Datos biométricos y RGPD: el nuevo criterio de la AEPD, explicado

El 3 de noviembre de 2026 la AEPD publicó un criterio sobre datos biométricos, en respuesta a la consulta de una entidad financiera sobre la verificación facial en el alta remota de clientes. Deja tres ideas prácticas: una alternativa menos intrusiva solo hace innecesaria la biometría si es igual de eficaz; el consentimiento explícito puede legitimarla si hay una alternativa no biométrica real; y no pesa lo mismo comprobar una identidad (1:1) que buscar a alguien entre muchas personas (1:N).

Es el informe de una consulta concreta y no vinculante, pero la Agencia lo califica de «alto nivel estratégico» y dice que anticipa criterios de su futura guía de biometría.

Qué ha publicado exactamente la AEPD

Son dos documentos: un resumen en la sección «Criterios jurídicos» de su web y el informe íntegro de 17 páginas de la Subdirección General de Promoción y Autorizaciones.

El caso: el delegado de protección de datos de una entidad financiera consulta si puede usar una verificación facial 1:1 en el alta de clientes por un canal íntegramente remoto. El sistema compara la foto del documento con la imagen facial captada. Según la documentación aportada, genera referencias biométricas temporales y las elimina al terminar el cotejo, no crea una base biométrica ni busca frente a una pluralidad de personas, mantiene revisión manual interna en los positivos y deriva ciertos negativos a un procedimiento no biométrico.

No es una consulta previa del artículo 36 del RGPD, ni una autorización del tratamiento, ni una homologación de la tecnología o del proveedor. El responsable debe revisar la evaluación si cambian las premisas del sistema. La AEPD concluye que el sistema supera, «en términos ex ante», los juicios de idoneidad, necesidad y proporcionalidad, y que la metodología del responsable es «en lo sustancial» adecuada.

Con condiciones: la valoración queda sujeta a que el consentimiento cumpla el RGPD (lo que en este caso exige añadir una vía remota no biométrica) y a que la entidad complete la documentación pendiente: descripción de la arquitectura, plazos de conservación y efectos de los resultados negativos automatizados.

Necesidad: una alternativa menos intrusiva no basta si no es igual de eficaz

Según el informe, una medida menos intrusiva solo desplaza al tratamiento biométrico si satisface la misma necesidad con eficacia equivalente.

En el caso ya existía un procedimiento remoto sin biometría (documentación, vídeo y comparación visual por personal especializado) que había detectado intentos de fraude. La AEPD entiende que la documentación aportada permite considerar, ex ante, que no ofrecía eficacia equivalente frente a los riesgos que analizó la entidad, entre ellos la suplantación de identidad. Aclara que esa conclusión no se apoya primordialmente en el ahorro de costes, sino en fiabilidad y seguridad.

Quién fija cuánta eficacia hace falta

Corresponde en primer lugar al responsable, que conoce su actividad, sus riesgos y sus obligaciones sectoriales. La AEPD no fija el porcentaje de fraude aceptable ni el umbral de similitud, ni homologa algoritmos. Comprueba, eso sí, que la necesidad es real y concreta, que el nivel de eficacia exigido está justificado y que las métricas son pertinentes y están documentadas (responsabilidad proactiva).

Las pruebas técnicas no lo prueban todo

Una evaluación del algoritmo o una certificación frente a ataques de presentación no acreditan por sí solas la eficacia global frente al fraude en producción: las tasas de error dependen de las condiciones de prueba y del umbral.

La evaluación puede hacerse antes del despliegue si hay evidencia objetiva suficiente, pero luego hay que contrastarla con el funcionamiento real y revisar la decisión si la mejora prevista no llega o aparece una alternativa equivalente.

Consentimiento: libre solo si hay una alternativa real

La AEPD sostiene que el tratamiento de datos biométricos no excluye por sí mismo acudir al consentimiento. Un consentimiento puede levantar la prohibición del artículo 9.1 del RGPD (artículo 9.2.a) si es libre, específico, informado, inequívoco y explícito.

Hacen falta dos cosas, no una: una base del artículo 6 para cada operación y una excepción del artículo 9.2 que levante la prohibición. El informe exige que ambos concurran y no admite acumular fundamentos como títulos intercambiables. El resumen oficial sitúa el consentimiento como base en el artículo 6.1.a; la conclusión del informe íntegro cita el 6.1.c, que el propio informe asocia, en su fundamento III, a la obligación legal de identificar. En mi lectura, es una errata; lo prudente es documentar por separado la base de cada operación.

Lo decisivo es poder rechazar la biometría sin perjuicio ni presión, y eso exige una alternativa no biométrica real y efectiva. Real no significa idéntica: puede ser algo menos rápida o cómoda, dentro de lo razonable. No puede, en cambio, imponer costes adicionales injustificados, pérdida de condiciones, exclusiones, retrasos desproporcionados u otras cargas que presionen para consentir.

