Guía AEPD de fichaje biométrico anulada: qué cambia y qué no

Si tu empresa ficha con huella dactilar o reconocimiento facial, has visto seguramente algún titular sobre una sentencia que "tumba" la guía de la Agencia Española de Protección de Datos (AEPD) sobre biometría. La noticia es real, pero la lectura de "ya puedo fichar con huella sin problema" es errónea y puede salirte cara. A fecha de agosto de 2026, la Audiencia Nacional ha anulado la guía por un defecto de forma, sin pronunciarse sobre si la biometría es legal o no.

En este artículo te explicamos qué ha resuelto exactamente la sentencia, qué sigue vigente aunque la guía haya desaparecido, y qué debe hacer tu empresa mientras el criterio de fondo no se aclare.

Qué ha resuelto exactamente la Audiencia Nacional

La Sala de lo Contencioso-Administrativo (Sección Primera) de la Audiencia Nacional dictó la Sentencia 367/2026, de 30 de junio de 2026, estimando el recurso presentado contra la Guía sobre tratamientos de datos por sistemas de control de presencia mediante sistemas biométricos, que la AEPD había publicado el 23 de noviembre de 2023. El fallo deja sin efecto la aprobación y publicación de ese documento.

El motivo es exclusivamente procedimental: el tribunal considera que, por su contenido y por los efectos prácticamente vinculantes que tenía sobre las empresas y sobre la propia actuación de la AEPD, el documento debería haberse tramitado como circular conforme al artículo 55 de la Ley Orgánica 3/2018 (LOPDGDD) y al artículo 6 del Real Decreto 389/2021, que aprueba el Estatuto de la AEPD. Ese procedimiento exige trámites reforzados —informes, consulta pública, publicación oficial— que la guía, al aprobarse como simple documento orientativo, se saltó.

Lo que la sentencia NO dice (y es lo que de verdad te afecta)

Aquí está el matiz que la mayoría de titulares se dejan fuera:

• La Audiencia Nacional no entra en el fondo del asunto. No dice que fichar con huella o cara sea legal.
• El Reglamento General de Protección de Datos (RGPD) sigue clasificando la huella dactilar y el reconocimiento facial como categoría especial de datos (artículo 9) cuando se usan para identificar de forma unívoca a una persona. Esto no depende de ninguna guía y no ha cambiado con la sentencia.
• El criterio de que el consentimiento del trabajador no es una base legal válida para tratar sus datos biométricos —por el desequilibrio de poder entre empresa y empleado— procede del Comité Europeo de Protección de Datos y de la propia LOPDGDD, no de la guía anulada.
• La AEPD conserva íntegra su potestad sancionadora y puede seguir abriendo expedientes contra empresas que fichen con biometría sin una base legal sólida, aplicando directamente el RGPD caso por caso, con guía o sin ella.

En resumen: desaparece un documento de referencia, pero no desaparece ni una sola de las normas que lo sustentaban.

Antes y después de la sentencia, en una tabla

Aspecto	Antes de la sentencia	Después (agosto 2026)
Guía AEPD de biometría (nov. 2023)	Vigente, criterio de referencia para empresas e inspecciones	Anulada, sin efecto formal
RGPD art. 9 (categoría especial de datos)	Aplica a huella y reconocimiento facial	Sigue aplicando exactamente igual
Consentimiento del trabajador como base legal	No válido	El criterio no ha cambiado
Riesgo de sanción por fichar con biometría sin base legal sólida	Alto	Sigue siendo alto
Previsibilidad para las empresas	Criterio escrito y público	Menor: sin guía, análisis caso por caso

Qué puede pasar a partir de ahora

Con la información disponible a día de hoy, hay dos vías abiertas y ninguna resuelta:

1. Recurso de la AEPD. La agencia puede recurrir la sentencia ante el Tribunal Supremo. Mientras el recurso esté pendiente, la anulación de la guía se mantiene, pero el criterio de fondo sigue sin fijarse con carácter definitivo.
2. Nueva circular. La AEPD puede volver a fijar el mismo criterio restrictivo, pero tramitándolo correctamente como circular, con el procedimiento reforzado del artículo 6 del RD 389/2021. Si lo hace, es previsible que el contenido de fondo (biometría = alto riesgo) se mantenga.

