La Audiencia Nacional anula la guía de la AEPD sobre control horario biométrico

La Sala de lo Contencioso-Administrativo de la Audiencia Nacional (Sección 1.ª), en su SAN n.º 367/2026, de 30 de junio, ECLI:ES:AN:2026:2870, estimó el recurso interpuesto contra la Guía sobre tratamientos de control de presencia mediante sistemas biométricos, publicada por la Agencia Española de Protección de Datos (AEPD) el 23 de noviembre de 2023, dejando sin efecto su aprobación y publicación.

La relevancia de esta resolución no estriba en validar de forma sustantiva el fichaje por huella dactilar, sino en que la Audiencia Nacional considera que el documento, por su contenido y efectos, debió tramitarse como una circular conforme al artículo 55 de la LOPDGDD y al artículo 6 del Real Decreto 389/2021, de 1 de junio, y no como una mera guía orientativa. La anulación, por tanto, responde estrictamente a un defecto formal y procedimental, y no a un pronunciamiento judicial sobre la licitud o ilicitud material del uso de sistemas biométricos para el control horario.

1. Una anulación motivada por el cauce de aprobación utilizado

La sentencia parte del motivo de impugnación formulado por la asociación recurrente, la cual sostuvo que la Guía fijaba criterios destinados a regir la actuación de la AEPD con carácter prácticamente obligatorio, excediendo la función meramente orientativa propia de este tipo de instrumentos.

La Audiencia Nacional delimita la cuestión nuclear en determinar si el texto debía elaborarse mediante el procedimiento legalmente previsto para las circulares normativas o si podía ampararse en la habilitación general para emitir herramientas, guías y directrices. Tras examinar la formulación del documento, la Sala concluye que la Guía contenía una verdadera fijación de criterios a los que respondería la actuación de la Agencia en materia de control biométrico de presencia, desplegando indudables efectos externos (ad extra) sobre los responsables del tratamiento.

Por ello, se determina que la Guía constituía materialmente una circular y que, al no haberse seguido el procedimiento formal de elaboración exigido por la normativa aplicable, procedía estimar la demanda y dejar sin efecto su aprobación y publicación.

2. La Audiencia Nacional no declara lícito ni ilícito el fichaje por huella

Uno de los aspectos clave de la resolución es que no resuelve la cuestión de fondo relativa a si el control horario mediante huella dactilar u otros sistemas biométricos es, por sí mismo, lícito o ilícito. La sentencia no proclama la legalidad de este sistema ni lo valida de manera expresa. Lo que dictamina es la nulidad de la Guía de la AEPD por haberse aprobado a través de un canal formal inadecuado. En consecuencia, la desaparición de la Guía como instrumento jurídico eficaz no equivale a un aval judicial para el uso indiscriminado de la biometría en el registro de jornada laboral.

Este matiz resulta esencial en la práctica profesional: el tratamiento de datos biométricos en el entorno laboral se sitúa en un marco legal especialmente sensible y restrictivo, al afectar a categorías especiales de datos y requerir una base jurídica explícita, además de superar un juicio reforzado de idoneidad, necesidad y proporcionalidad.

En este contexto, conviene recordar que la obligación legal de registro horario prevista en el artículo 34.9 del Estatuto de los Trabajadores no constituye por sí sola una habilitación legal suficiente para tratar datos biométricos, requiriéndose una excepción específica en los términos previstos por el artículo 9 del Reglamento General de Protección de Datos (RGPD).

3. Antecedentes y fundamentos de la sentencia

La resolución examina la naturaleza jurídica de las instrucciones, guías y circulares emitidas por la AEPD. La Sala recuerda que, de conformidad con la jurisprudencia del Tribunal Supremo, lo decisivo no es la denominación formal del documento (nomen iuris), sino su contenido real y, en particular, si pretende desplegar eficacia frente a terceros (ad extra). Cuando una disposición administrativa no se limita a ordenar la actuación interna de los funcionarios de la propia Administración, sino que incluye previsiones que pretenden ser de obligado cumplimiento para los administrados, adquiere naturaleza materialmente reglamentaria o cuasirreglamentaria.

La Audiencia Nacional aprecia precisamente esa circunstancia en la Guía impugnada, observando que:

• El propio texto anunciaba expresamente que determinaría los criterios aplicables al tratamiento biométrico conforme al RGPD.
• La AEPD venía motivando sus resoluciones sancionadoras posteriores remitiéndose a los criterios interpretativos de dicha Guía.
• El documento concluía con un conjunto de pronunciamientos formulados en términos taxativos que configuraban un marco altamente restrictivo con capacidad directa de influir en las decisiones empresariales y desincentivar el uso de estos sistemas.

4. Alcance práctico tras la anulación de la Guía

Desde un punto de vista operativo y procesal, la sentencia debilita de forma significativa la posibilidad de sostener una resolución sancionadora fundamentada exclusivamente en las directrices de la Guía anulada. Si un procedimiento sancionador de la AEPD se apoyó de manera expresa o determinante en dicho documento, la invalidez formal de su aprobación resta solidez a su fundamentación jurídica.

No obstante, esto no implica que toda sanción vinculada al uso de la biometría en el control horario deba quedar sin efecto de forma automática. La infracción administrativa puede sustentarse de manera autónoma en los preceptos del RGPD, en la LOPDGDD o en la falta de justificación respecto a la proporcionalidad, necesidad y ausencia de alternativas menos intrusivas, así como en la falta de realización de una Evaluación de Impacto en la Protección de Datos (EIPD).

En definitiva, la sentencia elimina la Guía como instrumento formalmente válido, pero mantiene inalterado el marco normativo general. La utilización de sistemas de huella dactilar o reconocimiento facial para el control horario únicamente resulta defendible en supuestos excepcionalmente justificados y bajo el cumplimiento riguroso de las exigencias legales de necesidad y proporcionalidad.

5. Impacto para empresas y personas sancionadas

• Para las empresas: La resolución aconseja mantener una postura de máxima cautela. La anulación de la Guía no debe interpretarse como una autorización general para implantar sistemas biométricos de fichaje. Siguen plenamente vigentes las exigencias derivadas del RGPD sobre el tratamiento de categorías especiales de datos y la obligación de optar por medios menos invasivos cuando existan alternativas igualmente eficaces.
• Para las entidades sancionadas: La sentencia abre una vía de revisión o impugnación, cuya viabilidad dependerá del estado procesal del expediente y de la firmeza de la resolución:
  • Si la sanción no es firme o está impugnada: Si la resolución sancionadora descansaba de forma sustancial en los criterios de la Guía de 23 de noviembre de 2023, su anulación formal debilita notablemente el soporte del acto administrativo.
  • Si la sanción motivó la infracción de forma autónoma: Si la AEPD fundamentó la multa de manera directa e independiente en el artículo 9 del RGPD, la LOPDGDD y la ausencia de justificación del tratamiento biométrico, la sanción mantendrá su validez jurídica con independencia de la anulación de la Guía.

Protección de datos en las relaciones laborales.

Sistema de registro horario de la jornada laboral.