estima el recurso interpuesto por la Asociación Española de Empresas de Seguridad y anula la Guía sobre tratamientos de control de presencia mediante sistemas biométricos, que la AEPD había publicado en su página web el 23 de noviembre de 2023.
Aquella guía fue, en la práctica, el documento que frenó en seco la implantación de sistemas de fichaje biométricos en España. Su conclusión de fondo era que el uso de datos biométricos para el simple control horario resultaba, con carácter general, desproporcionado, y que difícilmente existía una base jurídica válida que lo amparase.
Por qué se anula: una cuestión de forma, no de fondo
Este es el punto que conviene entender bien. El tribunal no entra a valorar si los criterios de la guía eran acertados o excesivos. Lo que examina es si la AEPD podía publicar ese documento como una simple guía informativa o si debía haberlo tramitado como Circular.
La respuesta es que, materialmente, funcionaba como una Circular. La sentencia se apoya en una doctrina consolidada del Tribunal Supremo: lo relevante no es el nombre que se le ponga a un documento, sino su contenido. Si un texto que se presenta como orientativo incluye previsiones que pretenden ser de obligado cumplimiento para terceros —lo que la jurisprudencia llama eficacia ad extra—, deja de ser un documento interno y pasa a ser una norma de naturaleza reglamentaria.
Tres elementos pesan en esa conclusión:
- El propio documento anunciaba que en él «se van a determinar los criterios» aplicables, un lenguaje que fija reglas en lugar de orientar.
- Cerraba con una extensa relación de conclusiones redactadas en términos taxativos, que configuraban un marco restrictivo destinado a influir en las decisiones de los responsables del tratamiento.
- La propia Agencia venía motivando sus resoluciones sancionadoras remitiéndose directamente a los criterios de la guía. Ese detalle, acreditado en el procedimiento, es el que delata que el documento operaba como norma.
Al no haberse seguido el procedimiento de elaboración previsto en el artículo 55 de la LOPDGDD y en el artículo 6 del Real Decreto 389/2021, por el que se aprueba el Estatuto de la AEPD, la Sala deja sin efecto su aprobación y publicación.
Qué significa esto si tu empresa ficha con huella o cara
Aquí está la parte que importa: en la práctica, no cambia nada. Y conviene decirlo con claridad, porque quien interprete esta sentencia como una vía libre puede llevarse un disgusto caro.
Lo que no cambia
- Las exigencias de fondo siguen vigentes. No nacían de la guía: nacen del RGPD y de la LOPDGDD. Los datos biométricos destinados a identificar de manera unívoca a una persona son categoría especial de datos (artículo 9.1 del RGPD) y su tratamiento está prohibido salvo que concurra alguna de las excepciones del artículo 9.2. Anular una guía por defecto de procedimiento no deroga un reglamento europeo.
- La AEPD puede seguir sancionando con los mismos criterios mientras no publique una versión revisada de la guía o una Circular con criterios distintos.
- Las sanciones ya impuestas con base en esos criterios desde noviembre de 2023 no quedan anuladas por esta sentencia.
- La sentencia no es firme. Cabe recurso de casación ante el Tribunal Supremo en el plazo de treinta días, de modo que el asunto puede tener recorrido.
Lo que sí deberías revisar
Si utilizas o estás valorando un sistema biométrico para el control horario o de accesos, el punto de partida sigue siendo el mismo que antes de la sentencia:
- Acreditar la necesidad real de tratar datos biométricos para esa finalidad concreta, y dejar documentado que se han descartado alternativas menos intrusivas: tarjeta, PIN, aplicación, registro manual. Este sigue siendo el punto crítico en los procedimientos sancionadores, y el que casi nunca está escrito en ninguna parte.
- Identificar la base habilitante del artículo 9.2 del RGPD. En el ámbito laboral el consentimiento del trabajador no se considera libre por el desequilibrio entre las partes, así que apoyarse en un formulario firmado no resuelve el problema.
- Disponer de evaluación de impacto (EIPD) previa a la implantación, y de la consulta a la representación legal de los trabajadores cuando proceda.
- Revisar el registro de actividades de tratamiento y la información que se facilita a la plantilla.
La obligación de registro de jornada del artículo 34.9 del Estatuto de los Trabajadores no exige biometría. Exige un registro fiable. Son cosas distintas, y el proveedor que las presenta como equivalentes está vendiendo, no asesorando.
Por qué la sentencia importa más allá del fichaje
Hay un segundo plano en esta resolución que interesa a cualquier empresa que trate datos personales, use o no biometría.
La Audiencia Nacional pone un límite a una práctica extendida: publicar documentos con apariencia orientativa que en realidad fijan criterios vinculantes, sin pasar por el procedimiento que la ley exige para aprobar normas. La sentencia razona que cerrar la puerta a impugnar esos documentos deja a los ciudadanos y a las empresas ante una alternativa incómoda: aceptar criterios que pueden ser contrarios a la ley, o asumir el coste de pleitear cada vez.
Traducido a la práctica: cuando una resolución sancionadora se apoye en una guía y no en la norma, hay margen para discutirlo. No es una carta blanca, pero sí un argumento que antes no estaba tan claro.
Qué esperamos que ocurra ahora
La propia AEPD tiene ya la guía marcada como «en revisión» en su sede electrónica. Lo previsible es que reaparezca en una versión revisada o, más probablemente, convertida en Circular tramitada en debida forma. Si ocurre lo segundo, el resultado será una norma más sólida y de impugnación más difícil que la guía anulada.
Mientras tanto, nuestra recomendación es sencilla: no cambies tus decisiones sobre estos sistemas a partir de esta sentencia. Si ya tienes biometría implantada y documentada, mantenla y revisa que la documentación esté al día. Si estabas esperando una señal para instalarla, esta no lo es.
¿Necesitas revisar tu sistema de control horario?
En Auditta llevamos años acompañando a pymes en este terreno, y la mayoría de los problemas que vemos no están en la tecnología, sino en la ausencia de un análisis previo escrito que justifique por qué se eligió. Si quieres saber si tu sistema de fichaje aguantaría una inspección, revisamos contigo la base jurídica, la evaluación de impacto y la información a la plantilla.
Escríbenos o llámanos y lo vemos sin compromiso.
Si te interesa el cruce entre control laboral y protección de datos, puede que también te resulten útiles nuestros artículos sobre el uso del móvil personal en el trabajo y el BYOD y sobre la desconexión digital y la sanción de 42.000 € por un WhatsApp.
Fuentes: CGPJ, Imagen de gstudioimagen en Magnific