Qué ha cambiado
El 3 de noviembre de 2026 la AEPD publicó un criterio jurídico que da la vuelta a la idea con la que muchos fabricantes de software llevaban tres años trabajando: que si existe una alternativa menos intrusiva, la biometría queda descartada. Ya no es así. Según la Agencia, una alternativa menos intrusiva solo hace innecesaria la biometría si cubre la misma necesidad con eficacia equivalente o superior frente al riesgo concreto que se quiere combatir, por ejemplo la suplantación de identidad o la manipulación de documentos. Lo recogía Confilegal el 5 de noviembre con un titular preciso: que haya alternativa no lo hace innecesario.
El contexto importa. La guía de control de presencia biométrico de noviembre de 2023, que en la práctica cerraba la puerta a la huella y al reconocimiento facial para fichar, fue anulada por la Audiencia Nacional en sentencia de 30 de junio de 2026 por ser materialmente una circular encubierta tramitada sin el procedimiento legal. La sentencia no entró en el fondo y no es firme, pero dejó un vacío de criterio. La AEPD ha respondido con un borrador de nueva guía sometido a consulta en verano de 2026 y, ahora, con este criterio, que anticipa la línea de la guía definitiva.
El criterio responde a una consulta sobre verificación facial uno a uno de clientes a distancia, pero sus tres ideas son generales. Primera: el juicio de necesidad exige comparar la eficacia real de cada medida contra el riesgo concreto, y nadie está obligado a conservar una tecnología solo porque sea menos intrusiva. Segunda: el consentimiento explícito del artículo 9.2.a) del RGPD puede legitimar el tratamiento biométrico si la persona dispone de una alternativa no biométrica real, que no tiene por qué ser idéntica en canal o comodidad, pero no puede suponer coste, pérdida de derechos ni carga desproporcionada. Tercera: no todos los tratamientos biométricos pesan igual; una verificación uno a uno, puntual, sin base de datos persistente y con borrado de la referencia tras el cotejo tiene un riesgo distinto de una identificación uno a varios sobre una base centralizada.
Lo que no cambia es igual de importante. Los datos biométricos siguen siendo categoría especial. La evaluación de impacto sigue siendo obligatoria. La AEPD no homologa algoritmos ni fija porcentajes de fraude aceptables; el responsable conserva un margen de apreciación técnica, pero tiene que definir la necesidad, justificar el nivel de fiabilidad, comparar alternativas, documentar la decisión y revisarla si la eficacia prevista no se confirma en producción. El criterio tampoco es una autorización general ni una certificación de ninguna tecnología.
Para quien fabrica software, la consecuencia práctica es que la pregunta deja de ser «¿puedo usar biometría?» y pasa a ser «¿puedo demostrar por qué la necesito y cómo la he diseñado?». Tres ejemplos de nuestra práctica lo ilustran.
Ejemplo 1: control horario con huella o reconocimiento facial
Es el caso más sensible y el que más consultas nos genera desde controlhorario.es. Un fabricante de software de registro de jornada quiere ofrecer fichaje por huella o por cara porque sus clientes se quejan de que las tarjetas se prestan y los PIN se comparten. Con la guía de 2023 la respuesta era casi automática: existe alternativa, luego no. Con el nuevo criterio la respuesta es: depende de lo que demuestres.
Lo primero que debe demostrar el fabricante, y después cada empresa cliente como responsable del tratamiento, es la necesidad. No basta decir que la biometría es más cómoda; hay que acreditar que el riesgo concreto es el fichaje por un tercero y que la tarjeta o el PIN no lo cubren con eficacia equivalente. El propio borrador de guía de la AEPD admite que tarjetas y códigos pueden no ser idóneos cuando se comparten con facilidad. Esa afirmación tiene que estar en la evaluación de impacto con datos, no con adjetivos.
Lo segundo es la base jurídica. El borrador de guía es claro en que ni el artículo 20.3 ni el 34.9 del Estatuto de los Trabajadores bastan como habilitación legal para el fichaje biométrico. Queda el consentimiento explícito, que en el ámbito laboral exige garantías reforzadas por el desequilibrio entre las partes: el trabajador tiene que poder negarse y fichar por otro medio sin penalización, sin esperas y sin que nadie lo señale. Para el software eso significa que la alternativa no biométrica no puede ser una opción escondida en un menú de administrador; tiene que ser un modo de uso de primera clase, con la misma trazabilidad y la misma integridad del registro.
Lo tercero es la arquitectura, y aquí es donde el fabricante decide cuánto riesgo asume su cliente. El borrador de guía describe el modelo que reduce el riesgo: referencia biométrica irreversible, no vinculable y revocable; custodia bajo control del trabajador (una tarjeta o su propio móvil) o compartida, en lugar de una base centralizada en el servidor del fabricante; verificación uno a uno en local, con el terminal sin conexión a Internet o con un enclave seguro; borrado de la muestra en cuanto se genera la referencia; y prohibición de capturar a personas que no son objeto del control. Un terminal que almacena las plantillas de toda la plantilla en una nube del proveedor y hace identificación uno a varios es, con el mismo criterio, el peor escenario posible.
