- En la sentencia se indica que: Los criterios jurídicos nuevo se establecen por circulares no por guías. Queda ahora por saber qué va a suceder con todas las sanciones que impuso el regulador apoyadas en la Guia y que opinan los tribunales sobre el fondo de ese asunto
La Sección Primera de la Sala de lo Contencioso-Administrativo de la Audiencia Nacional ha dictado Sentencia de 30 de junio de 2026 (Procedimiento Ordinario 84/2024) por la que estima íntegramente el recurso interpuesto por la Asociación Española de Empresas de Seguridad (AES), asesorados por Miguel Geijo y Agustin Puente, socios responsable del área de privacidad de BROSETA, y anula la Guía sobre tratamiento de control de presencia mediante sistemas biométricos, publicada en la web de la AEPD el 23 de noviembre de 2023.
Se trata del primer pronunciamiento judicial que anula una guía de la Agencia Española de Protección de Datos (AEPD) por considerar que, bajo la apariencia de un documento orientativo, fijaba criterios de actuación obligatorios para los responsables del tratamiento, constituyendo materialmente una circular encubierta que debió tramitarse conforme al procedimiento legalmente establecido.
La sentencia no entra a valorar si los criterios de la AEPD sobre el tratamiento de datos biométricos en el control de presencia eran acertados o no. El pronunciamiento se centra de forma exclusiva en la naturaleza jurídica del instrumento empleado.
Todo ello lleva a la Sala a calificar la guía como una circular en el sentido del artículo 55 de la LOPDGDD y del artículo 6 del Real Decreto 389/2021 (Estatuto de la AEPD). Al no haberse sometido al procedimiento de elaboración exigido –que, entre otros puntos, requiere dictamen previo del Consejo de Estado y audiencia de los interesados–, la guía es contraria a derecho y debe ser anulada.
La guía anulada fue publicada en noviembre de 2023, bajo la anterior dirección de la AEPD. En marzo de 2025 asumió la presidencia de la AEPD Lorenzo Cotino Hueso. La nueva presidencia de la Agencia se enfrenta ahora a la necesidad de articular una respuesta institucional al pronunciamiento judicial y, de hecho, la guía aparece ya marcada como «en revisión» en la web de la AEPD.
José Leandro Núñez subraya que “las orientaciones de la Guía no pueden convertirse en criterios jurídicos para poder sancionar” foto AUDENS
Fija criterios de forma equivocada
José Leandro Núñez, socio del despacho Audens, cree que esta resolución de la Audiencia Nacional, obligará a la AEPD a replantearse el uso de este tipo de Guias Orientativas. “Lo que realmente la sentencia señala es que la fijación de criterios que rijan la actuación de la Agencia debe hacerse vía circular, no a través de una guía”.
Las quejas sobre esta guía de biometría habían sido notables ente los empresarios y la propia Asociación Española de Empresas de Seguridad (AES) recurrió el uso de la Guia de Biometría en un recurso que ha sido estimado en su totalidad por la Audiencia Nacional “Las guías son muy útiles para orientar el cumplimiento de la normativa, pero en este caso la AEPD utilizó ese instrumento para fijar criterios interpretativos que iban a regir su propia actuación. Además, la Guía introdujo criterios nuevos y muy restrictivos, y ahí surgió el problema”.
Las circulares ofrecen mayores garantías, porque se someten a un procedimiento específico que incluye una consulta pública y permite que asociaciones, empresas y demás sectores afectados formulen observaciones antes de aprobarse el texto definitivo. “Precisamente por eso, ENATIC ya propuso, durante la consulta pública del Plan Estratégico de la AEPD, que las guías destinadas a fijar criterios de actuación se tramitaran como circulares”, explica Núñez.
Para este jurista, el fallo de la Audiencia Nacional no entra a valorar si el criterio de la Agencia está bien o mal. Indica que “la metodología no fue la adecuada” y que “las orientaciones de la Guía no pueden convertirse en criterios jurídicos para poder sancionar”. Sobre las sanciones impuestas, “habrá que ver la casuística concreta: dependerá de su situación procesal, y en aquellos casos donde se hayan recurrido, será la Audiencia Nacional la que valore si están adecuadamente fundamentadas”.
