Fichaje biométrico en empresas: cuándo puede ser legal y qué cambia tras la sentencia de 2026
La legalidad del fichaje biométrico no se resuelve con un simple “sí” o “no”. La Audiencia Nacional anuló el 30 de junio de 2026 la guía de la Agencia Española de Protección de Datos que había endurecido su uso, pero la sentencia no elimina el Reglamento General de Protección de Datos ni convierte la huella dactilar o el reconocimiento facial en métodos ordinarios de control horario.
Respuesta práctica: una empresa no debería instalar o reactivar un sistema biométrico solo porque la guía haya sido anulada. Antes necesita acreditar una base jurídica válida para tratar datos especialmente protegidos, demostrar que la biometría es realmente necesaria y proporcionada, evaluar los riesgos y explicar por qué no existe una alternativa menos intrusiva que cumpla la misma función.
El instrumento utilizado por la AEPD y su publicación, por funcionar como una circular encubierta sin seguir el procedimiento exigido.
El RGPD, la LOPDGDD, el principio de minimización y la protección reforzada de los datos biométricos.
Para el fichaje cotidiano, las tarjetas, PIN, aplicaciones o terminales no biométricos suelen implicar menos riesgo.
Qué decidió exactamente la Audiencia Nacional
La Sentencia 367/2026 de la Audiencia Nacional, dictada el 30 de junio de 2026 en el procedimiento ordinario 84/2024, estimó el recurso de la Asociación Española de Empresas de Seguridad y anuló la guía sobre control de presencia mediante sistemas biométricos publicada por la AEPD en noviembre de 2023.
El tribunal se centró en la naturaleza jurídica de aquel documento. Aunque se presentaba como una guía, formulaba criterios en términos suficientemente imperativos como para influir de manera directa en las decisiones de empresas y responsables del tratamiento. La Sala entendió que actuaba materialmente como una circular con efectos externos y que, por tanto, debía haberse tramitado mediante el procedimiento legal correspondiente.
La sentencia no resolvió el debate de fondo sobre todas las condiciones en las que puede utilizarse la biometría. Tampoco afirmó que cualquier empresa pueda volver a exigir la huella o el rostro para registrar la jornada. Además, el pronunciamiento era susceptible de recurso de casación cuando fue conocido públicamente. El alcance y los argumentos del fallo fueron explicados por el medio Autónomos y Emprendedor.
Anular una guía no equivale a aprobar una tecnología
El efecto inmediato es retirar el documento que fijaba aquel criterio, no crear una autorización general. Cada empresa continúa siendo responsable de justificar su tratamiento y puede responder ante una reclamación, una inspección o un procedimiento judicial.
Por qué la huella y el reconocimiento facial tienen protección reforzada
El RGPD define como biométricos los datos obtenidos mediante un tratamiento técnico específico de características físicas, fisiológicas o conductuales que permiten identificar o confirmar de manera única a una persona. Cuando se utilizan con esa finalidad, entran en la categoría especial del artículo 9.
Esta protección reforzada responde a una diferencia básica frente a una contraseña o una tarjeta. Una credencial puede sustituirse si se pierde o se filtra. Una huella, el patrón facial o determinadas características corporales acompañan a la persona durante toda su vida y pueden reutilizarse en contextos distintos al que motivó su recogida.
Por eso no basta con encontrar una base general del artículo 6 del RGPD. La empresa debe justificar también una de las excepciones específicas que permiten levantar la prohibición del artículo 9 y cumplir los principios de necesidad, proporcionalidad, minimización, limitación de finalidad, seguridad y conservación.
El registro de jornada es obligatorio, pero la biometría no
El artículo 34.9 del Estatuto de los Trabajadores obliga a la empresa a garantizar un registro diario que incluya la hora concreta de inicio y finalización de la jornada. La norma exige que exista un sistema fiable, pero no ordena que se utilicen huellas dactilares, reconocimiento facial o geometría de la mano.
Esta distinción es decisiva. La obligación de registrar la jornada puede legitimar el tratamiento de datos personales ordinarios necesario para fichar, pero no constituye por sí sola una autorización automática para tratar categorías especiales. La empresa debe separar dos preguntas:
- ¿Necesito identificar a la persona trabajadora para registrar su jornada? Normalmente, sí.
- ¿Necesito identificarla precisamente mediante un rasgo biométrico? En una oficina, comercio, almacén o pequeña empresa suele ser difícil justificarlo si funcionan una tarjeta, un PIN o una aplicación.
La propia AEPD explicó en 2023 que la biometría para control de presencia implica un tratamiento de alto riesgo y que debía superar un análisis de idoneidad, necesidad y proporcionalidad. Aunque la guía fue anulada en 2026 por el modo en que se aprobó, el marco general descrito por la AEPD sobre los riesgos biométricos ayuda a entender por qué no puede tratarse como un dato laboral corriente.