No hay plazo oficial para ninguna de las dos opciones, así que ninguna empresa debería planificar su sistema de fichaje asumiendo que el vacío actual va a durar, ni que se va a resolver a su favor.

Qué debe hacer tu empresa mientras tanto

Si ya fichas con huella o reconocimiento facial:

• No interpretes la anulación como una autorización. El riesgo sancionador de aplicar el RGPD directamente sigue existiendo.
• Revisa (o encarga a tu asesoría o DPO) si tienes documentada una base legal reforzada y un test de proporcionalidad que justifique por qué ningún medio menos invasivo (PIN, tarjeta, NFC, app) serviría igual.
• Ten preparado un plan de migración a un sistema no biométrico por si la AEPD publica una nueva circular con el mismo criterio restrictivo.

Si estás valorando implantar biometría:

• Este no es el momento de invertir en huella o reconocimiento facial esperando que "ya es legal". El fondo del asunto sigue sin resolverse.
• Existen alternativas que cumplen el registro horario obligatorio del Real Decreto-ley 8/2019 sin tocar datos de categoría especial: PIN de 4 dígitos, tarjeta, llavero NFC o app móvil con geolocalización configurable. Ninguno de estos métodos identifica biométricamente a la persona, así que quedan fuera del artículo 9 del RGPD.

No fichar correctamente —sea con el método que sea— también tiene consecuencias: las sanciones por no llevar registro horario van de 751 € a 7.500 € por infracción grave (art. 7.5 LISOS). La prioridad, mientras se aclara el debate biométrico, es que el sistema que uses cumpla ya con la ley y no dependa de una tecnología en entredicho.

Cómo fichar sin biometría y sin arriesgarte

Para una pyme, la forma más rápida de eliminar el riesgo es no depender de biometría en primer lugar. QWorker, el software de control horario de Evicron para empresas en España, permite fichar desde el móvil (iOS/Android), la web o una tablet compartida con PIN de 4 dígitos o llavero NFC, sin tocar datos biométricos en ningún momento. Funciona sin conexión y sincroniza al recuperar señal, con geolocalización configurable por sede, equipo o trabajador, y guarda una auditoría completa de cada fichaje (autor, fecha, valor anterior y nuevo) exportable a CSV o PDF para una inspección.

Si tu empresa está reconsiderando su sistema de fichaje por esta sentencia, puedes probar QWorker gratis 14 días sin tarjeta y comparar el coste frente a mantener (o implantar) un sistema biométrico con este nivel de incertidumbre legal.

Preguntas frecuentes

¿Puedo fichar con huella dactilar legalmente desde esta sentencia? No. La sentencia anula la guía de la AEPD por un defecto de forma, pero no declara legal el fichaje biométrico. El RGPD sigue clasificando la huella y el reconocimiento facial como categoría especial de datos, y el criterio de que el consentimiento del trabajador no es una base legal válida no ha cambiado.

¿Puede la AEPD sancionarme igualmente aunque la guía esté anulada? Sí. La guía era un documento orientativo que explicaba cómo aplicaba la AEPD el RGPD a estos casos, pero el RGPD y la LOPDGDD siguen en vigor con todos sus requisitos. La AEPD puede abrir expedientes sancionadores aplicando la normativa directamente, guía o no guía.

¿Qué pasa con las sanciones ya impuestas antes de la sentencia? La sentencia anula la guía, no las normas en las que se basaban esas sanciones (RGPD y LOPDGDD). Si tu empresa tiene un expediente abierto o una sanción firme, la anulación de la guía no la deja sin efecto automáticamente; consulta con tu asesoría jurídica el caso concreto.

¿Cuándo se sabrá si la biometría para fichar es legal o no? No hay fecha cierta. Depende de si la AEPD recurre la sentencia ante el Tribunal Supremo o si opta por aprobar una nueva circular con el procedimiento correcto. Hasta que eso ocurra, el criterio restrictivo de fondo sigue siendo el escenario más probable.

¿Qué alternativas puedo usar ya mismo sin este riesgo? PIN de 4 dígitos, tarjeta o llavero NFC, y app móvil con geolocalización. Cumplen igualmente con el registro horario obligatorio del RD-ley 8/2019 sin tratar datos biométricos, así que no dependen de cómo termine este debate legal.