1. Qué ha resuelto la Audiencia Nacional
La Sección Primera de la Sala de lo Contencioso-Administrativo de la Audiencia Nacional, mediante Sentencia núm. 367/2026, de 30 de junio (Procedimiento Ordinario 84/2024, ponente: Helmuth Moya Meyer), ha estimado íntegramente el recurso interpuesto por la Asociación Española de Empresas de Seguridad (“AES”) y ha anulado la Guía sobre el tratamiento de datos biométricos para el control de presencia (en adelante, “la Guía”), publicada por la Agencia Española de Protección de Datos (en adelante, “AEPD”) el 23 de noviembre de 2023. La Sentencia no es firme: cabe recurso de casación ante el Tribunal Supremo.
Es la primera vez que un tribunal anula una guía de la AEPD por entender que, bajo la apariencia de un documento orientativo, imponía criterios de obligado cumplimiento a terceros, constituyendo materialmente una circular encubierta que debió tramitarse conforme al procedimiento legalmente establecido. La Sala recuerda que lo que importa no es cómo se llame el documento, sino lo que realmente hace. Si una guía se limita a organizar el trabajo interno de la Administración, no pasa nada; pero si además impone reglas que terceros están obligados a cumplir, entonces, lo llamen como lo llamen, está funcionando como una norma, y debe tramitarse con las formalidades propias de una norma, en este caso, como una circular. Al no haberse seguido dicho procedimiento (participación de los sectores afectados, informes y dictamen del Consejo de Estado), la Guía resulta contraria a derecho.
Para llegar a esta conclusión, la Audiencia Nacional destaca que la propia Guía anunciaba que “se van a determinar los criterios” para el tratamiento biométrico, formulaba sus conclusiones “en términos taxativos” y configuraba un marco que “indudablemente pretendía influir” en las decisiones de los responsables del tratamiento; y que la propia AEPD venía fundamentando sus resoluciones sancionadoras remitiéndose a esos mismos criterios interpretativos.
2. Lo que no dice la Sentencia (y por qué conviene subrayarlo)
Lo que se anula la Sentencia es la forma, no el fondo. La Audiencia Nacional no dice si la AEPD acierta o no en su visión sobre la biometría; solo juzga el instrumento que usó para expresarla. Todo lo demás sigue en pie: los datos biométricos siguen siendo categoría especial, y siguen aplicando la necesidad de habilitación legal, la minimización, la Evaluación de Impacto y las dudas sobre el consentimiento. El RGPD y la LOPDGDD no se ven afectados. Lo que cae es la Guía como documento, y con ella, su forma de imponer una lectura restrictiva sin seguir el trámite que exige la ley.
3. Por qué esta sentencia interesa especialmente al juego presencial
Este pronunciamiento trasciende con mucho el ámbito del control horario laboral, que era el escenario principal abordado por la Guía. Su impacto práctico ha sido, si cabe, mayor en el sector del juego presencial —casinos, bingos y salones de juego—, donde los sistemas biométricos no se emplean como alternativa al fichaje, sino como mecanismo de identificación en el control de acceso: verificar que la persona no es menor de edad, no figura en los Registros de Interdicción de acceso al juego y, cada vez más, no está suplantando su identidad mediante tecnologías de fraude basadas en inteligencia artificial.
La consecuencia práctica de la Guía en este ámbito no fue menor: numerosos operadores paralizaron o modificaron proyectos de control de acceso biométrico exclusivamente a causa de la interpretación restrictiva que la AEPD hizo pública en noviembre de 2023, y varias Comunidades Autónomas reaccionaron modificando sus leyes de juego para dotar de cobertura legal expresa al uso de la biometría, declarándolo de “interés público esencial” en el sentido del artículo 9.2.g) RGPD. Dicho de otro modo: el sector, e incluso el propio legislador autonómico, terminaron reaccionando ante un documento que, jurídicamente, nunca debió tener ese alcance.
4. El origen del problema: un razonamiento “mutatis mutandis” sin base
Merece la pena detenerse aquí, porque es la raíz real de la incertidumbre y la sentencia la confirma indirectamente. La Guía dedicaba su análisis central al registro de jornada laboral: allí concluía que, al existir una obligación legal de fichar y un desequilibrio de poder entre empresario y trabajador, el consentimiento del empleado no podía levantar la prohibición del artículo 9.1 RGPD si existía una alternativa no biométrica igualmente eficaz. Hasta ahí, un razonamiento acotado a la relación laboral.
