La Justicia considera que la Agencia Española de Protección de Datos impuso criterios con efectos obligatorios sin seguir el procedimiento legal exigido. La resolución afecta a la guía que regulaba el uso de huellas dactilares y otros sistemas biométricos para el control horario y de acceso en las empresas.
La Audiencia Nacional tumba la guía sobre biometría de la AEPD
La Audiencia Nacional ha anulado la guía publicada por la Agencia Española de Protección de Datos (AEPD) que regulaba el uso de sistemas biométricos, como el reconocimiento por huella dactilar o facial, para el control de presencia y acceso en las empresas.
La resolución judicial concluye que el documento no era una simple guía orientativa, sino que establecía criterios con efectos vinculantes para empresas y responsables del tratamiento de datos, sin haber seguido el procedimiento normativo previsto por la legislación.
El origen del conflicto
La guía fue publicada por la AEPD el 23 de noviembre de 2023 con el objetivo de fijar las condiciones para el tratamiento de datos biométricos en el ámbito laboral.
Sin embargo, la Asociación Española de Empresas de Seguridad (AES) recurrió el documento al considerar que la Agencia estaba imponiendo nuevas obligaciones jurídicas sin tramitar una circular oficial, que es el instrumento legal necesario cuando una norma pretende producir efectos frente a terceros.
Según el sector, cualquier regulación de este tipo debía someterse al procedimiento legal correspondiente y publicarse en el Boletín Oficial del Estado (BOE).
El tribunal aprecia efectos obligatorios
Durante el procedimiento, los magistrados analizaron tanto el contenido de la guía como la forma en que la propia AEPD la había utilizado posteriormente.
La Audiencia constató que:
- La Agencia fijaba criterios de actuación para empresas y administraciones.
- Esos criterios fueron utilizados posteriormente como fundamento en procedimientos sancionadores.
- El documento condicionaba las decisiones de implantación de sistemas biométricos en las empresas.
Para el tribunal, el texto iba mucho más allá de una recomendación técnica y tenía una clara eficacia jurídica frente a terceros.
La sentencia aplica la doctrina del Tribunal Supremo
La Sala de lo Contencioso-Administrativo recordó la doctrina consolidada del Tribunal Supremo, según la cual lo determinante no es el nombre que recibe un documento, sino sus efectos reales.
En este caso, la Audiencia concluye que la guía funcionaba en la práctica como una auténtica norma de obligado cumplimiento, motivo por el que considera que la AEPD debió tramitarla conforme al procedimiento previsto para este tipo de disposiciones.
Al no hacerlo, la publicación vulneró las garantías legales exigidas.
La resolución todavía no es definitiva
La sentencia estima íntegramente el recurso presentado por la Asociación Española de Empresas de Seguridad y anula la guía de la AEPD.
No obstante, la resolución todavía no es firme.
La Agencia Española de Protección de Datos dispone de un plazo de 30 días para presentar un recurso de casación ante el Tribunal Supremo, que será quien tenga la última palabra sobre este asunto.
Un fallo con impacto para empresas y protección de datos
La decisión puede tener importantes consecuencias para miles de empresas que utilizan lectores de huellas dactilares, reconocimiento facial u otros sistemas biométricos para controlar la jornada laboral o restringir accesos.
Aunque la sentencia no elimina las obligaciones derivadas del Reglamento General de Protección de Datos (RGPD) ni de la normativa española en materia de privacidad, sí cuestiona la forma en la que la AEPD pretendió establecer criterios de aplicación mediante una guía que, según la Audiencia Nacional, actuaba como una auténtica regulación sin cumplir los requisitos legales exigidos.
