La Audiencia Nacional anula la guía de la AEPD sobre control horario mediante datos biométricos
La Audiencia Nacional ha dictado una sentencia de especial relevancia en materia de protección de datos al estimar el recurso interpuesto por la Asociación Española de Empresas de Seguridad contra la Guía sobre tratamientos de control de presencia mediante sistemas biométricos, publicada por la Agencia Española de Protección de Datos (AEPD) en noviembre de 2023. La resolución anula la publicación de dicha guía al considerar que, por su contenido y efectos, no podía aprobarse como una mera guía orientativa, sino que debía haberse tramitado como una Circular, conforme al procedimiento previsto en el artículo 55 de la Ley Orgánica de Protección de Datos y Garantía de los Derechos Digitales (LOPDGDD).
La sentencia no cuestiona el uso de los sistemas biométricos desde la perspectiva del Reglamento General de Protección de Datos (RGPD), ni concluye que su utilización sea plenamente lícita. El aspecto central del pronunciamiento radica en que la Audiencia Nacional considera que la Guía de la AEPD iba más allá de ofrecer simples recomendaciones, ya que establecía criterios de actuación que condicionaban la actuación de la propia Agencia y de los responsables del tratamiento, produciendo efectos jurídicos sobre terceros. Por ello, entiende que materialmente tenía naturaleza normativa y debía haberse elaborado siguiendo el procedimiento legal previsto para las circulares.
Uno de los argumentos más relevantes de la resolución es que no debe atenderse únicamente al nombre que recibe un documento, sino a su verdadero contenido y efectos. En este sentido, la Audiencia Nacional recuerda la doctrina consolidada del Tribunal Supremo según la cual una instrucción o guía que fija criterios obligatorios para terceros deja de ser un simple documento interpretativo y pasa a tener naturaleza reglamentaria, lo que exige un procedimiento específico de aprobación y publicación.
La Sala también destaca que la propia Guía afirmaba expresamente que su finalidad era determinar los criterios aplicables al tratamiento de datos biométricos, y que la AEPD había venido utilizando posteriormente dichos criterios como fundamento de diversas resoluciones sancionadoras y actuaciones de supervisión. Todo ello llevó al tribunal a concluir que la Agencia había utilizado una guía para establecer un marco de actuación con efectos externos sin seguir el procedimiento legalmente exigido, motivo por el que acuerda su anulación.
No obstante, conviene subrayar que esta sentencia no modifica el régimen jurídico aplicable a los tratamientos biométricos ni elimina las obligaciones previstas en el RGPD. Continúan siendo plenamente aplicables los artículos 9 y 35 del Reglamento, así como la doctrina del Comité Europeo de Protección de Datos (CEPD), que considera los datos biométricos utilizados para identificar de manera unívoca a una persona como categorías especiales de datos, sometidas a un régimen reforzado de protección. En consecuencia, la utilización de sistemas de reconocimiento facial o huella dactilar para el control horario seguirá exigiendo una base jurídica adecuada, la acreditación de la necesidad y proporcionalidad de la medida y, con carácter general, la realización de una Evaluación de Impacto relativa a la Protección de Datos (EIPD).
La propia sentencia reconoce, además, que es susceptible de recurso de casación ante el Tribunal Supremo, siempre que se justifique la existencia de interés casacional objetivo, por lo que el criterio aún no puede considerarse definitivo.
Desde Escura, consideramos que esta resolución aporta una importante reflexión sobre el alcance jurídico de las guías emitidas por las autoridades de control, pero no supone, por el momento, un cambio en los criterios materiales sobre el tratamiento de datos biométricos. Por ello, recomendamos a las organizaciones que ya hayan optado por sistemas alternativos de control horario o que hayan adaptado sus procedimientos conforme a las recomendaciones existentes que mantengan las medidas implantadas hasta que exista un pronunciamiento firme del Tribunal Supremo o una nueva actuación de la AEPD que aporte seguridad jurídica sobre esta materia.
© La presente información es propiedad de Escura, abogados y economistas, quedando prohibida su reproducción sin permiso expreso.
