Qué ha tumbado realmente la Audiencia Nacional
La sentencia de la Audiencia Nacional número 367/2026, de 30 de junio, ha anulado la actuación administrativa por la que la Agencia Española de Protección de Datos aprobó y publicó en noviembre de 2023 su guía sobre tratamientos de control de presencia mediante sistemas biométricos. Según el análisis jurídico publicado sobre el fallo, el tribunal entiende que la guía no era solo orientativa, sino que fijaba criterios generales con efectos prácticos para empresas y organizaciones.
Este matiz es clave. La Audiencia Nacional no ha dicho que cualquier empresa pueda volver a imponer la huella dactilar o el reconocimiento facial sin más. Lo que cuestiona es el procedimiento usado por la AEPD: si quería fijar criterios con efectos obligatorios, debía tramitarlo como una circular, no como una simple guía. La sentencia, además, todavía puede ser recurrida en casación.
Para una pyme o un autónomo con plantilla, esto no significa barra libre tecnológica. Significa que se abre una grieta en el criterio administrativo que venía frenando muchos sistemas biométricos, pero el negocio sigue teniendo que justificar por qué necesita ese sistema y no otro menos invasivo.
Por qué importa a pymes y autónomos con empleados
El registro diario de jornada sigue siendo obligatorio. El Estatuto de los Trabajadores exige que la empresa garantice un registro con el horario concreto de inicio y finalización de cada persona trabajadora. Esto afecta a cualquier negocio con empleados, también al autónomo que tiene una tienda, una cafetería, una clínica, un taller o una pequeña oficina con personal contratado.
La duda está en qué sistema se puede usar para cumplir esa obligación. Hay negocios que fichan con aplicación, tarjeta, PIN, software de control horario o herramientas integradas en nóminas. Otros habían apostado por lectores de huella o reconocimiento facial porque reducen errores, evitan fichajes entre compañeros y simplifican el control en centros físicos.
El problema es que la biometría no es un dato cualquiera. La propia AEPD defendía en su guía que los datos biométricos usados para identificación o autenticación son tratamientos de alto riesgo y pueden entrar en categorías especiales de datos. Además, exigía análisis de idoneidad, necesidad y proporcionalidad, junto con una evaluación de impacto previa.
El coste real no está solo en el aparato de fichar
Para el pequeño negocio, la pregunta práctica no es solo si puede comprar un lector de huella. La pregunta importante es si puede asumir el coste total de implantarlo bien: proveedor, contrato de encargado de tratamiento, información a trabajadores, evaluación de impacto, medidas de seguridad, conservación de datos y posible asesoramiento externo.
Una solución biométrica barata puede acabar saliendo cara si obliga a rehacer documentación, adaptar contratos o cambiar de sistema después de una reclamación. Y una solución no biométrica puede ser menos cómoda, pero también más sencilla de justificar. La clave está en comparar coste, riesgo y necesidad real.
Aquí conviene no mirar el control horario como un gasto aislado. Si una pyme está revisando proveedores, software y servicios recurrentes, también puede ordenar otros costes fijos del negocio. En ese punto, comparar los mejores bancos para autónomos puede ayudar a revisar comisiones, operativa diaria y servicios asociados, sin mezclarlo con la decisión legal sobre biometría.
Qué debe revisar un negocio antes de volver a la huella
El primer punto es no actuar solo por el titular. Que una guía haya sido anulada no convierte automáticamente el fichaje biométrico en la opción más segura. La normativa de protección de datos sigue ahí, y el tratamiento de datos biométricos exige una base jurídica, una excepción aplicable cuando se trate de categorías especiales y una justificación sólida de necesidad.
El segundo punto es revisar alternativas. Si el mismo control horario puede hacerse con tarjeta, código, aplicación móvil o sistema digital menos invasivo, la empresa tendrá que explicar por qué necesita captar una huella o un rostro. Para un comercio pequeño, una clínica o un local de hostelería, esa explicación no siempre será fácil.
El tercer punto es documentarlo todo. Si el negocio mantiene o implanta biometría, debe poder demostrar que ha valorado riesgos, seguridad, finalidad, acceso a los datos, conservación y derechos de los trabajadores. Para una empresa pequeña, eso puede exigir más tiempo y más coste del que parecía al principio. Las pymes con más estructura pueden revisar también sus servicios de cuenta, operativa y gestión diaria a través de comparativas como la de mejores bancos para pequeñas empresas, pero la parte laboral y de datos debe tratarse aparte y con asesoramiento especializado si el impacto es relevante.
El mensaje práctico: más margen, pero no menos responsabilidad
La sentencia cambia el tablero porque limita cómo puede la AEPD imponer criterios generales mediante una guía. Eso puede dar aire a empresas tecnológicas, proveedores de control horario y negocios que ya habían invertido en sistemas biométricos.
Pero para el autónomo con empleados, la conclusión prudente es otra: antes de volver a la huella, hay que hacer números y revisar riesgos. El coste real no está solo en el lector biométrico. Está en justificarlo, documentarlo y poder defender que era necesario frente a alternativas menos intrusivas.
