Sentencia Contencioso-Administrativo 367/2026 Audiencia Nacional. Sala de lo Contencioso-Administrativo. Sección Primera, Rec. 84/2024 de 30 de junio del 2026

PRIMERO.- El recurso contencioso-administrativo se interpone contra la Guía sobre tratamiento de control de presencia mediante sistemas biométricos, publicada en la página web de la AEPD el 23 de noviembre del 2023.

SEGUNDO.- La excepción de falta de legitimación activa debe ser rechazada. Los asociados son empresas de seguridad que tienen un evidente interés en la implantación de sistemas de control de accesos basados en datos biométricos y los criterios que se fijen en esta materia pueden condicionar su actividad.

TERCERO.-La cuestión nuclear a decidir en este proceso es determinar si el documento publicado por la AEPD debió elaborarse siguiendo el procedimiento previsto en el artículo 6 del Real Decreto 389/2021, de 21 de junio, por el que se aprueba el Estatuto de la Agencia Española de Protección de Datos, al que se remite el artículo 55 LOPD, o siendo meras pautas que promueven el cumplimiento de las obligaciones de responsabilidad activa tienen su base legal en la disposición adicional decimoctava LOPD.

El artículo 55 LOPD se refiere a las potestades de regulación de la Agencia, mediante el dictado de circulares. Estas se definen como "disposiciones que fijan los criterios a que responderá la actuación de esta autoridad en la aplicación de lo dispuesto en el Reglamento (UE) 2016/679 y en la presente ley orgánica" y en cuanto a sus efectos señala que "serán obligatorias una vez publicadas en el BOE".

La redacción del precepto resultó modificada a raíz del dictamen del Consejo de Estado nº 757/2017, que consideró que el artículo 129.4 Ley 39/2015 exigía como requisito para atribuir potestad reglamentaria para adoptar normas de desarrollo de una ley a las autoridades independientes que "la naturaleza de la materia así lo exija"; y siendo la materia de protección de datos personales catalogada como derecho fundamental, la intervención del reglamento no era aconsejable.

El resultado es una figura híbrida, que se aprueba mediante un procedimiento equivalente al seguido para la aprobación de los reglamentos, y se publica en el Boletín Oficial del Estado, como si de una norma se tratara, y se indica expresamente que será obligatoria, entrando en vigor en la forma en que lo hacen las leyes y reglamentos.

El carácter obligatorio de esta instrucción con efectos generales, huelga decirlo, se proyectará sobre los órganos de la Agencias y sobre los responsables y encargados del tratamiento de datos personales, sin perjuicio de que éstos últimos puedan impugnarla ante los tribunales.

En el fondo viene a romper la concepción de las instrucciones como órdenes de servicio que solo despliegan efectos internos- obligando a los órganos y unidades administrativas- pero no frente a los ciudadanos, razón por la que la jurisprudencia siempre ha cerrado la vía de impugnación directa.

Al considerar las instrucciones u órdenes de servicio como actividades no impugnables, se pierde de vista que éstas van a determinar la actuación de los órganos administrativos y proyectan evidentes efectos sobre los ciudadanos, muchos de los cuáles, no teniendo recursos o siendo el acceso a la jurisdicción gravoso, aceptarán las consecuencias de la aplicación de los criterios determinados en la instrucción, aún cuando puedan ser contrarios a la ley.

En definitiva, el cierre del proceso frente a estas instrucciones supone elegir entre una intervención inmediata de los tribunales que evite la aplicación desviada de una norma, o una intervención ex post cuando se hayan generado múltiples procesos o se hayan consolidado situaciones ilegales por no querer soportar los ciudadanos la carga de entablar acciones. El resultado difícilmente se puede justificar invocando el carácter revisor de este orden jurisdiccional, y compromete claramente el derecho a la tutela judicial efectiva.