Cuándo podría defenderse un sistema biométrico
La posibilidad es más plausible en entornos donde existe un riesgo objetivo elevado y la finalidad no puede alcanzarse con la misma eficacia mediante una opción menos invasiva. Puede ocurrir, por ejemplo, en determinadas instalaciones críticas, zonas con materiales especialmente sensibles o procesos donde la suplantación produzca un peligro grave.
Incluso en esos escenarios, la existencia de una finalidad importante no basta. La empresa debe probar la relación entre el riesgo concreto y el uso de la biometría, limitar el tratamiento a las personas, lugares y horarios imprescindibles y mantener una alternativa de respaldo para incidencias o personas que no puedan utilizar el sistema.
| Situación | Riesgo jurídico orientativo | Decisión prudente |
|---|---|---|
| Fichaje diario de toda la plantilla en una oficina o comercio | Alto, porque suelen existir medios equivalentes menos intrusivos. | Priorizar PIN, tarjeta, QR, aplicación o terminal no biométrico. |
| Acceso a una zona crítica con riesgo acreditado de suplantación | Puede ser defendible, pero exige una justificación específica y garantías reforzadas. | Analizar la habilitación jurídica, la necesidad real y el alcance mínimo. |
| Biometría voluntaria con una alternativa equivalente | El consentimiento laboral puede no considerarse libre por el desequilibrio entre las partes. | No confiar únicamente en una casilla de aceptación; revisar toda la base jurídica. |
| Sistema ya instalado antes de la sentencia | La anulación de la guía no convalida automáticamente el tratamiento existente. | Reauditar el sistema y suspenderlo si no se puede acreditar su necesidad. |
Ocho comprobaciones antes de implantar fichaje biométrico
Definir la finalidad con precisión
No es suficiente indicar “control laboral” o “seguridad”. Debe explicarse qué problema concreto se pretende resolver: suplantaciones acreditadas, acceso a una zona crítica o cumplimiento de una obligación específica.
Identificar la doble base jurídica
Hay que justificar la licitud general del tratamiento y, además, la excepción que permite tratar datos biométricos como categoría especial. La obligación de registrar la jornada no responde automáticamente a ambas cuestiones.
Comparar alternativas menos intrusivas
La empresa debe documentar por qué una tarjeta nominativa, un PIN, una aplicación, un código QR o un terminal físico no ofrecen un resultado suficiente. La preferencia por la comodidad o por evitar tarjetas perdidas suele ser una justificación débil.
Realizar una evaluación de impacto
Cuando el tratamiento pueda entrañar un alto riesgo para los derechos y libertades, el artículo 35 del RGPD exige una Evaluación de Impacto para la Protección de Datos. Debe hacerse antes de poner el sistema en funcionamiento, no después de recibir una reclamación.
Superar el test de proporcionalidad
La medida tiene que ser idónea para alcanzar la finalidad, necesaria porque no existe otra opción igualmente eficaz y equilibrada frente al perjuicio que puede causar a la privacidad.
Revisar proveedor, almacenamiento y flujos de datos
Conviene saber si se almacena una imagen, una plantilla matemática o ambos elementos; dónde se guardan; quién accede; si existe tratamiento en la nube; y qué ocurre al finalizar la relación laboral.
Informar y consultar correctamente
La plantilla debe recibir información clara sobre finalidad, base jurídica, conservación, destinatarios, derechos y posibles transferencias. La organización del registro de jornada también debe respetar la consulta a la representación legal cuando corresponda.
Aplicar seguridad, borrado y revisión periódica
El cifrado, la separación de bases de datos, los permisos mínimos, los registros de acceso y el borrado efectivo son esenciales. La evaluación debe repetirse si cambia el proveedor, la tecnología, la finalidad o el número de personas afectadas.
Alternativas al fichaje biométrico con menor impacto
Para la mayoría de las empresas, la vía más segura es cumplir el registro horario sin captar rasgos corporales. La elección debe atender al tipo de plantilla, la movilidad, la existencia de teletrabajo y el riesgo real de suplantación.
Opciones habituales
- Tarjeta RFID o NFC nominativa.
- PIN individual en un terminal compartido.
- Aplicación con usuario y contraseña.
- Código QR renovable o asociado a una sesión.
- Portal web con autenticación corporativa.
- Terminal físico no biométrico.
Prácticas que añaden riesgo
- Geolocalizar de forma continua cuando solo se necesita registrar la entrada.
- Guardar imágenes faciales completas sin necesidad.
