Recientemente, se ha declarado nula la Guía sobre tratamientos de control de presencia de los trabajadores mediante sistemas biométricos aprobada por la Agencia Española de Protección de Datos (en adelante, AEPD) en noviembre de 2023. La Sentencia de la Audiencia Nacional (Sala de lo Contencioso-Administrativo) de 30.6.2026 (Rº 84/2024) considera que este documento, pese a su apariencia de guía, debería haberse tramitado como una circular, cumpliendo el procedimiento de elaboración previsto en la legislación aplicable (artículo 55 LOPD y artículo 6 RD 389/2021). La noticia ha sido objeto de numerosas publicaciones, de ahí el interés de realizar esta entrada de blog.

Si bien la Audiencia Nacional no se pronuncia sobre el contenido de la Guía, entiende que la misma contiene la fijación de criterios a los que responderá la actuación de la AEPD en materia de sistemas biométricos para el control de presencia de personas y que tiene efectos sobre los responsables del tratamiento. En efecto, el impacto de la Guía fue notable porque, se concluyó que, en la actual normativa legal española no se contiene autorización suficientemente específica alguna para considerar necesario el tratamiento de datos biométricos con la finalidad de un control horario de la jornada de trabajo. Se considera que ni los artículos 20.3 y 34.9 del ET para las personas trabajadoras ni el artículo 54.2 del texto refundido de la Ley del Estatuto Básico del Empleado Público (EBEP) para los empleados públicos constituyen una base legal para autorizar este uso en las empresas y en las entidades públicas.

Como señalamos en una entrada previa, antes de la aprobación de la Guía, la posición general en España fue distinta a la línea defendida por otros países (Austria, Francia, Italia y Noruega) que, advertían de los peligros del uso de los datos biométricos para el control horario y aplicaban una interpretación del artículo 9 del Reglamento (UE) 2016/679 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (RGPD) y de las directrices del Comité Europeo de Protección de Datos más garantista para los derechos de las personas empleadas. Vid. sobre este tema mi libro Biometría y sistemas automatizados de reconocimiento de emociones: implicaciones jurídico-laborales, editado en Tirant Lo Blanch en mayo de 2023.

En el último periodo la Guía se encontraba en proceso de revisión por la AEPD y también se habían publicado nuevos trabajos que nos seguían alertando de los riesgos del uso de estos datos biométricos. Por ejemplo, el reconocimiento de huellas dactilares con dispositivos de captura basados en contacto puede arrojar información sobre los problemas dermatológicos que padezca un trabajador. Aún más problemático podría ser la captura de huellas palmares, ya que podrían revelar no sólo la condición de la piel sino también posibles defectos genéticos (p. ej. síndrome de Down). El estado de salud de la persona trabajadora también puede ser muy transparente en el escaneo del iris. Esto es, la progresión del melanoma del iris se puede observar directamente mediante el análisis del tamaño decreciente del área del iris que cumple con los criterios de calidad de nitidez y alto contraste. Las imágenes faciales pueden informar sobre condiciones de cáncer de piel y su progreso en el tiempo. Además, las imágenes faciales también reconocen emociones observables por las expresiones faciales e incluso el estado psicológico.

La declaración de nulidad de la Guía en este momento y los vaivenes del pasado, permiten confirmar que en España la biometría aplicada al ámbito laboral se ha presentado como un laberinto que genera dudas para los trabajadores y las empresas. Por ejemplo, después de la aprobación de la Guía se ha admitido el control biométrico a través de la huella dactilar en una empresa de elaboración de productos cárnicos solo para los trabajadores de la zona de producción, porque era necesario acreditar su identidad teniendo en cuenta los requisitos de control sanitario que debe cumplir la empresa (AEPD, Expediente N.º: EXP202408491).

Y también es de interés el caso resuelto por la Sentencia de la Audiencia Nacional (Sala de lo Contencioso-Administrativo) de 11.2.2026 (Rec. 65/2022), pues redujo la sanción inicialmente impuesta por la AEPD a una empresa de 20.000 € al nivel del apercibimiento (advertencia). Dicha empresa obligaba, por razones de seguridad, a sus trabajadores para el acceso a la misma a la utilización de marcadores digitales (identificación biométrica mediante huella dactilar), los que también se hallaban instalados para activar la entrada y salida del espacio interior destinado a vestuario/aseos (tanto masculinos como femeninos). El motivo principal era evitar que terceros (transportistas y comerciales) accedieran a las instalaciones privadas de la empresa. Razona así la Sentencia (sin mencionar la Guía sobre tratamientos de control de presencia de los trabajadores mediante sistemas biométricos): «Cierto es que el tratamiento biométrico permite verificar con mayor fiabilidad que otros mecanismos, quien accede a determinados espacios «protegidos» pues evita suplantaciones de identidad y permite restringir accesos no autorizados. Pero en este caso no existe una justificación objetiva ni se evidencia una necesidad concreta que permita entender que se trata de una excepción del ap. 2 del art. 9 del RGPD a la prohibición general establecida en su ap. 1, excepción o excepciones que han de interpretarse restrictivamente». Ahora bien, la Sentencia reduce la multa económica al apercibimiento, pues la empresa ya había eliminado este control tras la visita de la Inspección de Trabajo y de la Seguridad Social y la denuncia a la AEPD.

Sin embargo, la aplicación del RGPD por parte de otros países de la Unión Europea y extracomunitarios se ha articulado sobre criterios estables. Veamos algunos ejemplos.

En primer lugar, la Autoridad Francesa de Protección de Datos (CNIL) limita el uso de sistemas biométricos en el lugar de trabajo —como el escaneo de huellas dactilares, venas o iris— a situaciones en las que exista una necesidad de alta seguridad y en las que no sea posible alcanzar el mismo objetivo por medios alternativos. La CNIL también exige que se lleve a cabo una evaluación de impacto relativa a la protección de datos en relación con las actividades de tratamiento de datos biométricos y que se apliquen medidas técnicas y organizativas sólidas.

En segundo término, sobre un sistema de huellas dactilares utilizado para el control de horarios y asistencia, el Tribunal Regional de Trabajo de Berlín-Brandeburgo en Sentencia de 4.6.2020 sostuvo que el tratamiento de datos biométricos solo puede considerarse lícito si es necesario y proporcionado; además, concluyó que el tratamiento de datos biométricos no puede considerarse necesario cuando se puede lograr el mismo resultado utilizando métodos menos intrusivos, como las tarjetas de identificación del personal. En consecuencia, el tribunal concluyó que no se puede obligar a los empleados a facilitar sus huellas dactilares con el fin de controlar la jornada laboral.

Como tercer ejemplo, la Autoridad de Protección de Datos Personales en Turquía ha adoptado un enfoque muy restrictivo respecto al uso de datos biométricos para el control del tiempo de trabajo, haciendo especial hincapié en el desequilibrio de poder existente en la relación entre la empresa y el trabajador mediante la Decisión de Principios n.º 2026/921, publicada en el Boletín Oficial el 2.6.2026.

Como conclusión, parece necesario plasmar el criterio de la AEPD sobre el tratamiento de los datos biométricos en la relación de trabajo bien en la normativa específica laboral o de nuevo con la forma de soft law (pero esta vez circular) para que esta regla tenga cierta estabilidad en el tiempo, más aún cuando el desarrollo de la tecnología biométrica es exponencial.