La oficina presencial, en este caso, no bastó sola

La entidad ofrecía la identificación presencial en sus oficinas. La AEPD matiza que no hace falta una oficina en el mismo municipio ni una red extensa. Pero, en las circunstancias de este caso, junto a la vía presencial es necesaria una alternativa no biométrica a distancia. Cita la firma electrónica cualificada (artículo 12.1.a de la Ley 10/2010) y el DNI electrónico (disposición adicional tercera de la Ley 6/2020). Así, el cliente elige entre biometría, vía remota no biométrica y presencial.

El informe no dice que esos mecanismos estén al alcance de todos los clientes ni que sean equivalentes en eficacia: se valoran por su disponibilidad efectiva, y elegir las vías corresponde al responsable.

Dos preguntas distintas que no hay que mezclar

En mi lectura, es la aportación más útil del criterio. La alternativa que garantiza la libertad del consentimiento y la del juicio de necesidad responden a preguntas diferentes.

Libertad del consentimientoJuicio de necesidad
Qué se pregunta¿Puede la persona rechazar la biometría sin un perjuicio que vicie su voluntad?¿Hay una medida menos intrusiva que alcance la finalidad con eficacia equivalente?
Qué alternativa cuentaUna vía practicable y no biométrica, que no tiene que ser idénticaUna medida que proteja igual de bien frente al riesgo concreto, como la suplantación
Si existeEs condición para que el consentimiento sea libreSolo si es equivalente en eficacia, la biometría deja de ser necesaria

Una vía presencial o una firma electrónica cualificada pueden bastar para rechazar libremente la biometría y, a la vez, no ofrecer eficacia equivalente frente a la suplantación.

Riesgo efectivo: no todos los usos biométricos pesan igual

La AEPD distingue entre identificación biométrica (comparar a una persona con una pluralidad de referencias para saber quién es) y verificación 1:1 (comprobar si coincide con la identidad que declara). La diferencia no excluye el artículo 9, pero importa para valorar la injerencia, los riesgos y las garantías exigibles. El otro extremo lo ilustran las advertencias de la AEPD a dos ayuntamientos por su videovigilancia con IA, en las que la documentación no permitía saber si habría comparaciones 1:1 o 1:N.

Según el resumen oficial, también pesan las bases biométricas persistentes, dónde se conservan las referencias, quién accede a ellas y cuánto duran. En el caso se valoraron el carácter puntual y 1:1, la ausencia de repositorio y la eliminación de las referencias tras el cotejo. Muchas verificaciones 1:1 no se convierten en 1:N, aunque la escala y la arquitectura cuentan.

Cómo encaja con la guía de 2023

Ni el resumen ni el informe citan la guía de 2023: la comparación es mía.

En noviembre de 2023 la AEPD publicó su «Guía sobre tratamientos de control de presencia mediante sistemas biométricos». En el ámbito laboral concluía que el consentimiento no levanta, con carácter general, la prohibición de tratar datos biométricos, por el desequilibrio entre empresa y trabajador (Directrices 5/2020 del Comité Europeo de Protección de Datos, CEPD). Y razonaba que, si hay alternativas que todos los trabajadores puedan elegir, el tratamiento biométrico deja de ser necesario (artículos 5.1.c y 35.7.b del RGPD).

El criterio nuevo separa la libertad del consentimiento del juicio de necesidad, y lo hace en un caso de clientes, no de trabajadores. Pero no hace dos cosas:

Para el control de acceso fuera del ámbito laboral (un gimnasio o una clínica, por ejemplo), la guía pedía un método alternativo sin consecuencias para quien no quisiera la biometría. Pedía también que no hubiera otra alternativa «que sirva para satisfacer la necesidad identificada» con menor riesgo. En sus conclusiones, decía que el consentimiento tampoco podría ser la vía, por ser un tratamiento de alto riesgo que debe superar el requisito de necesidad. En mi lectura, el criterio nuevo y esa conclusión no encajan del todo, y es previsible que la futura guía los ordene.

Ómnibus digital (Digital Omnibus) y Reglamento de IA

El informe menciona la propuesta de Ómnibus digital COM(2025) 837, todavía no aprobada, según la AEPD. La propuesta añadiría al artículo 9.2 del RGPD una excepción para la verificación biométrica de la identidad declarada cuando los datos, o los medios para verificar, queden bajo el control exclusivo de la persona. El CEPD y el Supervisor Europeo de Protección de Datos (Dictamen conjunto 2/2026) la acogen favorablemente, sin eximir de los juicios de necesidad y proporcionalidad.

Dos cautelas: no es Derecho vigente, y la AEPD dice que no puede afirmarse que el sistema consultado encaje en ella.

El informe no entra en el Reglamento de IA. Por mi parte: el Anexo III (punto 1, letra a) excluye de los sistemas de identificación biométrica remota de alto riesgo los destinados a una verificación cuya única finalidad sea confirmar que una persona es quien dice ser, pero esa exclusión no exime de cumplir el RGPD. Tienes la guía del Anexo III y la página de cumplimiento del Reglamento de IA.

