Siguiendo el Plan estratégico 2025-2030 de la Agencia Española de Protección de Datos (en adelante, AEPD o Agencia) en el que se prevé analizar tecnologías emergentes con alto impacto en los derechos de las personas para emitir recomendaciones tempranas y anticipar riesgos, la AEPD ha dado respuesta a una consulta sobre la utilización de un sistema de verificación facial uno a uno en el proceso de verificación remota de la identidad de los clientes de una empresa. Con ella, la Agencia introduce un cambio de enfoque en el análisis de los sistemas biométricos, especialmente en lo relativo a la necesidad, el consentimiento y el riesgo.
Desde el 2023, tras la publicación de la Guía Sobre Tratamientos De Control De Presencia Mediante Sistemas Biométricos, la AEPD defendía una postura más restrictiva y, por ende, descartaba cualquier sistema biométrico si, para la misma finalidad, había una alternativa menos intrusiva. En su momento desde PRODAT analizamos en este Blog el alcance de esta Guía en ¿ES POSIBLE EL FICHAJE LABORAL Y EL CONTROL DE ACCESOS A TRAVÉS DE SISTEMAS BIOMÉTRICOS? YA NO, conforme al criterio que la AEPD mantenía entonces.
Con la nueva respuesta del 3 de noviembre de 2026 de la AEPD, el criterio seguido hasta entonces cambia y la AEPD sostiene que, aunque exista una opción menos intrusiva, la biometría puede ser necesaria, teniendo en cuenta los siguientes matices:
- La existencia de una alternativa menos intrusiva no hace por sí sola innecesaria la biometría. Esto significa que esa alternativa debe tener la misma eficacia para la misma finalidad. Y, deberá ser el responsable del tratamiento quien, objetivamente, justifique por qué necesita ese nivel de seguridad a través del sistema biométrico y por qué otras opciones no le ofrecen los mismos resultados.
- El consentimiento explícito puede legitimar el tratamiento, siempre que exista una alternativa real y efectiva que permita elegir libremente y sin condicionantes. Sobre esto, la AEPD hace un matiz indicando que esa alternativa no tiene por qué igualar a la biométrica en rapidez, comodidad o tecnología. Al hilo, la Agencia recuerda que no todos los tratamientos biométricos presentan el mismo riesgo puesto que, no es lo mismo una verificación facial 1:1 para confirmar una identidad que un sistema de identificación masiva.
Con este nuevo criterio de la AEPD, la biometría no se descartará automáticamente o por defecto en el caso de existir otra opción menos intrusiva, sin embargo, esto no significa que cualquier sistema biométrico sea ahora válido.
Este cambio de la AEPD no surge de la nada, ya que, durante el 2026 el marco de referencia sobre la biometría ha ido protagonizando determinados cambios. Concretamente, el 30 de junio de 2026, la Audiencia Nacional anuló la aprobación y publicación de la Guía Sobre Tratamientos De Control De Presencia Mediante Sistemas Biométricos del año 2023 (Sentencia de la Audiencia Nacional núm. 367/2026, de 30 de junio —SAN 2870/2026, ECLI:ES:AN:2026:2870), a raíz del recurso de la Asociación Española de Empresas de Seguridad.
Meses más tarde, el 10 de septiembre de 2026, la AEPD hizo circular entre asociaciones empresariales y profesionales un borrador de guía de control de acceso biométrico, abierto a aportaciones hasta el 25 de septiembre. Ese borrador ya apuntaba a recuperar el consentimiento como base de legitimación y a diferenciar los tratamientos según su arquitectura. Ahora, el nuevo criterio es la primera aplicación a un caso real de las ideas que ya se reflejaban en el borrador indicado.
Ahora, con la consulta planteada por el Delegado de Protección de Datos de una entidad de crédito, sujeta a la Ley 10/2010 de prevención del blanqueo de capitales, la cual quería incorporar una verificación facial uno-a-uno (1:1) al alta remota de clientes, la AEPD ha analizado en detalle nuevamente la viabilidad de este sistema biométrico.
La entidad de crédito a través de una verificación facial 1:1 quería comparar la imagen del solicitante con la fotografía de su documento de identidad. Las características de este sistema fueron bastante determinantes en la respuesta de la Agencia:
- Las referencias biométricas se generaban de forma temporal y eran eliminadas tras el cotejo.
- No había búsqueda frente a una base de datos ni repositorio biométrico para usos posteriores.
- Los resultados positivos serían revisados por personal de backoffice y los negativos se derivaban a un procedimiento no biométrico.
- A través de este sistema biométrico sustituirían un procedimiento remoto anterior, basado en documentación, vídeo y comparación visual por personal especializado, en el que habían detectado intentos de fraude.
