La Audiencia Nacional, Sala de lo Contencioso, Sección Primera, en la Sentencia nº 367/2026, de 30 de junio de 2026, ha anulado la Guía sobre tratamientos de control de presencia mediante sistemas biométricos, publicada por la AEPD en noviembre de 2023.
Aunque la sentencia no es firme, la Sala establece un criterio difícilmente discutible: «La necesidad de atender no a cómo se nombran las cosas, sino a lo que son».
La frase que condena a la guía dice: «En el presente documento se van a determinar los criterios para el tratamiento de control de presencia mediante sistemas biométricos de acuerdo con el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos, en adelante RGPD)». A juicio de la Sala, esto se corrobora «con las actuaciones posteriores de la AEPD que, de forma recurrente, motiva sus resoluciones remitiéndose a los criterios interpretativos contenidos en dicha guía».
Las “guías” se equiparan a instrucciones u órdenes de servicio que solo despliegan efectos internos, obligando a los órganos y unidades administrativas, pero no a los ciudadanos.
La Audiencia Nacional se ampara en la jurisprudencia –compilada, entre otras, en la STS de 24 de marzo de 2026 (rec. 2156/2023)–, según la cual: «Lo relevante no es tanto el nomen iuris, sino el contenido de la disposición en cuestión. Esto es, si una circular o instrucción interna no se limita a ordenar y regular la actuación de los propios funcionarios o agentes de la Administración, sino que incluye previsiones que pretenden ser de obligado cumplimiento para terceros, o lo que es igual, si pretende tener eficacia ad extra, es evidente que en esa medida no es propiamente una circular interna, sino una norma de naturaleza reglamentaria. En consecuencia, será nula –al menos, en cuanto a esas previsiones de eficacia ad extra– por no haber sido elaborada de conformidad con el procedimiento legalmente establecido o, en su caso, carecerá de validez y eficacia ad extra».
Conclusión
Si la sentencia alcanza firmeza, la AEPD habrá de elaborar una «circular» en los términos del artículo 55 de la LOPDGDD y del artículo 6 del Real Decreto 389/2021, por el que se aprueba el Estatuto de la AEPD.
