Qué ha tumbado realmente la Audiencia Nacional
La sentencia 367/2026, de 30 de junio, estima el recurso de la Asociación Española de Empresas de Seguridad contra la guía que la Agencia Española de Protección de Datos publicó el 23 de noviembre de 2023. El tribunal entiende que aquel documento iba más allá de orientar: fijaba criterios generales que condicionaban la actuación de empresas y proveedores de sistemas biométricos.
El problema, según la Audiencia Nacional, fue el procedimiento. Si la AEPD quería establecer criterios de actuación con efectos obligatorios, debía seguir la tramitación de una circular prevista en la Ley Orgánica de Protección de Datos, no limitarse a publicar una guía. El fallo deja sin efecto su aprobación y publicación, pero no declara legal cualquier sistema de fichaje con huella o reconocimiento facial.
Tampoco borra el Reglamento General de Protección de Datos (RGPD). La AEPD mantiene en su web el documento de noviembre de 2023 marcado «en revisión». Para el negocio que ya había invertido en un lector biométrico, la sentencia cambia el escenario administrativo, aunque por sí sola no autoriza a ponerlo de nuevo en funcionamiento sin comprobar su encaje legal.
El registro de jornada sigue siendo obligatorio para quien tiene empleados
El artículo 34.9 del Estatuto de los Trabajadores sigue exigiendo registrar la hora concreta de entrada y salida de cada empleado. Además, los registros deben conservarse durante cuatro años y estar a disposición de trabajadores, sus representantes e Inspección de Trabajo. La obligación alcanza también al autónomo que contrata personal, no al profesional que trabaja solo sin empleados.
Lo que la norma no impone es fichar con el dedo o con la cara. Una tienda, una clínica, una cafetería o una oficina pueden utilizar tarjetas, códigos, aplicaciones o registros digitales, siempre que el sistema elegido permita cumplir efectivamente la obligación laboral. La elección importa porque cualquier método debe gestionarse con seguridad e informar a la plantilla de cómo se tratan sus datos.
La biometría añade otra dificultad. Los datos utilizados para identificar de manera unívoca a una persona pueden tener la consideración de categoría especial en el RGPD. Su tratamiento requiere una base jurídica y una excepción válida del artículo 9, además de valorar necesidad, proporcionalidad y riesgos. Una firma de consentimiento del empleado no basta por sí sola para despejar las dudas que plantea el desequilibrio de la relación laboral.
El coste real del fichaje: del lector de huella a una cuota mensual
Para un negocio pequeño, el gasto no empieza ni termina en el aparato. Un sistema biométrico puede exigir una evaluación de impacto previa, contratos con proveedores, medidas de seguridad, documentación y asesoramiento. Si después hay que sustituirlo, se pierde parte de la inversión. El coste total importa más que el precio del lector. Es la misma lógica que conviene aplicar al comparar los mejores bancos para autónomos: mirar los gastos recurrentes, no solo la cuota anunciada.
Entre las alternativas sin lector biométrico figura SoloFichar, que permite fichar desde el navegador del móvil o la web y exportar registros para la Inspección en PDF o CSV. Su tarifa publicada es de 10 euros al mes, IVA incluido, para hasta 20 usuarios, con pago mensual y sin permanencia. El proveedor anuncia conservación de los registros durante cuatro años; para plantillas mayores ofrece presupuestos a medida.
Aquí hay una letra pequeña que merece explicación. En su página principal, SoloFichar indica que, tras cancelar, los datos pueden recuperarse durante 90 días y después se eliminan; sus términos y condiciones, en cambio, hablan de conservarlos al menos cuatro años tras la baja. Ambas indicaciones deben aclararse por escrito antes de contratar, y conviene exportar los históricos antes de cancelar. La responsabilidad de conservar el registro laboral no desaparece por delegarlo en un proveedor.
Qué revisar antes de volver a la huella
Quien conserva un dispositivo biométrico debería revisar primero su finalidad concreta: ¿evita un problema real que no pueda resolverse con tarjeta, PIN o aplicación? Después toca estudiar dónde se guardan los patrones biométricos, quién puede acceder, qué ocurre ante una brecha de seguridad y qué obligaciones contractuales asume el proveedor. Cuando el tratamiento entraña alto riesgo, el RGPD exige realizar una evaluación de impacto antes de utilizarlo.
Si una empresa ya tiene instalado un sistema de huella, tampoco debería dar por recuperada su inversión únicamente por la sentencia. Tendrá que revisar su documentación y las alternativas disponibles. Las sociedades que estén ordenando gastos también pueden comparar servicios financieros mediante los mejores bancos para pequeñas empresas, pero la decisión sobre biometría exige una revisión legal independiente.
La sentencia abre un debate sobre cómo la AEPD fija sus criterios, no una vía rápida para recuperar la huella dactilar. Antes de activar un sistema antiguo o comprar uno nuevo, interesa contrastar coste, alternativas y protección de datos. En un negocio con una plantilla reducida, la solución más sofisticada no siempre es la que mejor resuelve el control horario.