Con el análisis de este sistema, la AEPD sostuvo que este tratamiento concreto podría superar, ex ante, los juicios de idoneidad, necesidad y proporcionalidad, siempre que se mantuviesen las condiciones y garantías previamente analizadas.
Una medida menos intrusiva solo hace innecesaria la biometría si puede cubrir la misma necesidad con un nivel de eficacia equivalente. El análisis, por ende, ya no consiste en encontrar cualquier otra solución técnicamente posible, sino en comparar la capacidad real de cada medida frente a los riesgos concretos: suplantación de identidad, manipulación documental o alteración de imágenes.
En el caso analizado, la documentación aportada permitía demostrar que el procedimiento que anteriormente tenía la entidad no era igual de eficaz frente a esos riesgos. Por eso la Agencia dio por superado el juicio de necesidad realizado por la entidad, ya no solo por la seguridad del sistema de biometría, sino por la fiabilidad del mismo.
Este matiz lo encontramos también ya en un artículo de este mismo Blog, en el que, de entre las diversas entradas que se han publicado sobre sistemas biométricos, analizábamos la importancia de la Biometría y el límite del artículo 9 RGPD: cuando el antifraude no justifica todo, en el que ya la AEPD trajo a colación dos precisiones importantes que vemos también en la actual postura de la Agencia:
- El responsable tiene margen de actuación al conocer de detalle su actividad y riesgos. Pero ese margen no es discrecional puesto que hay que definir la necesidad, justificar el nivel de fiabilidad exigido, comparar alternativas y documentarlo.
- La evaluación puede hacerse antes del despliegue si hay evidencia objetiva suficiente como pruebas técnicas, ensayos, métricas, análisis de amenazas, entre otras. Y, tras esto, es necesario contrastarlo con el funcionamiento real y revisar si, con todo ello, no hay una alternativa equivalente menos intrusiva.
Sin embargo, es importante el nuevo criterio de la AEPD, ya que, ahora, en caso de haber una alternativa menos intrusiva que la biometría, como ya hemos mencionado con anterioridad,esta deberá atender a la misma finalidad con igual eficacia que el sistema biométrico que la entidad quiere adoptar.
Junto a esto, la AEPD sostiene que el carácter biométrico del tratamiento no excluye por sí mismo el consentimiento, de tal manera que, si concurren sus requisitos, puede ser la base jurídica del tratamiento (art. 6.1.a RGPD) pese a que los datos biométricos, como categoría especial de datos, en un principio están prohibidos (art. 9.2.a RGPD).
El consentimiento como vía de legitimación para el uso de sistemas biométricos también ha sido analizado en este Blog en ¿UTILIZAS EL ROSTRO COMO CONTRASEÑA?: PROBLEMAS JURÍDICOS DE LA BIOMETRÍA EN LOS SERVICIOS DIGITALES, en donde explicamos qué ocurría si no se cumplen los requisitos o exigencias legales. Un aspecto importante en el que se detiene la AEPD es este artículo 9 RGPD, el cual se aplica a todos los tratamientos biométricos, pero no obliga a valorarlos todos con la misma intensidad. La AEPD diferencia según la función, la arquitectura y el riesgo efectivo entre:
- Identificación uno-a-varios (1:N), por ejemplo, buscar a una persona dentro de una población o base de datos, en donde el riesgo es más alto.
- Verificación uno-a-uno (1:1) para, por ejemplo, comprobar que una persona es quien dice ser. En este caso, con un buen diseño desde el inicio y por defecto, el riesgo menor.
En este caso concreto, la entidad que planteó la consulta a la AEPD detalló en su informe que en el alta de clientes la identificación en sí podía apoyarse en la obligación legal de la Ley 10/2010 o en medidas precontractuales (art. 6.1.b RGPD), mientras que la operación biométrica como tal la apoyaba en el consentimiento explícito.
Ante esto, la clave está en que esa elección sea efectiva y real. Es decir, la persona debe poder rechazar la biometría sin perder el servicio ni sufrir consecuencias que condicionen su decisión. Y, para ello tiene que existir una alternativa no biométrica real y efectiva, aunque alternativa real no signifique alternativa idéntica:
- Puede usar otro canal u otra tecnología y ser algo más lenta o menos cómoda.
- No puede imponer costes adicionales injustificados, pérdida de condiciones o derechos, exclusiones ni retrasos desproporcionados.
- En un proceso pensado para hacerse a distancia, la atención presencial en oficina no es suficiente por sí sola. La AEPD exige además una vía remota no biométrica, como la firma electrónica cualificada, mecanismos asociados al DNI electrónico u otros medios eIDAS.
En este punto, el nuevo criterio de la AEPD distingue dos alternativas que no deben mezclarse, puesto que la alternativa que garantiza un consentimiento libre no es la misma que decide si la biometría es o no necesaria.