CUARTO.- La jurisprudencia del Tribunal Supremo sí ha puesto especial empeño en analizar si bajo la forma encubierta de una instrucción se contienen mandatos que proyectan efectos frente a los ciudadanos.

Esta jurisprudencia es compilada en la reciente STS de 24 de marzo del 2026 (recurso nº 2156/2023), en la que recordando la doctrina de las sentencias de 21 de junio de 2006 (recurso nº 3837/2000), 12 de diciembre de 2006 (recurso nº 2284/2005), 18 de junio de 2013 (recurso nº 668/2012), 4 de junio de 2018 (recurso nº 1721/2017), y la de 26 de enero de 2021 (recurso nº 3439/2019), de julio de 2023 (recurso nº 4831/2021), 26 de abril de 2024 ( recurso nº 1991/2023), 26 de febrero de 2026 ( recurso nº1387/2023) y 10 de marzo de 2026 (recurso nº 1256/2023) dice lo siguiente:

"lo relevante no es tanto el nomen iuris, sino el contenido de la disposición en cuestión. Esto es, si una circular o instrucción interna no se limita a ordenar y regular la actuación de los propios funcionarios o agentes de la Administración, sino que incluye previsiones que pretenden ser de obligado cumplimiento para terceros, o lo que es igual, si pretende tener eficacia ad extra, es evidente que en esa medida no es propiamente una circular interna, sino una norma de naturaleza reglamentaria. En consecuencia, será nula -al menos, en cuanto a esas previsiones de eficacia ad extra-por no haber sido elaborada de conformidad con el procedimiento legalmente establecido o, en su caso, carecerá de validez y eficacia ad extra."

En el específico ámbito de la protección de datos personales encontramos la STS de 16 de febrero del 2007 (recurso nº 220/2003), se reproduce en términos similares dicha doctrina. Debe puntualizarse que esta sentencia se refiere a una circular dictada antes de la entrada en vigor de la LOPD del 2018.

En prácticamente todas las sentencias analizadas no se aprecia utilización fraudulenta de la figura de la instrucción o circular para encubrir un reglamento, a excepción de la STS de 7 de noviembre del 2024 (recurso nº 2486/2023).

De esta jurisprudencia podemos extraer como pauta para resolver este recurso, la necesidad de atender no a como se nombran las cosas, sino a lo que son. Eso sí, en nuestro caso no se tratará de analizar si la guía contiene normas que innoven el ordenamiento jurídico, sino si son el anuncio de criterios de actuación de la Agencia que van a ser observados para exigir a los responsables y encargados del tratamiento de datos personales el cumplimiento del principio de responsabilidad activa, con la intención de influir en las decisiones de estos.

QUINTO.- La calificación del documento publicado como guía utiliza la base legal de la disposición adicional decimoctava que permite a la Agencia desarrollar "herramientas, guías, directrices y orientaciones que resulten precisas para dotar a los profesionales, microempresas y pequeñas y medianas empresas de pautas adecuadas para el cumplimiento de las obligaciones de responsabilidad activa...". Todas estas figuras, con una variedad de denominaciones prolija, tienen una difícil delimitación con las circulares, y pueden albergar verdaderas instrucciones encubiertas.

Ante la alegación de la Abogacía del Estado relativa a que el documento solo contiene una recopilación de criterios jurisprudenciales, debemos atender a lo que el propio documento enuncia:

"En el presente documento se van a determinar los criterios para el tratamiento de control de presencia mediante sistemas biométricosde acuerdo con el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46 /CE ( Reglamento general de protección de datos, en adelante "RGPD")".

Esto se corrobora con las actuaciones posteriores de la AEPD que, de forma recurrente, motiva sus resoluciones remitiéndose a los criterios interpretativos contenidos en la guía publicada. Ejemplo de esto son las resoluciones aportadas por el demandante.

Entre los criterios que se desarrollan en la guía, basados ciertamente en criterios jurisprudenciales y normas de aplicación, se anuncia al menos el cambio de criterios de actuación en un supuesto, apoyándose en la línea de actuación de la autoridad de control catalana.

