LOYRA considera que la sentencia sobre biometría devuelve seguridad jurídica a los operadores de Juego

La reciente sentencia de la Audiencia Nacional que anula la Guía de la Agencia Española de Protección de Datos (AEPD) sobre el tratamiento de datos biométricos supone un cambio relevante para el Sector, especialmente para los operadores que habían paralizado o modificado proyectos de identificación mediante reconocimiento facial o huella dactilar tras la publicación de ese documento en 2023.

Desde LOYRA Abogados explican con detalle el alcance de la Sentencia 367/2026, de 30 de junio, que estima íntegramente el recurso presentado por la Asociación Española de Empresas de Seguridad (AES) y deja sin efecto la Guía. No obstante, recuerda que el fallo aún no es firme, ya que puede ser recurrido en casación ante el Tribunal Supremo.

El aspecto más relevante de la resolución, según destaca el despacho, no es un cambio de criterio sobre la utilización de la biometría, sino la forma en la que la AEPD aprobó la Guía. La Audiencia Nacional entiende que, pese a presentarse como un documento meramente orientativo, en la práctica fijaba criterios con vocación de aplicación general y que la propia Agencia utilizaba como referencia en sus actuaciones. Por ello, concluye que el documento actuaba materialmente como una circular y debería haberse elaborado siguiendo el procedimiento legal previsto para este tipo de disposiciones, con la participación de los sectores afectados y los informes preceptivos.

Desde Loyra subrayan, sin embargo, que la sentencia no cuestiona el fondo de la regulación sobre los datos biométricos. El Reglamento General de Protección de Datos (RGPD) y la Ley Orgánica de Protección de Datos continúan plenamente vigentes, al igual que las exigencias relativas al tratamiento de datos especialmente protegidos, la necesidad de una base jurídica adecuada, la minimización de datos o la realización de una evaluación de impacto cuando resulte necesaria. En otras palabras, lo que desaparece es la Guía como instrumento interpretativo, no el marco legal aplicable.

El análisis pone el foco en las consecuencias que tuvo aquella interpretación para el Juego presencial. Aunque la Guía estaba dirigida principalmente al control horario en el ámbito laboral, la AEPD extendió parte de sus conclusiones al control de acceso en otros ámbitos, incluido el de casinos, bingos y salones de Juego. Según Loyra Abogados, esa extrapolación generó una importante incertidumbre jurídica y llevó a numerosos operadores a detener proyectos de identificación biométrica. Incluso varias comunidades autónomas modificaron posteriormente sus leyes del Juego para reconocer expresamente el uso de estos sistemas por razones de interés público esencial y dotarlos de una cobertura legal específica.

Para el Despacho, el origen del problema estuvo en trasladar al acceso de clientes a establecimientos de Juego un razonamiento diseñado para las relaciones entre empresas y trabajadores, donde existe un evidente desequilibrio entre las partes. El despacho sostiene que esa analogía carecía de un respaldo suficiente en la normativa y recuerda que ni el RGPD ni la legislación española excluyen de forma general el consentimiento como base legitimadora para este tipo de controles de acceso. Añade además que la propia práctica sancionadora de la AEPD en otros sectores ya había puesto el acento en la forma de informar al usuario y no tanto en la utilización del consentimiento como base jurídica.

A juicio de Loyra, este pronunciamiento también deja una enseñanza más amplia para un sector sometido a una intensa regulación como el del Juego. El despacho recuerda que documentos como guías, preguntas frecuentes o consultas de las autoridades administrativas tienen carácter informativo y no constituyen normas jurídicas vinculantes. En este sentido, considera que la sentencia refuerza la idea de que la seguridad jurídica de los operadores debe apoyarse en la legislación y en la jurisprudencia, y no únicamente en interpretaciones administrativas que pueden acabar siendo anuladas por los tribunales.

Desde una perspectiva práctica, el despacho recomienda a los operadores mantener el análisis individualizado de cada proyecto mediante evaluaciones de impacto, seguir aplicando los principios de necesidad y proporcionalidad y revisar aquellos desarrollos tecnológicos que fueron descartados exclusivamente por la interpretación contenida en la Guía ahora anulada. Asimismo, recuerda que continúan siendo válidas las distintas bases de legitimación previstas en el artículo 9.2 del RGPD, tanto el consentimiento explícito —siempre acompañado de una alternativa real de acceso— como las habilitaciones legales incorporadas por diversas comunidades autónomas.

Asimismo, también aconsejan reforzar la información facilitada a los usuarios sobre el tratamiento de sus datos biométricos, aplicar criterios estrictos de conservación de la información y permanecer atentos a la respuesta que pueda dar la AEPD tras esta sentencia, ya sea mediante una nueva guía, una circular o el eventual pronunciamiento del Tribunal Supremo si finalmente se presenta un recurso de casación.

VER LOYRA