31/07/2026
La reciente sentencia de la Audiencia Nacional que anula la Guía de la AEPD sobre el uso de datos biométricos para el control horario trasciende el ámbito de la protección de datos. La resolución reabre el debate sobre los límites del denominado soft law administrativo y sobre el valor jurídico de las guías emitidas por los reguladores cuando terminan condicionando las decisiones de empresas y profesionales.
Estas son algunas de las claves que analiza Silvia Ruiz, Socia de las áreas de Medios y Entretenimiento, Privacidad y Protección de Datos; y directora de la oficina de EJASO en Vitoria-Gasteiz, en el artículo publicado en El Confidencial, cuya principal conclusión invita a reflexionar sobre el alcance jurídico de las guías de la Agencia Española de Protección de Datos (AEPD) y sus implicaciones para las organizaciones.
Durante los últimos años, las guías, recomendaciones y criterios interpretativos publicados por la Agencia Española de Protección de Datos (AEPD) han desempeñado un papel determinante en la forma en que las organizaciones diseñan sus políticas de cumplimiento. Aunque estos documentos carecen de carácter normativo, su influencia práctica ha sido indiscutible.
En este contexto, la reciente sentencia de la Audiencia Nacional supone un cambio de gran relevancia para las empresas y para todos los operadores que desarrollan su actividad en entornos altamente regulados.
La controversia nace a raíz de la Guía sobre la utilización de datos biométricos para el control de presencia y accesos, publicada por la AEPD en noviembre de 2023.
Desde su publicación, este documento se convirtió en una referencia para cualquier organización que utilizara sistemas de reconocimiento facial, huella dactilar o reconocimiento de la palma de la mano para el control horario de sus trabajadores.
Aunque la guía tenía una finalidad orientativa, sus criterios provocaron importantes consecuencias prácticas. Numerosas empresas paralizaron proyectos tecnológicos, modificaron sistemas ya implantados o descartaron determinadas soluciones biométricas ante el elevado riesgo regulatorio que parecía desprenderse de la interpretación realizada por la Agencia.
La cuestión que analiza la Audiencia Nacional no consiste en determinar si el uso de datos biométricos es conforme o no al Reglamento General de Protección de Datos (RGPD).
El verdadero debate es otro: ¿hasta dónde puede llegar una Administración cuando interpreta la normativa mediante documentos que, formalmente, no tienen carácter vinculante?
La sentencia recuerda que la naturaleza jurídica de un documento no depende de la denominación que reciba, sino de los efectos que produce en la práctica.
Cuando una guía deja de limitarse a orientar y comienza a fijar criterios generales que condicionan el comportamiento de empresas y ciudadanos, se aproxima al ejercicio de una potestad normativa. Y, en ese caso, debe respetar las garantías procedimentales previstas para las disposiciones de carácter general.
Este razonamiento sitúa el foco sobre los límites del denominado soft law administrativo y puede tener implicaciones que van mucho más allá de la protección de datos.
La sentencia no elimina las obligaciones derivadas del RGPD ni declara que el uso de sistemas biométricos sea automáticamente lícito.
Las organizaciones seguirán obligadas a:
Lo que cambia es el punto de partida para realizar ese análisis.
Las empresas deberán volver a construir sus decisiones principalmente sobre la normativa aplicable, la jurisprudencia y las resoluciones dictadas dentro del marco legal, sin atribuir automáticamente a las guías un alcance que exceda su naturaleza orientativa.
La resolución también abre la puerta a revisar el alcance jurídico de otras guías publicadas por la Agencia en materias como:
No todas ellas presentan el mismo grado de intensidad regulatoria, pero la sentencia incorpora un criterio que previsiblemente será utilizado en futuros procedimientos contencioso-administrativos cuando se cuestione el alcance real de estos documentos.
La importancia de esta resolución no reside únicamente en la biometría.
Su verdadero alcance está en recordar que la seguridad jurídica exige que los criterios generales que condicionan la actuación de empresas y ciudadanos se aprueben mediante los procedimientos legalmente establecidos y con las garantías correspondientes.
En un entorno regulatorio cada vez más complejo, distinguir entre una orientación técnica y una disposición con efectos materiales resulta esencial para que las organizaciones puedan adoptar decisiones con mayor seguridad.
En su artículo publicado en El Confidencial, Silvia Ruiz, analiza en profundidad esta sentencia, el alcance del soft law administrativo y las consecuencias que puede tener para las empresas y para la actividad de los reguladores.
Autores
Socia Área de Medios y Entretenimiento. Socia Área Privacidad y Protección de datos. Directora oficina EJASO Vitoria-Gasteiz.
España & Portugal