El documento finaliza con una extensa relación de conclusiones, formuladas en términos taxativos, y que configuran un marco restrictivo para la implantación sistemas biométricos de tratamiento de datos para el control de presencia de personas, que indudablemente pretende influir en las decisiones que tomen los responsables del tratamiento sobre los medios de tratamiento de datos a utilizar y desalientan a los distribuidores de estos sistemas en nuestro país.

A nuestro juicio, el documento contiene la fijación de criterios a los que responderá la actuación de la Agencia en materia de sistemas biométricos para el control de presencia de personas, con indudables efectos sobre los responsables del tratamiento, por lo que materialmente debe considerarse una circular, en el sentido del artículo 55 LOPD y artículo 6 RD 389/2021.

No habiéndose sometido la fijación de estos criterios de actuación al procedimiento de elaboración previsto en dichos preceptos, debemos estimar la demanda y dejar sin efecto su aprobación y publicación.

SEXTO.- No haremos un especial pronunciamiento sobre las costas, de conformidad con lo dispuesto en el artículo 139.1 de la Ley de la Jurisdicción Contencioso-Administrativa, en atención a la especial complejidad de este asunto.

Vistos los artículos citados y demás de general aplicación, la Sala de lo Contencioso-Administrativo de la Audiencia Nacional, sección primera, ha dictado el siguiente

PRIMERO.- El recurso contencioso-administrativo se interpone contra la Guía sobre tratamiento de control de presencia mediante sistemas biométricos, publicada en la página web de la AEPD el 23 de noviembre del 2023.

SEGUNDO.- La excepción de falta de legitimación activa debe ser rechazada. Los asociados son empresas de seguridad que tienen un evidente interés en la implantación de sistemas de control de accesos basados en datos biométricos y los criterios que se fijen en esta materia pueden condicionar su actividad.

TERCERO.-La cuestión nuclear a decidir en este proceso es determinar si el documento publicado por la AEPD debió elaborarse siguiendo el procedimiento previsto en el artículo 6 del Real Decreto 389/2021, de 21 de junio, por el que se aprueba el Estatuto de la Agencia Española de Protección de Datos, al que se remite el artículo 55 LOPD, o siendo meras pautas que promueven el cumplimiento de las obligaciones de responsabilidad activa tienen su base legal en la disposición adicional decimoctava LOPD.

El artículo 55 LOPD se refiere a las potestades de regulación de la Agencia, mediante el dictado de circulares. Estas se definen como "disposiciones que fijan los criterios a que responderá la actuación de esta autoridad en la aplicación de lo dispuesto en el Reglamento (UE) 2016/679 y en la presente ley orgánica" y en cuanto a sus efectos señala que "serán obligatorias una vez publicadas en el BOE".

La redacción del precepto resultó modificada a raíz del dictamen del Consejo de Estado nº 757/2017, que consideró que el artículo 129.4 Ley 39/2015 exigía como requisito para atribuir potestad reglamentaria para adoptar normas de desarrollo de una ley a las autoridades independientes que "la naturaleza de la materia así lo exija"; y siendo la materia de protección de datos personales catalogada como derecho fundamental, la intervención del reglamento no era aconsejable.

El resultado es una figura híbrida, que se aprueba mediante un procedimiento equivalente al seguido para la aprobación de los reglamentos, y se publica en el Boletín Oficial del Estado, como si de una norma se tratara, y se indica expresamente que será obligatoria, entrando en vigor en la forma en que lo hacen las leyes y reglamentos.

El carácter obligatorio de esta instrucción con efectos generales, huelga decirlo, se proyectará sobre los órganos de la Agencias y sobre los responsables y encargados del tratamiento de datos personales, sin perjuicio de que éstos últimos puedan impugnarla ante los tribunales.