Este experto recuerda que los criterios de la AEPD vienen del Comité Europeo de Protección de Datos. “En su momento una parte importante del sector empresarial se quejó de la aprobación de esta Guia. Hasta entonces, la AEPD entendía que utilizar la huella dactilar o el reconocimiento facial únicamente para verificar que una persona era quien decía ser (por ejemplo, al fichar en el trabajo) no suponía tratar datos sensibles. Pero el Comité Europeo de Protección de Datos dijo que esos sistemas también implican usar datos especialmente protegidos, y la Agencia tuvo que cambiar su criterio para adaptarse a esa interpretación europea: en realidad, tenía poco margen”
Desde su punto de vista el problema es que la AEPD publicó una guía donde no solo aplicaron el criterio del Comité Europeo de Protección de Datos, sino que fue incluso un poco más allá. Y por la forma en la que se hizo y las consecuencias que tuvo sobre el mercado y sobre todo sobre las empresas de seguridad, pues era un auténtico problema.
“Lo que dice la Audiencia Nacional es que, si quieres fijar ese tipo de criterios generales para regir la actuación de la Agencia, no debes hacerlo mediante una guía: debes utilizar un instrumento con mayores garantías”. Esto, a su juicio, pone a esta autoridad de control en un brete: “ahora se abre un problema más general: si cada nuevo criterio tiene que tramitarse como circular, la Agencia puede tardar meses en anunciar un cambio interpretativo. Ahí queda una cuestión importante por resolver”.
Este experto defiende que la AEPD debe seguir publicando guías divulgativas, como la dedicada a la protección de datos en las relaciones laborales. “Ese tipo de documentos recopilan y ordenan los criterios que la Agencia ha ido fijando en informes jurídicos y resoluciones: sistematizan toda esa doctrina para que resulte más accesible y fácil de entender. Lo que cuestiona la Audiencia Nacional en esta sentencia es que una guía se utilice para fijar criterios interpretativos nuevos, porque en ese caso debe seguirse otra metodología”.
Xavier Ribas destaca que “ La sentencia contiene un mensaje de alcance general para todas las autoridades administrativas: la naturaleza jurídica de un acto no depende de la denominación que reciba, sino de sus efectos reales” (Foto cedida por el autor)
Cuando una guía se convierte en una norma
Para Xavier Ribas, soco director de Ribas Legal, con esta resolución, la Audiencia Nacional recuerda los límites de la potestad interpretativa de las autoridades de control.
Este experto reconoce que las autoridades de control han desempeñado un papel decisivo en la construcción del Derecho de la protección de datos en la Unión Europea. Además de su actividad inspectora y sancionadora, han elaborado durante más de 30 años un importante conjunto de guías, recomendaciones, informes, preguntas frecuentes y documentos interpretativos que constituyen una referencia habitual para empresas, administraciones públicas y profesionales del sector.
“El problema surge cuando una guía deja de ser un mero instrumento de orientación para convertirse, en la práctica, en una auténtica fuente de obligaciones. Precisamente sobre esta cuestión se ha pronunciado la Audiencia Nacional en su sentencia de 30 de junio de 2026, relativa a la denominada Guía sobre tratamientos de control de presencia mediante sistemas biométricos”, recalca
Ribas recuerda que previamente, el Tribunal Supremo había indicado en su sentencia 1215/2026, de 12 de marzo, que una guía es un documento que fija criterios de naturaleza jurídica, interpretativa de las obligaciones dimanantes del RGPD en distintas situaciones, que aporta una interpretación del Derecho que en modo alguno puede considerarse vinculante para los órganos judiciales, sin perjuicio de que éstos puedan coincidir con dicha interpretación.
Al mismo tiempo señala que en relación con las directrices interpretativas del RGPD, emitidas en su momento por el Grupo de Trabajo del Artículo 29, y en la actualidad por el Comité Europeo de Protección de Datos, que pretenden homogeneizar la práctica de las autoridades de control de toda la Unión Europea, el Tribunal Supremo entiende que tampoco pueden considerarse vinculantes para los órganos judiciales, si bien debe concedérseles un importante valor interpretativo del RGPD, debiendo recordarse que en último extremo la función homogeneizadora de la interpretación del RGPD como norma de Derecho de la Unión correspondería al Tribunal de Justicia de la Unión Europea a través del mecanismo de cuestiones prejudiciales.
Este experto destaca que la sentencia de la Audiencia Nacional no valora el tema de fondo, es decir, la interpretación jurídica de la AEPD sobre el uso de datos biométricos. La cuestión central era determinar si la Agencia podía imponer, mediante una simple guía publicada en su página web, criterios que condicionaban de forma efectiva la actuación de miles de organizaciones y que posteriormente eran utilizados como parámetro de legalidad en sus procedimientos de supervisión y sanción.
