La AN anula la Guía de Biométricos, ¿y ahora qué?

La Sección Primera de la Sala de lo Contencioso-Administrativo de la Audiencia Nacional ha dictado Sentencia de 30 de junio de 2026 (Procedimiento Ordinario 84/2024) por la que estima íntegramente el recurso interpuesto por la Asociación Española de Empresas de Seguridad (AES) y anula la Guía sobre tratamiento de control de presencia mediante sistemas biométricos, publicada en la web de la AEPD el 23 de noviembre de 2023.

Se trata del primer pronunciamiento judicial que anula una guía de la Agencia Española de Protección de Datos (AEPD) por considerar que, bajo la apariencia de un documento orientativo, fijaba criterios de actuación obligatorios para los responsables del tratamiento, constituyendo materialmente una circular encubierta que debió tramitarse conforme al procedimiento legalmente establecido.

La sentencia no entra a valorar si los criterios de la AEPD sobre el tratamiento de datos biométricos en el control de presencia eran acertados o no. El pronunciamiento se centra de forma exclusiva en la naturaleza jurídica del instrumento empleado.

La Sala aplica la doctrina consolidada del Tribunal Supremo –compilada, entre otras, en la STS de 24 de marzo de 2026 (rec. 2156/2023)– según la cual lo relevante no es el nomen iuris que se dé a un documento, sino su contenido material: si una instrucción, guía o circular interna no se limita a ordenar la actuación de los propios órganos administrativos, sino que incluye previsiones de obligado cumplimiento para terceros –es decir, pretende tener eficacia ad extra–, constituye una norma de naturaleza reglamentaria y será nula si no se ha elaborado conforme al procedimiento legalmente establecido.

La Audiencia Nacional concluye que la guía de la AEPD encaja exactamente en ese patrón. El propio documento anuncia que «se van a determinar los criterios para el tratamiento de control de presencia mediante sistemas biométricos». La sentencia advierte que la guía formula sus conclusiones «en términos taxativos» y configura un marco restrictivo que «indudablemente pretende influir en las decisiones que tomen los responsables del tratamiento», y destaca que la propia actuación posterior de la AEPD lo confirma: la Agencia motivó de forma recurrente sus resoluciones remitiéndose a los criterios interpretativos contenidos en la guía.

Todo ello lleva a la Sala a calificar la guía como una circular en el sentido del artículo 55 de la LOPDGDD y del artículo 6 del Real Decreto 389/2021 (Estatuto de la AEPD). Al no haberse sometido al procedimiento de elaboración exigido –que, entre otros puntos, requiere dictamen previo del Consejo de Estado y audiencia de los interesados–, la guía es contraria a derecho y debe ser anulada.

Qué no dice la sentencia

Es importante subrayar lo que la sentencia no dice. No cuestiona que los datos biométricos sean categoría especial de datos cuando se tratan con medios técnicos específicos para la identificación o autenticación unívoca de una persona, conforme al artículo 9.1 del RGPD y su considerando 51. Tampoco invalida la lógica de las consideraciones que la AEPD vertía en la guía sobre la necesidad de una habilitación legal específica, el principio de minimización, la exigencia de superar una Evaluación de Impacto o la problemática del consentimiento en el ámbito laboral. Como es lógico, los principios del RGPD siguen plenamente vigentes. Lo que la sentencia anula es el vehículo jurídico a través del cual la AEPD articuló su posición.

Y es precisamente aquí donde reside el mayor interés práctico del pronunciamiento. La anulación de la guía obliga a la AEPD a decidir cómo articular en adelante su posición sobre el uso de biometría en el control de presencia. Se abren, al menos, tres escenarios posibles, cada uno con implicaciones sustancialmente diferentes.

Escenarios de futuro

El primero pasa por que la AEPD formalice los criterios como circular. Si la Agencia opta por tramitar una circular conforme al artículo 55 de la LOPDGDD y al artículo 6 del Estatuto, los criterios resultantes serán obligatorios una vez publicados en el BOE, como establece la propia ley. Sin embargo, el procedimiento de elaboración exigirá la participación de los sectores afectados, la emisión de informes y el dictamen del Consejo de Estado, lo que podría dar lugar a un documento con matices, modulaciones o incluso criterios diferentes a los de la guía anulada.

El segundo escenario contempla que la AEPD emita una nueva guía genuinamente orientativa, un instrumento de soft law sin pretensión de obligatoriedad. En ese caso, deberá cuidar escrupulosamente que su contenido sea verdaderamente orientativo y no fije criterios de actuación con eficacia ad extra. La frontera entre orientar y obligar, como demuestra este pronunciamiento, es más delgada de lo que parece. Este escenario dejaría un mayor margen de interpretación a los responsables del tratamiento, pero también generaría más incertidumbre práctica.

En ausencia de un documento que fije criterios, los responsables del tratamiento deberán guiarse directamente por las disposiciones del RGPD, la LOPDGDD y la doctrina del Comité Europeo de Protección de Datos (CEPD), incluidas las Directrices 05/2022 sobre reconocimiento facial. La seguridad jurídica en este escenario sería menor, si bien los principios generales de protección de datos siguen operando como marco de referencia.

Alcance de la sentencia

La sentencia trasciende con mucho el ámbito de los datos biométricos. La doctrina que aplica –atender al contenido material y no al nombre del instrumento– es perfectamente extrapolable a cualquier otra guía de la AEPD, o de otra autoridad administrativa independiente que, bajo la apariencia de documento orientativo, fije criterios de actuación con efectos vinculantes para terceros.

La propia Sala reflexiona sobre las consecuencias que tendría cerrar la vía impugnatoria contra estos documentos. El razonamiento es elocuente: al considerar las instrucciones como actividades no impugnables, se pierde de vista que estas van a determinar la actuación de los órganos administrativos y proyectan evidentes efectos sobre los ciudadanos, «muchos de los cuales, no teniendo recursos o siendo el acceso a la jurisdicción gravoso, aceptarán las consecuencias de la aplicación de los criterios determinados en la instrucción, aun cuando puedan ser contrarios a la ley». El resultado, concluye la Sala, «compromete claramente el derecho a la tutela judicial efectiva». Cabe preguntarse, por tanto, si estamos ante el inicio de una revisión más amplia del papel del soft law de las autoridades de supervisión.

No puede pasarse por alto que la guía anulada fue publicada en noviembre de 2023, bajo la anterior dirección de la AEPD. En marzo de 2025 asumió la presidencia de la AEPD Lorenzo Cotino Hueso. La nueva presidencia de la Agencia se enfrenta ahora a la necesidad de articular una respuesta institucional al pronunciamiento judicial y, de hecho, la guía aparece ya marcada como «en revisión» en la web de la AEPD. La decisión que se adopte –y el instrumento que se escoja– será un indicador relevante del enfoque que la actual presidencia quiera imprimir a la regulación de los tratamientos biométricos y podría condicionar la posición de la Agencia en otros ámbitos igualmente sensibles.

Las empresas que utilicen o contemplen utilizar sistemas biométricos de control de presencia deberán seguir realizando una evaluación rigurosa de la necesidad y proporcionalidad del tratamiento, contar con una base de legitimación adecuada y, en su caso, superar una Evaluación de Impacto. La anulación de la guía no equivale a una liberalización del uso de la biometría; supone más bien un vacío de criterio oficial que, paradójicamente, exige mayor diligencia por parte de los responsables del tratamiento hasta que la AEPD defina su nueva posición.