A quién le importa

El caso nace en una entidad sujeta a la normativa antiblanqueo, y parte de su argumentación se apoya en la Ley 10/2010. En otros sectores el razonamiento sirve de guía, pero no se traslada sin más. Si estás sujeto a esa normativa, el informe deja abierto, sin resolverlo, que por sí misma habilite el tratamiento (artículo 9.2.g): examínalo caso por caso. Puede interesarte si:

Qué tienes que hacer en tu empresa

  1. Define por escrito la necesidad concreta: qué riesgo cubres, con qué fiabilidad y por qué.
  2. Compara las alternativas razonables, también las no tecnológicas, y documenta si cubren la necesidad con eficacia equivalente.
  3. Usa las métricas del proveedor sabiendo sus límites, y planifica piloto y monitorización.
  4. Si levantas la prohibición con el consentimiento explícito (art. 9.2.a), ofrece una alternativa no biométrica real y, en un proceso remoto, piensa en una vía remota además de la presencial, sin penalizar a quien la elija.
  5. Haz la evaluación de impacto (EIPD) antes de empezar. La lista de la AEPD del artículo 35.4 incluye los datos biométricos para identificar de manera única; con dos o más criterios, la EIPD es necesaria en la mayoría de los casos. Tienes la guía de EIPD y el caso AENA, de lo que cuesta hacerla mal.
  6. Firma un contrato del artículo 28 con el proveedor: instrucciones, subencargados, localización del tratamiento documentada y verificable, seguridad, supresión efectiva y ningún uso para fines propios. Debes poder verificar que las plantillas se destruyen.
  7. Justifica cada plazo de conservación. El informe no objeta separar la eliminación inmediata de las plantillas de la conservación de evidencias con finalidad jurídica propia.
  8. Valora si se aplica el artículo 22 (decisiones individuales automatizadas). Depende de los efectos reales: cambiar de canal no lo activa por sí solo si queda una vía efectiva.
  9. Revisa el expediente si cambian las premisas.

Qué hago yo por ti en este tema

Como DPO externo, preparo contigo la evaluación de impacto y el expediente de necesidad: la comparación de alternativas, la lectura crítica de las métricas del proveedor y el contrato del artículo 28. Si dudas de si necesitas un DPO, usa la herramienta o repasa cuándo es obligatorio.

Tienes también la página de protección de datos y la guía de RGPD para empresas. Si quieres que revise tu caso, reserva una videollamada de 30 minutos.

Qué viene después

La AEPD no ha dado fecha para su guía de biometría y el Ómnibus digital sigue en tramitación. Mientras tanto, conviene documentar con el estándar del criterio: necesidad concreta, eficacia comparada, alternativa real, riesgo efectivo y revisión periódica.

Preguntas frecuentes

¿Es ilegal usar datos biométricos en mi empresa?

No por sí mismo, pero el artículo 9.1 del RGPD prohíbe el tratamiento de datos biométricos dirigidos a identificar de manera unívoca a una persona, salvo que concurra una circunstancia del artículo 9.2, como el consentimiento explícito. Además, hay que superar los juicios de idoneidad, necesidad y proporcionalidad y, en la mayoría de los casos, hacer antes una evaluación de impacto. Para el control de presencia biométrico, la guía de 2023 considera la EIPD obligatoria «en cualquier caso».

¿Puedo usar el consentimiento para tratar datos biométricos de mis clientes?

Según el criterio de la AEPD, el consentimiento explícito puede legitimar el tratamiento si es realmente libre: la persona debe poder rechazar la biometría y acceder a una alternativa no biométrica real y efectiva, no idéntica pero sí practicable y sin cargas desproporcionadas. Además, hay que superar la necesidad y la proporcionalidad, y la AEPD lo valoró para un alta remota de clientes concreta, caso por caso.

¿Basta con que exista una alternativa menos intrusiva para que la biometría sea innecesaria?

No. Según la AEPD, la alternativa solo desplaza al tratamiento biométrico si satisface la misma necesidad con una eficacia equivalente.

¿Vale esto para el fichaje con huella de los trabajadores?

El criterio nuevo se refiere a clientes y no deja sin efecto la guía de 2023, que en el ámbito laboral descarta, con carácter general, el consentimiento por el desequilibrio de la relación. No es prudente deducir de él que el fichaje biométrico pase a ser válido.

¿Es vinculante este informe de la AEPD?

No. El propio informe dice que es una actividad meramente informativa, sin efectos vinculantes, y que no es un acto recurrible.

Fuentes

Herramientas gratuitas relacionadas

Sin registro y con fuentes oficiales. Comprueba tu caso en 2 minutos.

Generador de RAT · art. 30 RGPD →Genera tu registro de actividades de tratamiento pre-rellenado por actividad, editable e imprimible.Brecha de datos: ¿notificar a la AEPD? →Comprueba si debes notificar en 72 horas, comunicar a los afectados y qué documentar.Simulador de sanciones RGPD →Estima de forma orientativa tu exposición a multas del RGPD.