Cuando orientar se convierte en obligar
La Audiencia Nacional ha dejado sin efecto la guía de la AEPD sobre control de presencia mediante sistemas biométricos. Es, además, el primer pronunciamiento judicial que anula una guía de la Agencia. En cuanto se conoció el fallo empezaron a circular lecturas apresuradas: que la biometría para fichar ya es libre, que la AEPD se ha equivocado, que se abre la puerta a instalar lectores de huella o reconocimiento facial en cualquier oficina. Conviene frenar. La sentencia no dice nada de eso.
Lo que la Sala reprocha a la AEPD no es el contenido de sus criterios, sino la forma en que los aprobó. La Agencia publicó en noviembre de 2023 un documento que llamó guía, amparándose en la disposición adicional decimoctava de la LOPDGDD, que le permite elaborar orientaciones y herramientas de ayuda al cumplimiento. El problema es que ese documento no orientaba: determinaba. Fijaba criterios taxativos, configuraba un marco restrictivo y anunciaba incluso un cambio de criterio de la propia Agencia. Y la AEPD lo aplicaba después en sus resoluciones como si fuera derecho vigente.
El límite del soft law y las garantías normativas
Para la Audiencia Nacional eso no es una guía. Es, materialmente, una circular en el sentido del artículo 55 de la LOPDGDD y del artículo 6 del Real Decreto 389/2021. Y las circulares exigen un procedimiento: audiencia, informes y publicación en el Boletín Oficial del Estado. Nada de eso se hizo, y de ahí la anulación. El principio que aplica el tribunal es sensato: lo relevante no es cómo se llama un documento, sino lo que hace. Si un texto pretende obligar a terceros, tiene naturaleza normativa y debe elaborarse con las garantías de una norma.
Aquí está, a mi juicio, el verdadero interés del fallo. No es un problema de biometría, es un problema de cómo regula una autoridad. El soft law resulta cómodo. Da agilidad, transmite criterio y evita el rigor de un procedimiento reglamentario. Pero cuando esa orientación se vuelve de hecho vinculante, sin audiencia de los afectados, sin informes y sin control democrático, deja de ser una ayuda y se convierte en una norma sin garantías. La Sala añade una reflexión que va más allá de la protección de datos: cerrar la vía de impugnación frente a estos documentos compromete la tutela judicial efectiva, porque muchos destinatarios acabarán acatando criterios que quizá sean contrarios a la ley solo por no asumir el coste de litigar. Por eso la doctrina es exportable a otras guías de la AEPD y de cualquier autoridad independiente que, bajo apariencia orientativa, esconda mandatos.
El régimen sustantivo de la biometría sigue intacto
Dicho esto, y aquí es donde pido atención, la anulación es de forma, no de fondo. La sentencia no valida la biometría para el control de presencia. Todo el régimen sustantivo sigue intacto. Los datos biométricos usados para identificar de forma única a una persona son categoría especial del artículo 9 del RGPD. Su tratamiento exige una base jurídica sólida, que en el ámbito laboral rara vez puede ser el consentimiento por la asimetría entre empresa y trabajador. Exige superar un juicio estricto de necesidad y proporcionalidad frente a alternativas menos intrusivas, que casi siempre existen para algo tan cotidiano como registrar una jornada. Y exige, en la mayoría de los casos, una evaluación de impacto previa. Nada de esto ha desaparecido con la sentencia.
Lo interesante es qué pasa ahora, porque la Agencia tiene que decidir cómo articula su posición. Caben tres caminos. Puede formalizar los criterios como circular, tramitándola en regla; serían entonces obligatorios tras su publicación en el BOE, pero el procedimiento, con audiencia sectorial e informes, bien podría alumbrar un texto más matizado que el anulado. Puede emitir una guía genuinamente orientativa, cuidando esta vez que oriente y no obligue, lo que dejaría más margen a los responsables a costa de más incertidumbre. O puede no dictar nada y remitir la cuestión al RGPD, la LOPDGDD y la doctrina europea, con la menor seguridad jurídica de las tres opciones. No es un detalle menor que la guía se publicará bajo la anterior dirección de la AEPD: la respuesta corresponde ahora a la actual presidencia, y el instrumento que escoja será un buen indicador de su enfoque en materia de biometría y más allá.
Implicaciones para organizaciones, fabricantes y mercado
La consecuencia práctica es incómoda para quien esperaba un titular fácil. Anular la guía no facilita implantar biometría. Al contrario: mientras la Agencia no fije un criterio nuevo, hay un vacío de referencia oficial que, lejos de relajar, exige más diligencia. La lectura correcta para las organizaciones no es celebrar, es ordenar la casa. Revisar si la finalidad justifica de verdad recurrir a la huella o al rostro, o si un sistema convencional cumple la misma función. Comprobar la base jurídica, el encaje en el artículo 9, la evaluación de impacto, la información a la plantilla y la consulta a la representación de los trabajadores. Y conservar la evidencia de que esa decisión se tomó con criterio, no por comodidad.
Para los fabricantes y distribuidores la sentencia alivia una presión formal, porque la guía dibujaba un marco que desalentaba abiertamente la comercialización de estas soluciones en España. Pero no les regala nada. El producto se venderá en la medida en que se pueda justificar su uso, y esa justificación se hace en cada implantación, no en un catálogo.
Queda, además, un frente abierto: la sentencia admite casación, de modo que el Tribunal Supremo aún puede matizar o revocar el criterio. Por eso desconfío de quien vende esta resolución como una victoria del mercado biométrico. Lo que ha ganado no es la biometría, es el procedimiento. Y esa distinción, que parece técnica, es exactamente la que separa una decisión defendible de una sanción. En protección de datos casi nunca hay atajos. Hay análisis, o hay riesgo.
