Fichaje biométrico en empresas: qué cambia tras la anulación de la guía de la AEPD
La Audiencia Nacional ha anulado la guía con la que la Agencia Española de Protección de Datos (AEPD) fijó en 2023 criterios muy restrictivos para el fichaje biométrico en empresas. La resolución, fechada el 30 de junio de 2026 según la información difundida sobre el fallo, cuestiona el procedimiento seguido para aprobar un documento con efectos semejantes a una norma. No supone, sin embargo, una autorización general para controlar la jornada mediante huella dactilar o reconocimiento facial.
La decisión responde al recurso presentado por la Asociación Española de Empresas de Seguridad (AES). De acuerdo con la información publicada por Autónomos y Emprendedor, la sala considera que la guía actuaba en la práctica como una «circular encubierta» y que, por su eficacia frente a terceros, debía haberse tramitado con las garantías previstas para ese tipo de disposiciones. El alcance definitivo dependerá de la publicación íntegra de la sentencia, de su firmeza y de la respuesta de la AEPD.
Por qué se anula la guía sobre fichaje biométrico
La guía de la AEPD sobre control de presencia mediante sistemas biométricos consideró estos tratamientos de alto riesgo y sostuvo que la obligación empresarial de registrar la jornada no bastaba, por sí sola, para levantar la prohibición general que afecta a las categorías especiales de datos. Su aplicación llevó a muchas organizaciones a sustituir lectores de huella por tarjetas, códigos, aplicaciones u otros métodos menos intrusivos.
El reproche judicial conocido es de carácter procedimental. La Audiencia Nacional no habría declarado que la protección reforzada de los datos biométricos sea inválida ni que cualquier empresario pueda utilizarlos sin más. Lo que se cuestiona es que la AEPD impusiera criterios generales y taxativos a través de una guía sin seguir el procedimiento formal que correspondería a una disposición con efectos normativos.
Esta diferencia es decisiva. Una sentencia que anula un acto por cómo fue aprobado no elimina automáticamente las obligaciones que proceden de normas de rango superior. Tampoco resuelve de forma individual la licitud de todos los sistemas existentes: cada tratamiento debe analizarse atendiendo a su finalidad, diseño, riesgos y alternativas.
El fichaje con huella no queda autorizado de forma automática
El artículo 9 del Reglamento General de Protección de Datos mantiene la prohibición general de tratar datos biométricos dirigidos a identificar de manera unívoca a una persona, salvo que concurra alguna de las excepciones previstas. Además, la empresa necesita una base jurídica para el tratamiento conforme al artículo 6 del mismo reglamento.
Por eso, la mera capacidad del empleador para organizar y controlar el trabajo no convierte cualquier tecnología en necesaria. También debe poder demostrar que el sistema es adecuado y proporcionado, que no existe una alternativa razonablemente eficaz y menos invasiva y que el tratamiento se limita a los datos imprescindibles.
Una cautela importante: el consentimiento del trabajador no soluciona automáticamente el problema. En una relación laboral puede resultar difícil acreditar que se presta con plena libertad por el desequilibrio existente entre las partes, especialmente si rechazar el sistema acarrea consecuencias.
Registro horario y biometría son obligaciones distintas
Las empresas continúan obligadas a garantizar el registro diario de la jornada. El artículo 34.9 del Estatuto de los Trabajadores exige incluir la hora concreta de inicio y finalización, conservar los registros durante cuatro años y mantenerlos a disposición de las personas trabajadoras, sus representantes y la Inspección de Trabajo.
La norma laboral no impone una herramienta concreta. Un registro horario puede organizarse mediante tarjeta, clave personal, aplicación, terminal o parte firmado, siempre que el método sea fiable y respete las demás obligaciones aplicables. La biometría es una posible tecnología de identificación, pero añade un tratamiento especialmente sensible que exige una justificación separada.
Qué deberían revisar ahora las empresas
La anulación aconseja revisar las decisiones adoptadas, pero no precipitar cambios técnicos. Antes de activar o recuperar un lector de huellas o un sistema de reconocimiento facial, una pyme debería documentar al menos estas cuestiones:
- Finalidad y necesidad: explicar qué problema concreto resuelve la biometría y por qué una tarjeta, un PIN u otro método no ofrece una solución suficiente.
- Base jurídica y excepción: identificar tanto la base del artículo 6 como la condición del artículo 9 del RGPD que permitiría tratar una categoría especial de datos.
- Evaluación de impacto: analizar previamente los riesgos para los trabajadores, las posibles suplantaciones, las brechas de seguridad y los efectos de una identificación errónea.
- Diseño y conservación: comprobar si se almacena una plantilla biométrica o una imagen, dónde se guarda, quién accede y cuándo se elimina.
- Información y alternativas: comunicar el tratamiento con claridad y estudiar un procedimiento alternativo para los casos en que resulte necesario.
También conviene revisar los contratos con proveedores. Que el fabricante asegure que la huella «no se guarda» no basta para excluir la normativa: una plantilla matemática creada para reconocer de forma única a una persona puede seguir siendo un dato biométrico. La empresa conserva su responsabilidad sobre el sistema aunque el tratamiento técnico lo realice un tercero.
Los próximos pasos que determinarán el alcance real
Las organizaciones deberán vigilar tres novedades: la publicación del texto completo de la sentencia, la posibilidad de recurso y la reacción formal de la AEPD. La agencia puede actualizar sus criterios o tramitar un nuevo instrumento con las garantías señaladas por el tribunal. Hasta que ese escenario se aclare, la opción más prudente es mantener los métodos menos intrusivos que ya funcionen y someter cualquier proyecto biométrico a una revisión jurídica y técnica individualizada.
La resolución reabre el debate sobre el control horario biométrico, pero no borra el marco de protección de datos. Para las empresas, el cambio principal es que la guía deja de operar en los términos en que fue aprobada; la carga de demostrar que el uso de huellas o rasgos faciales es legal, necesario y proporcionado continúa recayendo en quien decide implantarlo.
Redactor especializado en SEO, desarrollo web y tecnología.
Después de años trabajando en proyectos digitales, escribo sobre posicionamiento web, diseño, WordPress, ecommerce y nuevas tecnológicas desde una visión práctica. Mi objetivo es explicar de forma clara cómo mejorar la presencia online de una empresa y aprovechar mejor las oportunidades del entorno digital.
Deja una respuesta