La Audiencia Nacional ha anulado recientemente la guía de la Agencia Española de Protección de Datos (en adelante AEPD) sobre control horario biométrico por un defecto formal.
¿En qué consiste el control horario biométrico?
Un sistema de control de horario biométrico es una tecnología de fichaje que identifica o verifica la identidad de la persona utilizando rasgos físicos como la huella dactilar, la forma de la cara, el iris del ojo, la voz, etc.
En este sentido la AEPD considera que los sistemas biométricos conllevan un tratamiento de datos de alto riesgo, tanto para identificación como para autenticación, ya que pueden implicar la recogida de datos especialmente sensibles relacionados con la de salud, por ejemplo.
La norma no establece la ilegalidad de este tipo de fichajes, pero considera que es una medida de registro muy invasiva y que excede de la finalidad para la que los datos son recabados por lo que recomienda otros métodos como las tarjetas o las aplicaciones informáticas a través de un ordenador o un teléfono móvil.
¿Qué es la guía de la AEPD sobre control horario biométrico?
Esta guía es un documento publicado el 23 de noviembre de 2023 por la AEPD que restringía el control horario a través de sistemas biométricos tales como la huella dactilar o el reconocimiento facial considerándolos desproporcionados y de alto riesgo para la finalidad para la que los datos son recabados.
Este documento se publicó formalmente u oficialmente como una mera guía informativa, no obstante, en la práctica funcionaba como una norma de obligado cumplimiento en la que se basaban muchas resoluciones de la AEPD para imponer sanciones.
El caso
La Sala de lo Contencioso-Administrativo de la Audiencia Nacional (Sección 1.ª), en su reciente Sentencia n.º 367/2026, de 30 de junio, estimó el recurso interpuesto por una asociación contra la guía sobre control de presencia mediante sistemas biométricos, publicada por la AEPD dejando sin efecto su aprobación.
No obstante, la propia resolución deja claro que no entra en la cuestión de fondo, es decir, sobre si los sistemas de fichaje biométricos son lícitos o ilícitos si no que dictamina la nulidad de esta guía de la AEPD por no haberse aprobado por el canal formal.
La Audiencia Nacional considera que el documento, por su contenido y efectos, debió tramitarse como una circular y no como una mera guía orientativa.
Respecto a las circulares el artículo 55 de la LOPD establece:
“1. La Presidencia de la Agencia Española de Protección de Datos podrá dictar disposiciones que fijen los criterios a que responderá la actuación de esta autoridad en la aplicación de lo dispuesto en el Reglamento (UE) 2016/679 y en la presente ley orgánica, que se denominarán «Circulares de la Agencia Española de Protección de Datos».
2. Su elaboración se sujetará al procedimiento establecido en el Estatuto de la Agencia Española de Protección de Datos, que deberá prever los informes técnicos y jurídicos que fueran necesarios y la audiencia a los interesados.”
Así mismo, el artículo 6.1 del Real Decreto 389/2021, de 1 de junio, por el que se aprueba el Estatuto de la Agencia Española de Protección de Datos establece:
“La persona titular de la Presidencia de la Agencia Española de Protección de Datos podrá dictar disposiciones que fijen los criterios a que responderá la actuación de esta autoridad en la aplicación de lo dispuesto en el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, y la Ley Orgánica 3/2018, de 5 de diciembre, que se denominarán «Circulares de la Agencia Española de Protección de Datos» y que serán obligatorias una vez publicadas en el «Boletín Oficial del Estado».”
Las circulares de la AEPD fijan criterios cuyo cumplimiento es obligatorio y a los que responde la actuación de la propia Agencia aplicando sanciones de diversa índole sobre los responsables del tratamiento ante un incumplimiento.
Por ese motivo, la Audiencia Nacional determina que la guía formalmente establecía recomendaciones o criterios orientativos, pero en la práctica constituía una circular en toda regla y al no haberse aprobado siguiendo el procedimiento formal de este tipo de normas que establece varios sistemas de control, procedía a estimar la demanda y dejar sin efecto la aprobación y publicación de la citada guía.
Consecuencias prácticas
Esto no debe malinterpretarse y considerar que la anulación de la guía como norma de obligado cumplimiento da “carta blanca” al uso de sistemas de control horario
biométricos en las empresas. El tratamiento de este tipo de datos en el entorno laboral con la finalidad de llevar a cabo el control de presencia de los trabajadores se sigue considerando desproporcionado.
El tratamiento de datos biométricos requiere una base jurídica explícita para su uso y debe respetar los principios de idoneidad, necesidad y proporcionalidad.
El artículo 34.9 del Estatuto de los Trabajadores establece:
“La empresa garantizará el registro diario de jornada, que deberá incluir el horario concreto de inicio y finalización de la jornada de trabajo de cada persona trabajadora, sin perjuicio de la flexibilidad horaria que se establece en este artículo.
Mediante negociación colectiva o acuerdo de empresa o, en su defecto, decisión del empresario previa consulta con los representantes legales de los trabajadores en la empresa, se organizará y documentará este registro de jornada.”
No obstante, este artículo por si sólo no es suficiente para justificar el uso de datos biométricos requiriéndose una excepción muy específica para hacerlo.
Tampoco significa que todas las sanciones vinculadas al uso de la biometría para el control horario de la jornada deban quedar sin efecto automáticamente pues pueden estar basadas en el incumplimiento del propio RGPD o de la LOPDGDD al no respetar los principios de idoneidad, necesidad y proporcionalidad.
En definitiva, la sentencia elimina la Guía como conjunto de pronunciamientos formulados en términos taxativos, pero mantiene inalterado el marco normativo general.
Conclusión
Las empresas deben actuar con cautela pues la anulación de la guía no autoriza a implantar sistemas biométricos de fichaje de manera indiscriminada pues el RGPD sobre el tratamiento de categorías especiales de datos (artículo 9 del RGPD) y la obligación de optar por medios menos invasivos cuando existan alternativas, sigue plenamente vigente.
Si buscas asesoramiento en este tema para saber qué posibilidades tienes y qué es lo que más te puede beneficiar, puedes solicitar una consulta personalizada en Juristas Europeos BF&A, despacho de abogados en Pozuelo de Alarcón, y resolveremos todas tus dudas
Últimos articulos de interes:
¿Puedo trabajar estando de excedencia?