En el fondo viene a romper la concepción de las instrucciones como órdenes de servicio que solo despliegan efectos internos- obligando a los órganos y unidades administrativas- pero no frente a los ciudadanos, razón por la que la jurisprudencia siempre ha cerrado la vía de impugnación directa.

Al considerar las instrucciones u órdenes de servicio como actividades no impugnables, se pierde de vista que éstas van a determinar la actuación de los órganos administrativos y proyectan evidentes efectos sobre los ciudadanos, muchos de los cuáles, no teniendo recursos o siendo el acceso a la jurisdicción gravoso, aceptarán las consecuencias de la aplicación de los criterios determinados en la instrucción, aún cuando puedan ser contrarios a la ley.

En definitiva, el cierre del proceso frente a estas instrucciones supone elegir entre una intervención inmediata de los tribunales que evite la aplicación desviada de una norma, o una intervención ex post cuando se hayan generado múltiples procesos o se hayan consolidado situaciones ilegales por no querer soportar los ciudadanos la carga de entablar acciones. El resultado difícilmente se puede justificar invocando el carácter revisor de este orden jurisdiccional, y compromete claramente el derecho a la tutela judicial efectiva.

CUARTO.- La jurisprudencia del Tribunal Supremo sí ha puesto especial empeño en analizar si bajo la forma encubierta de una instrucción se contienen mandatos que proyectan efectos frente a los ciudadanos.

Esta jurisprudencia es compilada en la reciente STS de 24 de marzo del 2026 (recurso nº 2156/2023), en la que recordando la doctrina de las sentencias de 21 de junio de 2006 (recurso nº 3837/2000), 12 de diciembre de 2006 (recurso nº 2284/2005), 18 de junio de 2013 (recurso nº 668/2012), 4 de junio de 2018 (recurso nº 1721/2017), y la de 26 de enero de 2021 (recurso nº 3439/2019), de julio de 2023 (recurso nº 4831/2021), 26 de abril de 2024 ( recurso nº 1991/2023), 26 de febrero de 2026 ( recurso nº1387/2023) y 10 de marzo de 2026 (recurso nº 1256/2023) dice lo siguiente:

"lo relevante no es tanto el nomen iuris, sino el contenido de la disposición en cuestión. Esto es, si una circular o instrucción interna no se limita a ordenar y regular la actuación de los propios funcionarios o agentes de la Administración, sino que incluye previsiones que pretenden ser de obligado cumplimiento para terceros, o lo que es igual, si pretende tener eficacia ad extra, es evidente que en esa medida no es propiamente una circular interna, sino una norma de naturaleza reglamentaria. En consecuencia, será nula -al menos, en cuanto a esas previsiones de eficacia ad extra-por no haber sido elaborada de conformidad con el procedimiento legalmente establecido o, en su caso, carecerá de validez y eficacia ad extra."

En el específico ámbito de la protección de datos personales encontramos la STS de 16 de febrero del 2007 (recurso nº 220/2003), se reproduce en términos similares dicha doctrina. Debe puntualizarse que esta sentencia se refiere a una circular dictada antes de la entrada en vigor de la LOPD del 2018.

En prácticamente todas las sentencias analizadas no se aprecia utilización fraudulenta de la figura de la instrucción o circular para encubrir un reglamento, a excepción de la STS de 7 de noviembre del 2024 (recurso nº 2486/2023).

De esta jurisprudencia podemos extraer como pauta para resolver este recurso, la necesidad de atender no a como se nombran las cosas, sino a lo que son. Eso sí, en nuestro caso no se tratará de analizar si la guía contiene normas que innoven el ordenamiento jurídico, sino si son el anuncio de criterios de actuación de la Agencia que van a ser observados para exigir a los responsables y encargados del tratamiento de datos personales el cumplimiento del principio de responsabilidad activa, con la intención de influir en las decisiones de estos.