- Compartir una cuenta de fichaje entre varias personas.
- Conservar registros más tiempo del necesario.
- Usar datos de jornada para finalidades no informadas.
- Confiar toda la decisión al proveedor del software.
Una alternativa no es automáticamente válida por no ser biométrica. También debe respetar la minimización. Por ejemplo, una aplicación que rastrea la ubicación durante toda la jornada puede resultar más invasiva de lo necesario si bastaría con comprobar la posición únicamente en el momento del fichaje.
Qué derechos tiene la persona trabajadora
La plantilla debe conocer qué datos se recogen, para qué se utilizan, durante cuánto tiempo se conservarán y quién podrá consultarlos. También puede solicitar acceso a sus datos, pedir la rectificación de errores y cuestionar un tratamiento que considere desproporcionado.
Cuando la empresa exige biometría, la persona trabajadora puede pedir información sobre la base jurídica específica, la evaluación de impacto, las alternativas disponibles y las medidas de seguridad. La existencia de una instrucción empresarial no elimina los derechos de protección de datos.
Documentación mínima que debería poder mostrar la empresa
- Finalidad concreta y análisis de necesidad.
- Base de legitimación general y excepción del artículo 9.
- Evaluación de impacto y análisis de riesgos.
- Contrato y garantías del proveedor tecnológico.
- Política de conservación y borrado.
- Información facilitada a la plantilla.
- Medidas técnicas y organizativas aplicadas.
Errores frecuentes al interpretar la sentencia de 2026
- Confundir la anulación formal de una guía con una autorización general.
- Creer que el consentimiento firmado elimina cualquier problema.
- Usar la obligación de fichar como habilitación suficiente para la biometría.
- No comparar tecnologías menos intrusivas.
- Comprar el terminal antes de realizar la evaluación jurídica.
- Guardar datos biométricos sin plazo de borrado.
- Desconocer dónde procesa los datos el proveedor.
- Aplicar el sistema a toda la plantilla por un riesgo limitado a una zona.
- No ofrecer un procedimiento alternativo para fallos o excepciones.
- Reutilizar los datos para seguridad, productividad o disciplina sin informar.
Preguntas frecuentes sobre el fichaje con huella o reconocimiento facial
¿Es legal fichar con huella dactilar en España?
No existe una autorización general para utilizarla en cualquier empresa. Puede llegar a justificarse en situaciones excepcionales, pero requiere una base jurídica válida para datos especiales, necesidad acreditada, proporcionalidad y garantías reforzadas.
¿La sentencia de 2026 permite recuperar antiguos lectores de huella?
No de forma automática. Antes de reactivarlos, la empresa debe revisar el tratamiento conforme al RGPD, la LOPDGDD y la jurisprudencia aplicable. El hecho de que la guía haya sido anulada no subsana defectos de base jurídica, información o seguridad.
¿Basta con que el trabajador firme su consentimiento?
No necesariamente. En el ámbito laboral puede existir un desequilibrio que impida considerar el consentimiento completamente libre. Además, la empresa debe cumplir el resto de principios y demostrar que el sistema es necesario.
¿Una plantilla matemática de la huella sigue siendo un dato biométrico?
Puede serlo cuando se genera mediante un tratamiento técnico específico y se utiliza para identificar o autenticar de manera única a una persona. No deja de estar protegida simplemente porque no se almacene una fotografía visible de la huella.
¿Es obligatorio realizar una evaluación de impacto?
Debe realizarse cuando el tratamiento pueda entrañar un alto riesgo. El control sistemático de empleados mediante categorías especiales suele presentar factores suficientes para exigir o, como mínimo, hacer muy aconsejable una evaluación previa rigurosa.
¿Qué sistema es más recomendable para una pyme?
En la mayoría de casos, un sistema no biométrico que identifique de forma individual y genere registros fiables: tarjeta, PIN, aplicación o portal corporativo. La opción concreta dependerá del trabajo presencial, móvil o remoto.
Qué hacer si la empresa ya utiliza biometría
La actuación prudente es revisar el sistema desde cero y no limitarse a actualizar la política de privacidad. Hay que comprobar la finalidad, la base jurídica especial, las alternativas, la evaluación de impacto, la seguridad del proveedor y el plazo de borrado. Si no puede demostrarse que la biometría aporta una ventaja necesaria frente a un método menos intrusivo, mantenerla expone a la empresa a un riesgo difícil de justificar.
La situación puede seguir evolucionando mediante un eventual recurso, una nueva circular o guía de la AEPD y futuras resoluciones judiciales. Hasta que exista mayor claridad, las empresas que opten por la biometría deberán asumir un nivel de diligencia superior al requerido por un sistema de fichaje ordinario.
