La respuesta que acaba de ofrecer la Audiencia Nacional tiene consecuencias importantes tanto para quienes distribuyen sistemas biométricos, como para las organizaciones que los implantan: si una guía fija criterios que van más allá de la orientación y determina cómo actuará la Agencia, debe tramitarse como circular. Y si no lo ha hecho, puede impugnarse y anularse.
Eso es exactamente lo que ha ocurrido con la Guía sobre tratamiento de control de presencia mediante sistemas biométricos, publicada por la AEPD en noviembre de 2023 y anulada por sentencia de 30 de junio de 2026 (SAN 2870/2026).
El contexto: qué dice la guía
Los datos biométricos (huellas dactilares, reconocimiento facial, geometría del iris) son categoría especial de datos bajo el artículo 9 del Reglamento General de Protección de Datos (RGPD). Eso significa que existe una prohibición general de tratamiento, salvo que concurra alguna de las excepciones expresamente previstas. El marco es, por tanto, más exigente que para los datos ordinarios.
En este contexto, la AEPD publicó en 2023 una guía que establecía, en términos categóricos, qué bases jurídicas pueden utilizarse para tratar datos biométricos con fines de control de asistencia y acceso en el ámbito laboral. Sus conclusiones eran restrictivas: ni el consentimiento de la persona trabajadora, cuya libertad real se ve comprometida por el desequilibrio inherente a la relación laboral, ni el interés legítimo del empleador (cuando existen alternativas menos invasivas) son bases válidas. La habilitación queda circunscrita, esencialmente, a que un convenio colectivo o una norma legal lo ampare expresamente.
Desde su publicación, la AEPD ha utilizado esta guía para motivar sus resoluciones sancionadoras en la materia.
Ahora bien, la Ley Orgánica de Protección de Datos y Garantía de los Derechos Digitales (LOPDGDD) distingue dos instrumentos diferenciados:
Por un lado, las circulares (artículo 55): disposiciones que fijan criterios a los que responderá la actuación de la Agencia, obligatorias una vez publicadas en el Boletín Oficial del Estado, y que deben elaborarse siguiendo un procedimiento equivalente al reglamentario.
Por otro, las guías, directrices y orientaciones (disposición adicional decimoctava): herramientas de apoyo al cumplimiento del principio de responsabilidad activa, con carácter orientativo.
La AEPD calificó su documento como "guía" y lo amparó en esta segunda base. El problema que identifica la Audiencia Nacional es que el contenido no se correspondía con esa calificación.
El criterio que aplica el Tribunal, es que lo relevante no es el nombre del documento, es lo que contiene. Si una guía, circular o instrucción no se limita a orientar y fija criterios de obligado cumplimiento con efectos sobre terceros, es materialmente una norma de naturaleza reglamentaria. En ese caso, debe tramitarse como tal o, de lo contrario, es nula.
En este asunto, la propia guía declaraba que en ella "se van a determinar los criterios para el tratamiento de control de presencia mediante sistemas biométricos". No se presentaba como una recopilación de buenas prácticas, sino como un marco de referencia que la Agencia aplicaría. Su uso sistemático en resoluciones posteriores lo confirmaba. Para la Sala, eso es suficiente para entender que el documento operaba materialmente como una circular. Al no haberse tramitado por ese cauce, procede su anulación.
Esta anulación tiene tres consecuencias que conviene tener presentes:
La primera afecta a las organizaciones que ya tienen implantados sistemas biométricos de control de presencia. Con la anulación de la guía, el marco interpretativo de referencia queda formalmente vacío hasta que la AEPD formalice su posición a través del cauce procedimental correcto. Esto no significa que el tratamiento quede libre de restricciones porque el artículo 9 del RGPD sigue vigente y las excepciones a la prohibición general no han cambiado. Pero sí significa que la interpretación concreta que la AEPD hacía de ese marco ya no cuenta con respaldo normativo formal.
La segunda afecta a los procedimientos sancionadores dictados con apoyo en esa guía. Aquellas resoluciones que motivaban la infracción citando los criterios del documento anulado pueden verse cuestionadas. Cada caso dependerá de si el razonamiento sancionador se sostenía más allá de esa referencia.
La tercera, y quizás la más estructural, obliga a la AEPD a replantear cómo formaliza sus criterios en materias técnicamente complejas. Si quiere que sus posiciones tengan efectos vinculantes generales, debe tramitarlas como circulares. Si opta por guías, deberá aceptar que no pueden operar como normas encubiertas. La sentencia es susceptible de recurso de casación ante el Tribunal Supremo, por lo que no es la última palabra.
Para quienes gestionan o distribuyen sistemas de control de presencia biométrico, la lectura práctica es que se encuentran en el momento de revisar la documentación que sostiene esos tratamientos, identificar si el análisis de base jurídica dependía de los criterios de la guía anulada, y anticipar que la AEPD, si mantiene su posición de fondo, deberá tramitarla formalmente. Hasta entonces, el vacío existe. Y actuar como si no existiera tiene sus propios riesgos.
Redactado por Elena, a fecha 30 de julio de 2026.