El fichaje con huella dactilar vuelve a estar en todas las conversaciones de dirección y de recursos humanos. El motivo: una sentencia de la Audiencia Nacional de junio de 2026. Esa resolución anuló la Guía de la AEPD sobre control de presencia biométrico. Sin embargo, muchos titulares lo han leído como una vía libre. No lo es. Aquí te explicamos qué se ha anulado, qué sigue intacto y qué debe demostrar tu empresa antes de instalar un lector de huella.
En este artículo vamos a tratar...
Qué anuló exactamente la Audiencia Nacional
La Sentencia 367/2026, de 30 de junio de 2026, anuló la Guía que la AEPD publicó el 23 de noviembre de 2023. La dictó la Sección 1ª de la Sala de lo Contencioso-Administrativo (procedimiento ordinario 84/2024, ponente Helmuth Moya Meyer). Quien recurrió fue la Asociación Española de Empresas de Seguridad.
Ahora bien, el motivo es puramente formal. La Sala concluyó que aquel documento no era una guía orientativa, sino materialmente una circular: fijaba criterios vinculantes. Por tanto, debía haberse tramitado con el procedimiento del artículo 55 de la LOPDGDD y del artículo 6 del Real Decreto 389/2021. Como resume la propia sentencia, lo determinante no es el nombre del documento, sino su contenido.
Conviene subrayar dos matices. En primer lugar, la Audiencia Nacional no entra en el fondo: no discute que los datos biométricos sean categoría especial ni corrige los criterios sustantivos. En segundo lugar, la sentencia no es firme, ya que cabe recurso de casación ante el Tribunal Supremo. A fecha de publicación de este artículo, la AEPD todavía no ha aprobado el instrumento que la sustituya. El documento, eso sí, ya figura en su web con la marca «en revisión».
Por qué el fichaje con huella dactilar sigue sin vía libre
Aquí está, precisamente, el error de lectura más extendido. Ya analizamos en su día los tratamientos biométricos en el ámbito laboral y el marco sigue siendo el mismo. Es decir, ha caído el instrumento, no la norma. Y la norma no ha cambiado ni una coma.
La huella sigue siendo categoría especial de datos
El artículo 9.1 del RGPD prohíbe tratar datos biométricos dirigidos a identificar de forma unívoca a una persona. Además, el Comité Europeo de Protección de Datos lo confirmó en sus Directrices 05/2022 (versión 2.0, apartado 12). Tanto la identificación (1:N) como la simple autenticación (1:1) entran en esas categorías especiales de datos. Por tanto, todo proyecto de fichaje con huella dactilar necesita una excepción del artículo 9.2. Y, además, una base del artículo 6.1.
En España no existe ley habilitante para empresas ordinarias
La excepción del artículo 9.2.b) es más estrecha de lo que suele creerse. Exige que el tratamiento sea necesario para obligaciones o derechos específicos del Derecho laboral. Exige también que lo autorice una norma con rango de ley, o un convenio colectivo que lo prevea de forma expresa y con garantías adecuadas. Ese convenio, por su parte, está sometido a control judicial pleno de necesidad (TJUE, asunto C-65/23, de 19 de diciembre de 2024).
Sin embargo, los artículos 20.3 y 34.9 del Estatuto de los Trabajadores no contienen esa habilitación. Les falta la especificidad que reclama la doctrina constitucional (STC 292/2000 y STC 76/2019). Así lo han concluido también dos autoridades autonómicas. Lo dijo la Autoridad Catalana de Protección de Datos (Dictamen 2/2022) y lo repitió el Consejo de Transparencia y Protección de Datos de Andalucía (Dictamen 1/2023). Es decir, la empresa privada media no dispone hoy de la primera capa de legitimación.
De hecho, el propio legislador lo confirma. El Proyecto de Ley de Protección y Resiliencia de Entidades Críticas, en tramitación desde marzo de 2026, crea una habilitación biométrica expresa. Pero solo para las entidades críticas y con evaluación de impacto obligatoria.
