En resumen
- El 3 de noviembre de 2026 la AEPD publicó una respuesta a una consulta sobre verificación facial 1:1 de clientes, de alto nivel estratégico.
- Una alternativa menos intrusiva solo excluye la biometría si ofrece una eficacia equivalente frente al riesgo concreto.
- El consentimiento explícito puede ser base válida si existe una alternativa no biométrica real, que es una cuestión distinta del juicio de necesidad.
La Agencia Española de Protección de Datos (AEPD) ha matizado su criterio sobre biometría: que exista una alternativa menos intrusiva no hace innecesario, por sí solo, el tratamiento biométrico. Lo explica en una respuesta publicada el 3 de noviembre de 2026, relevante para las empresas españolas que usan o piensan usar estos sistemas.
El caso y el nuevo enfoque sobre la necesidad
La consulta la planteó una empresa que quería verificar de forma remota la identidad de sus clientes mediante reconocimiento facial uno a uno. Hasta entonces usaba un procedimiento no biométrico, con documentación, vídeo y comparación visual por personal especializado. La AEPD considera que, con la documentación aportada, el tratamiento proyectado puede superar ex ante los juicios de idoneidad, necesidad y proporcionalidad.
La clave está en la necesidad: la alternativa menos intrusiva solo desplaza a la biometría si logra satisfacer la misma necesidad con una eficacia equivalente, por ejemplo frente a la suplantación o la manipulación de documentos. La normativa, dice la Agencia, no obliga a mantener una tecnología solo por ser menos intrusiva.
Este enfoque se aparta de la lectura más restrictiva de la guía sobre control de presencia laboral publicada en noviembre de 2023, según la cual la existencia de una opción de menor riesgo hacía innecesaria la biometría.
Consentimiento explícito y libertad de elección
La AEPD recuerda que el consentimiento explícito (artículos 6.1.a y 9.2.a del RGPD) puede legitimar el tratamiento biométrico cuando la persona puede rechazarlo sin perder el servicio. Para ello debe existir una alternativa no biométrica real y efectiva, pero no idéntica: puede variar en canal, rapidez o comodidad. En el caso se citan la atención presencial y mecanismos de identidad electrónica como la firma electrónica cualificada o determinados sistemas asociados al DNI electrónico.
La Agencia separa dos preguntas. Para el consentimiento: ¿hay una elección real? Para la necesidad: ¿hay una medida menos intrusiva y de eficacia equivalente? Solo la segunda puede hacer innecesaria la biometría.
Límites y contexto europeo
La AEPD advierte de que no es una autorización general ni una certificación de tecnología. El responsable conserva un margen de apreciación, pero debe definir la necesidad, justificar el nivel de fiabilidad exigido, comparar alternativas y documentarlo conforme a la responsabilidad proactiva. Si la mejora prevista no se produce o aparecen alternativas equivalentes, tendrá que revisar su decisión. También pesa el riesgo efectivo: no es igual una verificación puntual 1:1, sin repositorio biométrico y con eliminación de las referencias, que una identificación 1:N o una base persistente.
La Agencia enlaza este criterio con la propuesta de Digital Omnibus, que introduciría una excepción en el artículo 9 del RGPD para ciertas verificaciones en las que los datos o los medios queden bajo control exclusivo de la persona. Es una propuesta todavía no aprobada, y la respuesta se basa en el Derecho vigente. La AEPD anticipa además la futura guía de biometría.
La mirada de CEA Digital Law
Desde el Comité Euro Americano de Derecho Digital - CEA Digital Law valoramos que se distinga entre libertad del consentimiento y necesidad, porque ordena un debate que a menudo se mezclaba. Para fichaje y control de acceso, la lectura prudente es que este criterio no abre la puerta a todos los usos: la respuesta se refiere a clientes, no a relaciones laborales, donde la desigualdad entre las partes sigue exigiendo especial cautela. Recomendamos a las empresas documentar el riesgo concreto, medir la eficacia de las alternativas y revisar la evaluación de forma periódica.
Para América Latina y el Caribe, donde varias autoridades estudian la verificación biométrica en banca y servicios públicos, el enfoque basado en función, arquitectura y riesgo efectivo es una referencia útil. Queda abierta la coherencia con otras autoridades europeas y el alcance final de la guía y del Digital Omnibus.
Fuentes
- AEPD: Análisis sobre la necesidad, libertad de elección y riesgo efectivo en el tratamiento de datos biométricos
- Cuatrecasas: Novedades sobre el uso de datos biométricos para el control de acceso
- Confilegal
CEA Digital Law
Boletín
Eventos, noticias y análisis sobre derecho digital, en tu correo. Solo cuando hay algo que contar.