A su juicio, el fallo judicial considera que el contenido del documento excedía el ámbito propio de una guía interpretativa. No se limitaba a ofrecer recomendaciones o criterios técnicos, sino que establecía reglas generales destinadas a orientar la actuación futura de la propia Agencia y de los responsables del tratamiento. En consecuencia, el documento presentaba las características propias de una Circular y debía haberse aprobado siguiendo el procedimiento previsto en el artículo 55 de la Ley Orgánica 3/2018 y en el Reglamento del Estatuto de la AEPD”.
Para Ribas, en esta coyuntura la Audiencia Nacional podria entrar a estudiar sanciomes como la de la AEPD a AENA , al parecer basada en el no cumplimento de las directrices sobre Gestión del riesgo y evaluación de impacto en tratamientos de datos personales de 2021 es confome a derecho o no (AENA)
Aviso a otras administraciones
“La importancia de esta doctrina trasciende ampliamente el ámbito de la biometría. La sentencia contiene un mensaje de alcance general para todas las autoridades administrativas: la naturaleza jurídica de un acto no depende de la denominación que reciba, sino de sus efectos reales. Una Administración no puede evitar las garantías propias del ejercicio de la potestad normativa calificando como "guía" un documento que, por su contenido y por el uso que posteriormente hace de él, despliega efectos equivalentes a una disposición de carácter general”, indica Ribas.
Este razonamiento conecta directamente con dos principios estructurales del Estado de Derecho: el principio de legalidad y el principio de seguridad jurídica. Las obligaciones de los ciudadanos y de las empresas únicamente pueden imponerse mediante normas aprobadas conforme al procedimiento establecido por el legislador.
“Las guías administrativas pueden interpretar la legislación vigente, pero no añadir requisitos, restringir derechos o introducir prohibiciones que no encuentren apoyo suficiente en el RGPD, en la LOPDGDD o en otras normas con rango adecuado”, recuerda este jurista
Ello no significa, naturalmente, que las guías de la AEPD carezcan de relevancia jurídica. Muy al contrario, constituyen una valiosa manifestación del criterio interpretativo de la autoridad de control y permiten anticipar cómo ejercerá sus competencias de supervisión. Desde una perspectiva de gestión del riesgo regulatorio, resulta plenamente aconsejable conocerlas y tenerlas en consideración. Sin embargo, otra cuestión distinta es atribuirles eficacia normativa.
“Si una guía pudiera convertirse de facto en una norma obligatoria, la Administración dispondría de un mecanismo para modificar el contenido práctico de las obligaciones legales sin someterse a los procedimientos de elaboración normativa, sin audiencia pública, sin los informes preceptivos y sin las garantías de publicidad que el ordenamiento exige para las disposiciones de carácter general”, dvierte
En su opinión, “la sentencia de la Audiencia Nacional restablece ese equilibrio institucional. La AEPD conserva intacta su facultad de interpretar el Derecho y de orientar a los operadores jurídicos, pero dicha función interpretativa encuentra un límite infranqueable allí donde comienza el ejercicio de la potestad normativa”.
Esta resolución constituye, por ello, un recordatorio especialmente oportuno de que, en un Estado de Derecho, las autoridades administrativas no sólo deben actuar conforme a la ley, sino también mediante los instrumentos jurídicos previstos por la propia ley. La calidad técnica de una guía nunca puede suplir la ausencia del procedimiento normativo que garantiza la participación, la transparencia y la seguridad jurídica de todos los destinatarios”
Como nota adicional, vale la pena mencionar las resoluciones de las autoridades de control que basan la procedencia de la sanción en el incumplimiento de requisitos establecidos en una guía.
Para Xavier Ribas, “sin ir más lejos, la resolución de AENA, en la que se la sanciona por incumplir el artículo 35 del RGPD, que establece los requisitos que debe cumplir una evaluación de impacto. En este caso la Audiencia Nacional podría valorar si los fundamentos jurídicos de la resolución sancionadora se basan estrictamente en los requisitos establecidos en el artículo 35 del RGPD o también en los recogidos en la Guía sobre Gestión del riesgo y evaluación de impacto en tratamientos de datos personales de 2021 mencionada en la resolución”