El consentimiento del trabajador rara vez es libre
Las Directrices 05/2020 del CEPD (apartados 21 y 22) son claras: en el empleo existe un desequilibrio que hace improbable un consentimiento libre. Solo cabe en circunstancias excepcionales, cuando negarse no acarrea ninguna consecuencia adversa y existe una alternativa realmente equivalente. En consecuencia, un documento de “autorización” firmado por la plantilla no resuelve nada. De hecho, puede acreditar que la empresa conocía la exigencia y la sorteó.
El caso Litera Meat: la excepción que confirma la regla
Muchos clientes nos preguntan por “la sentencia de la fábrica de carne”. Conviene precisar el dato: no es una sentencia, sino una resolución de archivo de actuaciones de la AEPD (expediente EXP202408491). La Agencia no encontró evidencias de infracción con la información disponible. Por eso cerró el expediente sin abrir procedimiento sancionador, «sin perjuicio de las posibles actuaciones posteriores».
Un dato que suele omitirse: la resolución no identifica qué excepción del artículo 9.2 levanta la prohibición. Se limita a valorar la necesidad que la empresa documentó, y fueron tres cosas que casi nadie documenta:
- Necesidad real: estándares sanitarios estrictos y equipos de protección que cubren por completo al trabajador, lo que dificulta la identificación visual.
- Proporcionalidad de alcance: huella únicamente en la zona de producción (unos 1.508 trabajadores) y tarjeta en oficinas, mantenimiento, lavandería y laboratorio (182 trabajadores).
- Análisis previo de alternativas: incidencias previas con las tarjetas identificativas, un análisis del riesgo de suplantación y una evaluación de por qué los medios menos invasivos no resultaban equivalentes.
Ese archivo no legitima el fichaje con huella dactilar genérico. Al contrario: dibuja un listón muy alto. ¿Y si tu justificación se resume en comodidad o en el coste de reponer lectores? Entonces el precedente juega en tu contra. Demuestra que la alternativa existe y que se descartó por motivos económicos.
Lo que están haciendo los tribunales y la AEPD
Mientras el debate doctrinal avanza, las resoluciones siguen cayendo del mismo lado.
- Aena: 10.043.002 euros (PS/00431/2024, noviembre de 2025) por reconocimiento facial 1:N con base centralizada, sin evaluación de impacto válida. La AEPD ordenó además suspender el tratamiento.
- CTC Externalización: 365.000 euros (2024) por fichaje con huella dactilar. Se reparten en información deficiente (art. 13, 200.000), medidas de seguridad insuficientes (art. 32, 65.000) y ausencia de evaluación de impacto (art. 35, 100.000).
- STSJ de Galicia 144/2026, de 15 de enero (Sala de lo Social, ECLI:ES:TSJGAL:2026:613): 7.501 euros de daño moral. La empresa mantuvo casi dos años un fichaje con reconocimiento facial sin consentimiento ni necesidad acreditada. El comité había propuesto tarjetas.
La lectura práctica es incómoda pero útil: el riesgo ya no llega solo por la vía sancionadora. Cualquier trabajador puede reclamar por su cuenta en la jurisdicción social. Y obtener una indemnización aunque la AEPD nunca abra expediente.
Control de acceso y control de jornada: la distinción que no salva
También es habitual argumentar que el lector de huella “no ficha, solo abre la puerta”. La finalidad cambia, y con ella la base del artículo 6.1. Pero la capa del artículo 9 no se mueve: el dato sigue siendo categoría especial y sigue haciendo falta la excepción.
Además, hay un riesgo añadido. Si el sistema registra la fecha y la hora de cada paso, genera de facto un rastro de presencia. Una inspección o un juzgado pueden calificarlo como control horario encubierto, con su propia falta de legitimación.
1:1 frente a 1:N: menos riesgo no significa licitud
La AEPD ha admitido en su doctrina reciente un matiz técnico. La verificación 1:1 “localizada” resulta menos intrusiva que la identificación 1:N contra una base central. Así pues, eso mejora la proporcionalidad y facilita la evaluación de impacto. Sin embargo, no crea base jurídica.