QUINTO.- La calificación del documento publicado como guía utiliza la base legal de la disposición adicional decimoctava que permite a la Agencia desarrollar "herramientas, guías, directrices y orientaciones que resulten precisas para dotar a los profesionales, microempresas y pequeñas y medianas empresas de pautas adecuadas para el cumplimiento de las obligaciones de responsabilidad activa...". Todas estas figuras, con una variedad de denominaciones prolija, tienen una difícil delimitación con las circulares, y pueden albergar verdaderas instrucciones encubiertas.

Ante la alegación de la Abogacía del Estado relativa a que el documento solo contiene una recopilación de criterios jurisprudenciales, debemos atender a lo que el propio documento enuncia:

"En el presente documento se van a determinar los criterios para el tratamiento de control de presencia mediante sistemas biométricosde acuerdo con el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46 /CE ( Reglamento general de protección de datos, en adelante "RGPD")".

Esto se corrobora con las actuaciones posteriores de la AEPD que, de forma recurrente, motiva sus resoluciones remitiéndose a los criterios interpretativos contenidos en la guía publicada. Ejemplo de esto son las resoluciones aportadas por el demandante.

Entre los criterios que se desarrollan en la guía, basados ciertamente en criterios jurisprudenciales y normas de aplicación, se anuncia al menos el cambio de criterios de actuación en un supuesto, apoyándose en la línea de actuación de la autoridad de control catalana.

El documento finaliza con una extensa relación de conclusiones, formuladas en términos taxativos, y que configuran un marco restrictivo para la implantación sistemas biométricos de tratamiento de datos para el control de presencia de personas, que indudablemente pretende influir en las decisiones que tomen los responsables del tratamiento sobre los medios de tratamiento de datos a utilizar y desalientan a los distribuidores de estos sistemas en nuestro país.

A nuestro juicio, el documento contiene la fijación de criterios a los que responderá la actuación de la Agencia en materia de sistemas biométricos para el control de presencia de personas, con indudables efectos sobre los responsables del tratamiento, por lo que materialmente debe considerarse una circular, en el sentido del artículo 55 LOPD y artículo 6 RD 389/2021.

No habiéndose sometido la fijación de estos criterios de actuación al procedimiento de elaboración previsto en dichos preceptos, debemos estimar la demanda y dejar sin efecto su aprobación y publicación.

SEXTO.- No haremos un especial pronunciamiento sobre las costas, de conformidad con lo dispuesto en el artículo 139.1 de la Ley de la Jurisdicción Contencioso-Administrativa, en atención a la especial complejidad de este asunto.

Vistos los artículos citados y demás de general aplicación, la Sala de lo Contencioso-Administrativo de la Audiencia Nacional, sección primera, ha dictado el siguiente

PRIMERO.- El recurso contencioso-administrativo se interpone contra la Guía sobre tratamiento de control de presencia mediante sistemas biométricos, publicada en la página web de la AEPD el 23 de noviembre del 2023.

SEGUNDO.- La excepción de falta de legitimación activa debe ser rechazada. Los asociados son empresas de seguridad que tienen un evidente interés en la implantación de sistemas de control de accesos basados en datos biométricos y los criterios que se fijen en esta materia pueden condicionar su actividad.

TERCERO.-La cuestión nuclear a decidir en este proceso es determinar si el documento publicado por la AEPD debió elaborarse siguiendo el procedimiento previsto en el artículo 6 del Real Decreto 389/2021, de 21 de junio, por el que se aprueba el Estatuto de la Agencia Española de Protección de Datos, al que se remite el artículo 55 LOPD, o siendo meras pautas que promueven el cumplimiento de las obligaciones de responsabilidad activa tienen su base legal en la disposición adicional decimoctava LOPD.

El artículo 55 LOPD se refiere a las potestades de regulación de la Agencia, mediante el dictado de circulares. Estas se definen como "disposiciones que fijan los criterios a que responderá la actuación de esta autoridad en la aplicación de lo dispuesto en el Reglamento (UE) 2016/679 y en la presente ley orgánica" y en cuanto a sus efectos señala que "serán obligatorias una vez publicadas en el BOE".