Cuando auditamos un módulo de control horario biométrico, lo que buscamos en la documentación y en el producto es exactamente esa cadena: riesgo identificado, alternativa comparada, consentimiento con opción real, EIPD firmada y arquitectura que haga verdad lo que la EIPD promete. Si falta un eslabón, el fichaje biométrico sigue siendo una sanción en espera.
Ejemplo 2: biometría en el ERP y en los accesos corporativos
En un ERP la biometría no suele aparecer en el fichaje, sino en tres puntos: el inicio de sesión (huella o cara en el portátil o el móvil), la autorización de operaciones sensibles (aprobar un pago, liberar un pedido, firmar un asiento) y el acceso físico a almacenes o zonas restringidas integrado con el sistema. El nuevo criterio obliga a mirar cada uno por separado, porque el riesgo efectivo es distinto.
El inicio de sesión con Windows Hello, Touch ID o una passkey es el caso fácil, y conviene decirlo con claridad para no sobreactuar. La referencia biométrica se genera y se queda en el dispositivo del usuario, bajo su control exclusivo; el ERP nunca la recibe, solo recibe una afirmación criptográfica de que el usuario se ha autenticado. Es el modelo de custodia bajo control del individuo que el borrador de guía considera de menor riesgo y, de hecho, el supuesto que la propuesta de Digital Omnibus quiere excluir del artículo 9. Un fabricante de ERP que ofrece este modelo tiene poco que justificar, siempre que no exija la biometría como único método y deje una alternativa (contraseña más segundo factor) sin coste para el usuario.
La autorización de operaciones sensibles es el caso interesante. Aquí el fabricante sí puede argumentar necesidad: el riesgo es que un usuario apruebe en nombre de otro, y una contraseña compartida no lo evita con eficacia equivalente. Pero el argumento vale solo si el diseño acompaña. Si el ERP guarda la plantilla biométrica en su propia base de datos para cotejarla en servidor, ha creado un repositorio persistente bajo control del responsable y ha subido el riesgo al escalón más alto; además, lo normal es que ese cotejo se pueda sustituir por una firma electrónica avanzada o una passkey con el mismo efecto probatorio y sin categoría especial. En nuestras auditorías, cuando encontramos biometría en servidor para autorizar operaciones, el hallazgo casi nunca es «biometría prohibida», sino «alternativa igual de eficaz y menos intrusiva no evaluada». Que es, exactamente, el juicio que el criterio de la AEPD pide hacer.
El acceso físico integrado con el ERP (tornos, almacenes, salas de servidores) vuelve al terreno del ejemplo anterior: desequilibrio laboral, consentimiento con alternativa real y arquitectura con la referencia en la tarjeta del empleado, no en una base central. Y un detalle que se olvida: los lectores de acceso capturan a visitantes, transportistas y personal de contratas. El borrador de guía prohíbe capturar a quienes no son objeto del control, así que el sistema necesita un flujo de visitante sin biometría desde el diseño.
El hilo común para un fabricante de ERP es el inventario. Antes de hablar de EIPD hay que saber en qué pantallas, módulos e integraciones entra una muestra biométrica, dónde se convierte en referencia, quién la custodia y cuándo se borra. Sin ese mapa, ninguna evaluación de impacto es creíble.
Ejemplo 3: receta médica privada electrónica
El Sistema de Receta Electrónica Privada (SREP) es el caso en el que el nuevo criterio encaja mejor, porque la consulta que lo originó era precisamente una verificación facial uno a uno de clientes a distancia. En una plataforma de receta privada hay tres personas que identificar y el riesgo es distinto para cada una.
El médico prescriptor ya tiene resuelto el problema sin biometría: firma la receta con certificado cualificado y su habilitación se verifica contra el registro colegial. Introducir reconocimiento facial para que el médico firme sería, con el nuevo criterio, difícil de justificar: existe una alternativa (la firma cualificada) igual de eficaz contra la suplantación y menos intrusiva, y es además la que exige la norma. Aquí el juicio de necesidad falla y la biometría sobra.
El paciente es el caso contrario. En telemedicina privada el riesgo real es que alguien obtenga una receta de un medicamento controlado suplantando a otra persona, o que se manipule un documento identificativo en una videoconsulta. El procedimiento tradicional, documento más vídeo más comparación visual por personal, es justo el que la AEPD ha considerado que no ofrece eficacia equivalente frente a esos riesgos. Una verificación facial uno a uno contra el documento de identidad, puntual, sin repositorio biométrico y con borrado de la referencia tras el cotejo supera el juicio de necesidad, siempre que el paciente pueda optar por una vía no biométrica real: la consulta presencial, el DNI electrónico o una firma cualificada. Esa alternativa puede ser más lenta o menos cómoda, pero no puede costar más ni dejarle sin el servicio. El fabricante de la plataforma tiene que diseñar ese segundo camino con la misma seriedad que el primero.