En el supuesto donde la Agencia sí validó biometría 1:1, la legalidad venía de leyes sectoriales de seguridad pública. Fue en la consulta previa REGAGE25e00024730156, de 18 de julio de 2025, sobre instalaciones de la Guardia Civil. Se apoyó en la Ley Orgánica 7/2021 y en la Ley Orgánica 2/1986. No en el Estatuto de los Trabajadores.
Checklist antes de instalar o mantener biometría
En consecuencia, si vas a defender un sistema biométrico, prepara este expediente antes de encenderlo:
- Excepción del artículo 9.2 identificada por escrito, no solo la base del artículo 6.1.
- Evaluación de impacto (EIPD) previa, con el triple juicio de idoneidad, necesidad y proporcionalidad estricta.
- Prueba documental de la necesidad: incidentes reales, métricas, riesgos específicos de la zona.
- Análisis de alternativas evaluadas y descartadas, con el motivo técnico de cada descarte.
- Alcance limitado a las zonas críticas, con credencial no biométrica en el resto.
- Alternativa no biométrica realmente equivalente, sin coste ni perjuicio, para quien no quiera usar la huella.
- Arquitectura mínima: plantilla irreversible y cifrada, sin imagen original, preferiblemente bajo control de la persona (tarjeta o móvil) y sin copias en la nube.
- Contrato del artículo 28 con el proveedor y control del acceso remoto de mantenimiento.
- Información del artículo 13 e informe del delegado de protección de datos.
Qué hacer si ya tienes el sistema instalado
La falta de evaluación de impacto previa no se arregla haciéndola después, aunque sí demuestra diligencia sobrevenida. Por eso recomendamos una secuencia ordenada.
Primero, congela las nuevas altas biométricas y entrega credencial alternativa a quien se incorpore. Después, aprueba por escrito un plan de migración con presupuesto y calendario. A continuación, documenta una EIPD honesta que sostenga la decisión. Por último, suprime de forma certificada las plantillas al cierre del proceso y refleja el cambio en el registro de actividades.
Ese plan, documentado y en ejecución, es además la mejor defensa si alguien reclama durante la transición. La propia AEPD ha valorado positivamente que una empresa acredite estar sustituyendo el sistema. En el caso Litera Meat, de hecho, una primera reclamación se inadmitió porque la empresa acreditó que estaba migrando a tarjetas.
Conclusión
La anulación de la Guía elimina un instrumento, no un criterio. El fichaje con huella dactilar sigue siendo un tratamiento de categoría especial. Exige ley habilitante o consentimiento realmente libre, necesidad acreditada y evaluación de impacto previa. Mientras la AEPD no publique su nueva respuesta institucional, la prudencia consiste en documentar más, no en relajar el control.
En Auratech Legal analizamos si tu sistema biométrico es defendible dentro de una auditoría de protección de datos y preparamos la EIPD. Cuando no lo es, diseñamos el plan de sustitución. Solicita una revisión de tu sistema de control de acceso y fichaje.
Preguntas frecuentes
¿Es legal el fichaje con huella dactilar tras la sentencia de junio de 2026? No de forma automática. La sentencia anuló la Guía de la AEPD por un defecto de forma. El artículo 9 del RGPD, en cambio, sigue prohibiendo el tratamiento salvo excepción aplicable.
¿Sirve que los trabajadores firmen una autorización? En la relación laboral, el consentimiento se considera viciado por el desequilibrio entre las partes. Solo sería válido si existe una alternativa realmente equivalente y negarse no tiene ninguna consecuencia.
¿Puedo usar huella solo para abrir la puerta y no para fichar? Cambia la finalidad, pero no cambia la naturaleza del dato. Sigue siendo categoría especial y sigue necesitando una excepción del artículo 9.2.
¿La verificación 1:1 es suficiente para cumplir? Reduce el riesgo y mejora la proporcionalidad. Sin embargo, no crea por sí sola la base jurídica que exige el RGPD.
¿Qué pasa si ya llevo años usando huella sin evaluación de impacto? En ese caso, la infracción se considera permanente mientras dure el tratamiento (artículo 30.2 de la Ley 40/2015). Cuanto antes se documente el plan y se migre, antes empieza a correr la prescripción.