La redacción del precepto resultó modificada a raíz del dictamen del Consejo de Estado nº 757/2017, que consideró que el artículo 129.4 Ley 39/2015 exigía como requisito para atribuir potestad reglamentaria para adoptar normas de desarrollo de una ley a las autoridades independientes que "la naturaleza de la materia así lo exija"; y siendo la materia de protección de datos personales catalogada como derecho fundamental, la intervención del reglamento no era aconsejable.

El resultado es una figura híbrida, que se aprueba mediante un procedimiento equivalente al seguido para la aprobación de los reglamentos, y se publica en el Boletín Oficial del Estado, como si de una norma se tratara, y se indica expresamente que será obligatoria, entrando en vigor en la forma en que lo hacen las leyes y reglamentos.

El carácter obligatorio de esta instrucción con efectos generales, huelga decirlo, se proyectará sobre los órganos de la Agencias y sobre los responsables y encargados del tratamiento de datos personales, sin perjuicio de que éstos últimos puedan impugnarla ante los tribunales.

En el fondo viene a romper la concepción de las instrucciones como órdenes de servicio que solo despliegan efectos internos- obligando a los órganos y unidades administrativas- pero no frente a los ciudadanos, razón por la que la jurisprudencia siempre ha cerrado la vía de impugnación directa.

Al considerar las instrucciones u órdenes de servicio como actividades no impugnables, se pierde de vista que éstas van a determinar la actuación de los órganos administrativos y proyectan evidentes efectos sobre los ciudadanos, muchos de los cuáles, no teniendo recursos o siendo el acceso a la jurisdicción gravoso, aceptarán las consecuencias de la aplicación de los criterios determinados en la instrucción, aún cuando puedan ser contrarios a la ley.

En definitiva, el cierre del proceso frente a estas instrucciones supone elegir entre una intervención inmediata de los tribunales que evite la aplicación desviada de una norma, o una intervención ex post cuando se hayan generado múltiples procesos o se hayan consolidado situaciones ilegales por no querer soportar los ciudadanos la carga de entablar acciones. El resultado difícilmente se puede justificar invocando el carácter revisor de este orden jurisdiccional, y compromete claramente el derecho a la tutela judicial efectiva.

CUARTO.- La jurisprudencia del Tribunal Supremo sí ha puesto especial empeño en analizar si bajo la forma encubierta de una instrucción se contienen mandatos que proyectan efectos frente a los ciudadanos.

Esta jurisprudencia es compilada en la reciente STS de 24 de marzo del 2026 (recurso nº 2156/2023), en la que recordando la doctrina de las sentencias de 21 de junio de 2006 (recurso nº 3837/2000), 12 de diciembre de 2006 (recurso nº 2284/2005), 18 de junio de 2013 (recurso nº 668/2012), 4 de junio de 2018 (recurso nº 1721/2017), y la de 26 de enero de 2021 (recurso nº 3439/2019), de julio de 2023 (recurso nº 4831/2021), 26 de abril de 2024 ( recurso nº 1991/2023), 26 de febrero de 2026 ( recurso nº1387/2023) y 10 de marzo de 2026 (recurso nº 1256/2023) dice lo siguiente:

"lo relevante no es tanto el nomen iuris, sino el contenido de la disposición en cuestión. Esto es, si una circular o instrucción interna no se limita a ordenar y regular la actuación de los propios funcionarios o agentes de la Administración, sino que incluye previsiones que pretenden ser de obligado cumplimiento para terceros, o lo que es igual, si pretende tener eficacia ad extra, es evidente que en esa medida no es propiamente una circular interna, sino una norma de naturaleza reglamentaria. En consecuencia, será nula -al menos, en cuanto a esas previsiones de eficacia ad extra-por no haber sido elaborada de conformidad con el procedimiento legalmente establecido o, en su caso, carecerá de validez y eficacia ad extra."