El farmacéutico dispensador se parece al médico: accede con su certificado y su colegiación. Pero la plataforma puede estar tentada de verificar biométricamente al paciente en el mostrador para dispensar. De nuevo, pregunta de necesidad: si la receta lleva un código y el paciente se identifica con su documento, ¿qué riesgo adicional cubre la cara? Si no hay respuesta documentada, no hay tratamiento.
Hay un agravante propio de este sector que conviene no olvidar. Una plataforma SREP ya trata datos de salud, categoría especial del artículo 9. Añadir biometría no suma una categoría especial más a una lista: multiplica el impacto de cualquier brecha, porque un repositorio que vincule cara, identidad y medicación es irreversible para la persona afectada. Por eso, en las auditorías de certificación SREP que realizamos, el diseño de la identificación del paciente se revisa junto con la trazabilidad de accesos y el derecho del paciente a saber quién consultó sus datos, no como un módulo aparte.
Qué debe hacer ahora un fabricante de software
El criterio de la AEPD traslada el peso de la decisión al responsable, y el responsable solo puede decidir bien si el fabricante le da el producto y la documentación adecuados. Estas son las comprobaciones que hacemos en una auditoría de adecuación, en el orden en que las hacemos.
- Inventario biométrico del producto: dónde entra una muestra, dónde se convierte en referencia, quién la custodia, cuánto dura y cuándo se borra, módulo a módulo e integración a integración.
- Riesgo concreto, por escrito: qué fraude o suplantación se quiere evitar y con qué datos se sostiene que existe.
- Comparación de alternativas con eficacia medida, no supuesta: tarjeta, PIN, passkey, firma avanzada o cualificada, DNIe, atención presencial. Si alguna cubre el riesgo igual de bien, la biometría no supera el juicio de necesidad.
- Base jurídica por caso de uso. En laboral, consentimiento con garantías reforzadas; nunca el Estatuto de los Trabajadores como habilitación.
- Alternativa no biométrica como función de primera clase: mismo registro, misma integridad, sin coste, sin espera visible y sin marcar a quien la elige.
- Arquitectura de mínimo riesgo: referencia irreversible, no vinculable y revocable; verificación uno a uno en local; custodia en el dispositivo o tarjeta de la persona o compartida; nada de bases centralizadas si se puede evitar; borrado de la muestra tras generar la referencia; flujo sin biometría para terceros no sujetos al control.
- EIPD en todo caso, que describa la arquitectura real y no la del folleto, y que concluya con el riesgo residual que decide si procede consulta previa a la AEPD.
- Documentación para el cliente: una ficha que le permita, como responsable, reproducir el razonamiento de necesidad y proporcionalidad y cumplir con su propio deber de responsabilidad proactiva.
- Revisión periódica: la AEPD exige contrastar la eficacia prevista con la real y revisar la decisión si aparecen alternativas equivalentes. Eso implica métricas de fraude evitado y una fecha de revisión en el calendario.
Quien ya tenga biometría desplegada con la guía de 2023 en la cabeza debería hacer una lectura rápida de los puntos 3, 5 y 6. Son los que más cambian y los que más se parecen a lo que la futura guía va a exigir.
Cómo ayudamos
En Legal & Digital Auditors auditamos productos software de fabricantes, no empresas usuarias. Eso nos permite revisar la biometría donde se decide de verdad: en el diseño del producto y en la documentación que el fabricante entrega a sus clientes. Lo hacemos dentro de nuestro servicio de auditoría RGPD de software, con una checklist propia de controles y con la experiencia específica de tres sectores: el control horario, a través de controlhorario.es; los ERP y sistemas de gestión, incluidos los proyectos SAP; y la receta médica privada electrónica, donde realizamos auditorías de certificación SREP para plataformas que se homologan ante el CGCOM.
El entregable es un informe de hallazgos con el inventario biométrico, el juicio de necesidad y proporcionalidad por caso de uso, las desviaciones de arquitectura respecto al modelo de mínimo riesgo y una ficha para que cada cliente del fabricante pueda completar su propia EIPD. Como auditores no prescribimos soluciones ni proveedores; decimos qué cumple, qué no y por qué, con la referencia normativa en cada punto.
Si su software usa o va a usar biometría, el momento de revisarlo es ahora, entre el criterio de noviembre y la guía definitiva. Escríbanos a través de legalauditors.es y le diremos en una primera conversación qué partes de su producto merecen una revisión y cuáles no.