Cuando se analiza el consentimiento, lo que se pregunta es si la persona puede rechazar la biometría sin sufrir ningún perjuicio. Para ello basta con que exista una alternativa real y practicable, aunque no sea igual de rápida o cómoda. Si existe, el consentimiento puede considerarse libre.
El juicio de necesidad, en cambio, plantea la pregunta de si hay o no una medida menos intrusiva que cubra la misma necesidad con la misma eficacia, puesto que, en caso de existir, la biometría dejaría de ser necesaria. Por ejemplo, una oficina presencial o la firma electrónica cualificada pueden ser suficientes para que el cliente elija libremente, pero no tienen por qué garantizar que protegen de la suplantación de identidad igual que la verificación facial.
El nuevo criterio enlaza con el debate abierto en la Unión Europea sobre la propuesta de Digital Omnibus, COM(2025) 837, en el que se plantea añadir al artículo 9.2 RGPD una excepción para la verificación biométrica 1:1 cuando los datos o los medios de verificación queden bajo el control exclusivo del interesado (por ejemplo, en su propio dispositivo). El CEPD y el SEPD, en su Dictamen conjunto 2/2026, valoraron favorablemente esa excepción, pero subrayaron que incluso la verificación 1:1 debe superar los juicios de necesidad y proporcionalidad y contar con garantías. Ahora la AEPD comparte esa orientación, pero conviene ser prudentes puesto que esta propuesta NO está aprobada.
La AEPD aclara que su criterio y su futura guía se basan en el derecho vigente. Y que, en este caso concreto, el sistema consultado no encajaría en esa excepción, porque las plantillas no quedan bajo el control exclusivo del cliente.
Podemos interpretar esta respuesta de la AEPD como una “luz verde” a la biometría, pero ciertamente, no lo es. La AEPD advierte que:
- No es vinculante ni recurrible. Es una nota informativa, no una consulta previa del artículo 36 RGPD ni una autorización.
- No homologa la tecnología, el proveedor ni los parámetros técnicos, ni fija el nivel de fraude aceptable.
- Depende del caso concreto. La conclusión se apoya en un diseño determinado (1:1, puntual, sin repositorio, con borrado) y en la existencia de alternativas reales. Si algo cambia, hay que revisar la evaluación.
- Las decisiones automatizadas siguen contando. Si un resultado negativo produce efectos jurídicos o afecta significativamente a la persona, se aplican las garantías del artículo 22 RGPD, incluida la intervención humana.
En definitiva, este nuevo criterio abre una puerta, pero exige un mayor trabajo de justificación y, nuevamente, en cumplimiento del principio de responsabilidad proactiva, en donde adoptar las siguientes medidas será clave:
- Definir la necesidad con precisión: hay que identificar el riesgo concreto y el nivel de fiabilidad necesario.
- Comparar alternativas por eficacia, es decir, documentar que las opciones menos invasivas no alcanzan un nivel de eficacia equivalente al sistema biométrico que se pretende adoptar.
- Garantizar una elección real: si la base es el consentimiento expreso, previo e informado, habrá que ofrecer una alternativa no biométrica con las mismas garantías.
- Elegir una arquitectura de bajo riesgo. Para ello, atendiendo al nuevo criterio de la AEPD deberá priorizarse la verificación 1:1 sobre la identificación 1:N, evitar bases centralizadas y borrar las plantillas cuando ya no sean necesarias.
- Realizar y mantener viva la EIPD. Documentar métricas de eficacia, plazos de conservación y consecuencias de los resultados negativos. Y, en definitiva, llevar un seguimiento continuo para, en caso de cambios revisar y actualizar la evaluación si la realidad, en un momento dado, no confirma lo previsto.
- Formalizar con el proveedor el correspondiente contrato de encargoconforme al artículo 28 RGPD.
En este Blog hemos abordado la biometría en distintas ocasiones analizando el criterio de la AEPD en cada momento y, actualmente, con esta nueva postura de la AEPD puede verse una nuevo enfoque en el que la Agencia ha pasado de un criterio casi prohibitivo a uno basado en el riesgo efectivo en donde, por un lado, la biometría puede ser necesaria, aunque exista otra opción menos intrusiva, siempre que esa opción no sea igual de eficaz y, por otro lado, el consentimiento explícito vuelve a ser una base válida cuando la persona puede elegir de verdad y libremente.
Lo importante será mantener por parte del responsable del tratamiento una postura basada en la responsabilidad proactiva, para lo cual, deberá demostrar, con documentación y métricas, que implantar un sistema biométrico en su entidad es necesario, proporcionado y respetuoso con la libertad de elección.
