La Agencia Española de Protección de Datos (AEPD) ha emitido una resolución favorable que marca un precedente significativo en el uso de tecnologías biométricas para el control de accesos en instalaciones críticas de seguridad. La consulta previa, publicada el 18 de julio de 2025, representa la primera autorización explícita para el despliegue de sistemas de autenticación biométrica en dependencias de las Fuerzas y Cuerpos de Seguridad del Estado.
Marco normativo y bases legales
La decisión de la AEPD se fundamenta en un robusto entramado jurídico que incluye la Ley Orgánica 2/1986 de Fuerzas y Cuerpos de Seguridad, específicamente en su artículo 11.1.c, que establece la competencia para «vigilar y proteger los edificios e instalaciones públicos que lo requieran». Esta disposición se complementa con la Ley Orgánica 7/2021 para tratamientos con fines de prevención, detección e investigación de infracciones penales.
El análisis jurídico revela una particularidad importante: aunque inicialmente se consideró la aplicación de la Ley 8/2011 de medidas para la protección de infraestructuras críticas, la AEPD clarifica que esta normativa exceptúa expresamente las infraestructuras dependientes de las Fuerzas y Cuerpos de Seguridad, que se rigen por su propia normativa específica6.
Características técnicas del sistema autorizado
La resolución destaca las garantías técnicas innovadoras implementadas en el sistema biométrico de la Guardia Civil. Entre las características más relevantes se encuentran:
- Generación local de identificadores biométricos sin creación de bases de datos centralizadas,
- Control exclusivo del usuario sobre sus datos biométricos, manteniendo la plantilla bajo su custodia,
- Imposibilidad de reversión de los identificadores para recrear los datos originales,
- Validez temporal limitada a los períodos específicamente autorizados,
- Ausencia de interoperabilidad con otros sistemas externos,
Estas medidas técnicas representan una evolución significativa hacia esquemas de autenticación biométrica más seguros y menos intrusivos, configurándose como buenas prácticas en el diseño de sistemas de control de accesos.
Distinción crucial: autenticación versus identificación
La AEPD establece una diferenciación fundamental entre los conceptos de autenticación biométrica (1:1) e identificación biométrica (1:N). Esta distinción, basada en las Directrices 5/2022 del Comité Europeo de Protección de Datos, resulta determinante para evaluar el impacto sobre los derechos fundamentales:
El sistema autorizado para la Guardia Civil opera bajo el modelo de autenticación (1:1), lo que reduce significativamente los riesgos asociados al tratamiento de datos biométricos.
Evaluación de proporcionalidad y necesidad.
La AEPD aplica rigurosamente la prueba de proporcionalidad establecida por el Tribunal Constitucional y el Tribunal de Justicia de la Unión Europea. El análisis confirma que el sistema cumple los tres requisitos esenciales:
- Necesidad: la protección de instalaciones que pueden albergar información clasificada según la Ley 9/1968 sobre secretos oficiales justifica medidas de seguridad reforzadas.
- Idoneidad: la tecnología biométrica permite verificar con mayor fiabilidad la identidad de las personas que acceden, evitando suplantaciones y accesos no autorizados.
- Proporcionalidad estricta: las garantías técnicas implementadas minimizan el impacto sobre los derechos fundamentales, no existiendo alternativas igualmente eficaces y menos intrusivas.
Implicaciones para el ámbito laboral
Esta resolución adquiere especial relevancia para el sector empresarial, donde tradicionalmente la AEPD había mostrado una posición restrictiva hacia los sistemas biométricos de control horario. La Guía sobre Tratamientos de Control de Presencia mediante Sistemas Biométricos de noviembre de 2023 establecía que, en la normativa española, no existía autorización suficiente para el tratamiento de datos biométricos con finalidad de control horario laboral.
Sin embargo, la nueva doctrina introduce matices importantes. La AEPD reconoce que no todos los tratamientos biométricos tienen la misma intensidad de impacto, distinguiendo entre contextos de uso y medidas técnicas implementadas. Esta evolución doctrinal abre nuevas posibilidades para el uso empresarial de tecnologías biométricas, siempre que se cumplan estrictos requisitos de proporcionalidad y se implementen garantías adecuadas.
Requisitos procedimentales: EIPD y consulta previa
La resolución subraya la importancia de dos instrumentos procedimentales fundamentales:
- Evaluación de Impacto en la Protección de Datos (EIPD).
El artículo 35 del RGPD establece la obligatoriedad de realizar una EIPD cuando el tratamiento pueda entrañar un alto riesgo para los derechos y libertades. En el caso de los datos biométricos, esta evaluación resulta especialmente crítica.
- Consulta previa (artículo 36 RGPD).
Cuando la EIPD muestra que el tratamiento entrañaría un alto riesgo sin medidas de mitigación, el responsable debe realizar una consulta previa a la autoridad de control. La AEPD dispone de ocho semanas para emitir su dictamen, plazo que puede ampliarse seis semanas adicionales en casos de especial complejidad.
Recomendaciones regulatorias futuras
La AEPD aprovecha esta resolución para formular importantes recomendaciones legislativas. El organismo considera que «sería más que adecuada una acción del legislador para dotar de toda la cobertura legal» con la densidad normativa exigible según la doctrina del Tribunal Constitucional.
Entre las garantías que podría incorporar una futura regulación específica se incluyen:
- Prohibición del almacenamiento centralizado de identificadores biométricos.
- Exigencia de generación y tratamiento locales en sistemas aislados.
- Revocabilidad y fecha de caducidad de los identificadores.
- Información clara sobre alternativas disponibles y procedimientos de destrucción.
- Auditorías periódicas y cumplimiento del nivel alto del Esquema Nacional de Seguridad.
Perspectiva europea e internacional
La decisión española se alinea con las tendencias regulatorias europeas. El Reglamento (UE) 2024/1684 sobre inteligencia artificial mantiene la distinción operativa entre identificación biométrica remota (considerada de alto riesgo) y verificación biométrica (1:1), que queda excluida cuando su única finalidad es confirmar la identidad declarada.
Esta aproximación gradual refleja el reconocimiento de que no todos los usos biométricos presentan el mismo nivel de riesgo, permitiendo aplicaciones proporcionadas y controladas en contextos específicos de alta seguridad.
Conclusiones y proyección futura
La resolución de la AEPD representa un punto de inflexión en la doctrina española sobre datos biométricos. Por primera vez, se autoriza expresamente un sistema de autenticación biométrica en el ámbito de la seguridad pública, estableciendo un precedente que equilibra la necesidad legítima de protección de infraestructuras críticas con las garantías fundamentales de protección de datos.
El caso marca además una evolución hacia criterios más granulares en la evaluación de tecnologías biométricas, abandonando aproximaciones maximalistas para adoptar análisis contextualizados que consideran las características técnicas específicas, las medidas de protección implementadas y la finalidad perseguida.
Esta nueva doctrina, si bien específica para el ámbito de la seguridad pública, puede tener implicaciones significativas para otros sectores, especialmente aquellos que manejan información sensible o requieren altos niveles de seguridad. La clave residirá en demostrar la necesidad objetiva, implementar garantías técnicas robustas y superar exitosamente la prueba de proporcionalidad que ahora cuenta con parámetros más claros y definidos.
La biometría ha encontrado así su primer espacio regulatorio específico en España, marcando el inicio de lo que promete ser una regulación más madura y equilibrada de estas tecnologías emergentes.