En el específico ámbito de la protección de datos personales encontramos la STS de 16 de febrero del 2007 (recurso nº 220/2003), se reproduce en términos similares dicha doctrina. Debe puntualizarse que esta sentencia se refiere a una circular dictada antes de la entrada en vigor de la LOPD del 2018.

En prácticamente todas las sentencias analizadas no se aprecia utilización fraudulenta de la figura de la instrucción o circular para encubrir un reglamento, a excepción de la STS de 7 de noviembre del 2024 (recurso nº 2486/2023).

De esta jurisprudencia podemos extraer como pauta para resolver este recurso, la necesidad de atender no a como se nombran las cosas, sino a lo que son. Eso sí, en nuestro caso no se tratará de analizar si la guía contiene normas que innoven el ordenamiento jurídico, sino si son el anuncio de criterios de actuación de la Agencia que van a ser observados para exigir a los responsables y encargados del tratamiento de datos personales el cumplimiento del principio de responsabilidad activa, con la intención de influir en las decisiones de estos.

QUINTO.- La calificación del documento publicado como guía utiliza la base legal de la disposición adicional decimoctava que permite a la Agencia desarrollar "herramientas, guías, directrices y orientaciones que resulten precisas para dotar a los profesionales, microempresas y pequeñas y medianas empresas de pautas adecuadas para el cumplimiento de las obligaciones de responsabilidad activa...". Todas estas figuras, con una variedad de denominaciones prolija, tienen una difícil delimitación con las circulares, y pueden albergar verdaderas instrucciones encubiertas.

Ante la alegación de la Abogacía del Estado relativa a que el documento solo contiene una recopilación de criterios jurisprudenciales, debemos atender a lo que el propio documento enuncia:

"En el presente documento se van a determinar los criterios para el tratamiento de control de presencia mediante sistemas biométricosde acuerdo con el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46 /CE ( Reglamento general de protección de datos, en adelante "RGPD")".

Esto se corrobora con las actuaciones posteriores de la AEPD que, de forma recurrente, motiva sus resoluciones remitiéndose a los criterios interpretativos contenidos en la guía publicada. Ejemplo de esto son las resoluciones aportadas por el demandante.

Entre los criterios que se desarrollan en la guía, basados ciertamente en criterios jurisprudenciales y normas de aplicación, se anuncia al menos el cambio de criterios de actuación en un supuesto, apoyándose en la línea de actuación de la autoridad de control catalana.

El documento finaliza con una extensa relación de conclusiones, formuladas en términos taxativos, y que configuran un marco restrictivo para la implantación sistemas biométricos de tratamiento de datos para el control de presencia de personas, que indudablemente pretende influir en las decisiones que tomen los responsables del tratamiento sobre los medios de tratamiento de datos a utilizar y desalientan a los distribuidores de estos sistemas en nuestro país.

A nuestro juicio, el documento contiene la fijación de criterios a los que responderá la actuación de la Agencia en materia de sistemas biométricos para el control de presencia de personas, con indudables efectos sobre los responsables del tratamiento, por lo que materialmente debe considerarse una circular, en el sentido del artículo 55 LOPD y artículo 6 RD 389/2021.

No habiéndose sometido la fijación de estos criterios de actuación al procedimiento de elaboración previsto en dichos preceptos, debemos estimar la demanda y dejar sin efecto su aprobación y publicación.

SEXTO.- No haremos un especial pronunciamiento sobre las costas, de conformidad con lo dispuesto en el artículo 139.1 de la Ley de la Jurisdicción Contencioso-Administrativa, en atención a la especial complejidad de este asunto.

Vistos los artículos citados y demás de general aplicación, la Sala de lo Contencioso-Administrativo de la Audiencia Nacional, sección primera, ha dictado el siguiente