El salto —y el verdadero origen de la incertidumbre para el sector del juego— se produjo cuando la propia Guía extendió esa misma lógica, mutatis mutandis, a los supuestos de control de acceso con fines no laborales; es decir, a la relación entre un establecimiento de juego y un consumidor/cliente. En sus conclusiones, la AEPD trasladó sin más un razonamiento pensado para el desequilibrio empresario-trabajador a un contexto —el acceso de un cliente a un casino, bingo o salón de juego— en el que ese desequilibrio estructural sencillamente no concurre. Se trata de una extrapolación analógica que carece de un valor interpretativo significativo en el ámbito jurídico: ni el artículo 9 RGPD ni el artículo 9 LOPDGDD contemplan una exclusión general del consentimiento para el control de acceso a establecimientos de juego, y la propia práctica sancionadora de la AEPD (expediente PS/00413/2022, relativo al acceso biométrico a un gimnasio) confirma que el problema nunca fue el uso del consentimiento como base legitimadora, sino el momento y la forma en que se informó al afectado.
Ese único párrafo —pensado para un escenario muy concreto y proyectado después, por analogía, sobre todo un sector— es exactamente el tipo de contenido que un documento “orientativo” no puede permitirse imponer con pretensión de generalidad. Y es también, en el fondo, lo que la Audiencia Nacional reprocha a la Guía en su conjunto: fijar, bajo apariencia de mera orientación, un criterio taxativo con vocación de aplicarse erga omnes sin el respaldo procedimental necesario. El sector del juego presencial asumió ese párrafo como si fuera derecho positivo, cuando nunca debió tener ese valor, algo que este despacho indicó a algunos de sus clientes cuando la misma se aprobó.
5. Guías, FAQ y consultas: un recordatorio necesario sobre su valor
El episodio de la Guía biométrica no es un caso aislado, y conviene aprovechar esta sentencia para hacer un recordatorio de calado para todo el sector. El juego es una de las actividades más intensamente reguladas y sancionadas de nuestro ordenamiento, lo que empuja —de forma comprensible— a los operadores a buscar la máxima seguridad jurídica interpretativa allá donde puedan encontrarla: guías, preguntas frecuentes, consultas resueltas o instrucciones publicadas por las autoridades de control. Esa búsqueda de certeza es legítima, pero no debe hacer perder de vista la verdadera naturaleza jurídica de esos documentos.
La propia AEPD lo recuerda en su Instrucción 1/2021, de 2 de noviembre, sobre su función consultiva: los contenidos, materiales, FAQ, guías y demás documentos informativos que la Agencia publica constituyen actividad de información y sensibilización, de naturaleza no vinculante, y no sustituyen al ejercicio de las potestades de investigación, corrección, autorización o consulta previstas en el artículo 58 RGPD. Ni siquiera los informes jurídicos que evacua la propia Agencia vinculan a sus inspectores. Trasladado a la práctica: una guía, por autorizada que sea su fuente, no puede alterar el juicio de idoneidad, necesidad y proporcionalidad que corresponde hacer, caso por caso, al responsable del tratamiento; y una interpretación restrictiva contenida en una guía no puede, por sí sola, vaciar de contenido una base de legitimación reconocida por el RGPD y la LOPDGDD.
Esta sentencia ofrece, por tanto, un argumento adicional —y ya judicial— para que los operadores del sector no den por definitivamente cerrada una cuestión jurídica solo porque así lo señale una guía, unas FAQ o la respuesta a una consulta, por mucho que provengan de la autoridad de control. La seguridad jurídica del sector debe descansar en la ley, el RGPD y la jurisprudencia, no en documentos de naturaleza meramente informativa que, como demuestra este caso, pueden terminar siendo anulados. Y esto lo podemos extrapolar al resto de autoridades de control.
6. Qué recomendamos a los operadores de casinos, bingos y salones de juego
– Mantener el marco de análisis que ya veníamos recomendando, con independencia de la suerte de la Guía: test de idoneidad, necesidad y proporcionalidad, documentado en una Evaluación de Impacto (EIPD) previa y específica para el control de acceso biométrico.
– Recordar que las bases de legitimación del artículo 9.2 RGPD siguen operativas: consentimiento explícito —acompañado de una alternativa real y no equivalente en seguridad, como el DNI o la tarjeta de acceso— y, en su caso, la habilitación por norma con rango legal, ya recogida expresamente en varias leyes de juego autonómicas (Comunitat Valenciana, La Rioja, Extremadura, entre otras).
– Revisar y, en su caso, reactivar proyectos de identificación biométrica que hubieran sido paralizados, descartados o modificados exclusivamente como consecuencia de la interpretación restrictiva de la Guía hoy anulada.
– Aplicar plazos de conservación mínimos —idealmente, eliminación inmediata tras la verificación— y reforzar la información a las personas usuarias sobre el tratamiento específico de datos biométricos.
– Seguir de cerca la respuesta institucional de la AEPD —circular, nueva guía o vacío regulatorio— y la eventual casación, dado que ambas pueden volver a modificar el escenario interpretativo.
Quedamos a su disposición para analizar el impacto concreto de esta sentencia en los sistemas de control de acceso ya implantados o proyectados en sus establecimientos.
LOYRA ABOGADOS
Departamento de Propiedad Intelectual y Nuevas Tecnologías
Socia: Patricia Lalanda
