Datos Biométricos

200.000 euros a la Universidad Europea de Valencia por el reconocimiento facial en exámenes online. 10.043.002 euros a Aena por el reconocimiento facial en aeropuertos. No son casos hipotéticos: son resoluciones de la Agencia Española de Protección de Datos que ponen fin a la vía administrativa, abribles por su número de expediente, y los datos biométricos son —junto con los de salud— datos de categoría especial (art. 9 RGPD) cuyo tratamiento indebido se sitúa en el tramo sancionador más alto del Reglamento.

Y hay algo que las dos comparten y que casi nunca se cuenta: lo que dispara el importe no es la biometría, sino los defectos en la evaluación de impacto. En Aena, el art. 35 del RGPD es la única infracción declarada —la Agencia apreció que las evaluaciones presentadas no eran conformes, no que faltaran—. En la universidad, el art. 35 explica 150.000 de los 200.000 euros.

Definición técnica y legal

Datos biométricos son datos personales obtenidos de un tratamiento técnico específico relativos a las características físicas, fisiológicas o conductuales de una persona física que permiten o confirman su identificación única. Esta definición procede del artículo 4.14 del RGPD y es la base sobre la que se construye todo el régimen de protección reforzada.

Diferencia clave: identificación vs verificación

No todo dato biométrico recibe la misma protección. La AEPD y el Comité Europeo de Protección de Datos (CEPD) distinguen:

Importante: las Directrices 05/2022 del CEPD (versión final de 17 de mayo de 2023), aunque referidas al ámbito policial (Directiva 2016/680), consolidaron que tanto la identificación como la verificación constituyen tratamiento de categoría especial cuando se utilizan con fines de identificación unívoca. Esto cerró un debate interpretativo que algunas empresas utilizaban para eludir el artículo 9.

Tipos de datos biométricos

Biometría fisiológica (características físicas)

Las tasas de error (FAR/FRR) varían mucho según el algoritmo, el dispositivo, el umbral y las condiciones de captura, y no admiten una cifra única por modalidad; para reconocimiento facial, el NIST FRTE publica resultados por algoritmo, actualizados de forma continua.

Biometría conductual (comportamiento)

Marco legal en España

Normativa aplicable

1. RGPD (Reglamento UE 2016/679):

• Art. 4.14: Define datos biométricos
• Art. 9.1: Prohíbe su tratamiento como regla general
• Art. 9.2: Establece excepciones tasadas (consentimiento explícito, obligación laboral, interés público, etc.)
• Art. 35: obliga a realizar una DPIA (Evaluación de Impacto) cuando el tratamiento entraña alto riesgo; la guía AEPD considera que el control de presencia biométrico lo es, y exige EIPD previa
• Art. 25: Principio de protección de datos desde el diseño y por defecto

2. LOPDGDD (Ley Orgánica 3/2018):

• Art. 9.1: el solo consentimiento del afectado no basta para levantar la prohibición del art. 9 RGPD en los tratamientos cuya finalidad principal sea identificar determinadas características protegidas
• Art. 9.2: los tratamientos fundados en el Derecho español al amparo de las letras g), h) e i) del art. 9.2 RGPD «deberán estar amparados en una norma con rango de ley». Es este apartado el que exige una ley — la disposición adicional primera trata de otra cosa (medidas de seguridad en el sector público)

3. AI Act (Reglamento UE 2024/1689):

• Art. 5.1.h): prohíbe la identificación biométrica remota en tiempo real en espacios de acceso público con fines policiales, con excepciones tasadas. (El art. 5.1.d) es otra prohibición distinta: la evaluación del riesgo de delinquir basada en perfilado.)
• Prohíbe también los sistemas destinados a inferir emociones en el ámbito laboral y educativo, salvo por motivos médicos o de seguridad (art. 5.1.f)
• Clasifica los sistemas de identificación biométrica remota como alto riesgo (Anexo III)

4. Criterios AEPD (2023-2025):

• Guía sobre tratamientos de control de presencia mediante sistemas biométricos (noviembre 2023, marcada en revisión)
• Criterio de esa guía: para el control de presencia laboral, la AEPD considera que el interés legítimo (art. 6.1.f) no sirve como base y que el consentimiento no levanta con carácter general la prohibición por el desequilibrio entre empresa y trabajador; la vía del art. 9.2.b exige una norma con rango de ley o convenio colectivo con garantías

Excepciones al tratamiento (Art. 9.2 RGPD)

Casos reales de sanciones AEPD

Caso Universidad Europea de Valencia — 200.000 € (PS/00447/2025)

Hechos: una universidad privada online exigió a los alumnos un software de supervisión de exámenes con reconocimiento facial, supeditando la ejecución del contrato de formación a aceptarlo. La resolución anonimiza la herramienta como «SISTEMA.1» y no identifica al proveedor, que no fue parte del procedimiento.

Infracciones: dos, y solo dos — tratamiento de categorías especiales sin excepción del art. 9 RGPD, y evaluación de impacto (art. 35). La universidad presentó una EIPD, pero sin firma del responsable y con fecha posterior a la puesta en marcha, así que la AEPD concluyó que inició el tratamiento «prescindiendo por completo» de ella.

Sanción: 50.000 € por el art. 9 y 150.000 € por el art. 35 —200.000 € en total—, de los que la universidad pagó 160.000 € acogiéndose a la reducción del 20 % por pago voluntario.

Caso Aena — 10.043.002 € (PS/00431/2024, EXP202304532)

Hechos: Aena implantó un sistema de identificación por reconocimiento facial para controlar el acceso de pasajeros a determinadas zonas de sus aeropuertos.

Infracción: una sola, el art. 35 del RGPD, tipificada en el art. 83.4.a). La resolución no sanciona la falta de base jurídica para el tratamiento biométrico: sanciona que la evaluación de impacto no cumplía las exigencias del art. 35. La resolución constata que existían evaluaciones —la primera fechada el 23 de junio de 2021—, pero concluye que no satisfacían los requisitos de necesidad, proporcionalidad, análisis de riesgos y actualización.

Sanción: 10.043.002,00 € —«diez millones cuarenta y tres mil dos euros», literalmente—, sin reducción por pago voluntario. Y algo que suele omitirse al citar el caso: la resolución confirma la suspensión temporal de todo tratamiento biométrico hasta que Aena disponga de una evaluación de impacto conforme a los términos del art. 35.

Riesgos específicos de los datos biométricos

Irrevocabilidad: el problema fundamental

A diferencia de una contraseña o un PIN, la característica física de la que deriva un dato biométrico no se puede cambiar: si tu huella se filtra en una brecha, no puedes «cambiar de dedo». Esa persistencia es lo que justifica la protección reforzada del RGPD y lo que hace especialmente grave una brecha biométrica. Conviene, eso sí, distinguir la característica corporal (permanente) de la plantilla y del vínculo de identidad, que una implementación adecuada sí debe poder revocar o reemitir.

Robo de identidad biométrica

Las plantillas biométricas almacenadas en bases de datos pueden ser extraídas y utilizadas para:

• Falsificación de huellas: a partir de una huella capturada —por ejemplo, fotografiada de una superficie— pueden fabricarse réplicas que engañan a algunos sensores. El Chaos Computer Club lo demostró contra el TouchID de Apple partiendo de una huella fotografiada en un cristal y reproducida con látex o cola blanca
• Ataques de presentación: Fotografías o máscaras 3D para engañar sistemas de reconocimiento facial sin detección de vivacidad (liveness detection)
• Deepfakes biométricos: Generación de rostros sintéticos que replican las características biométricas de la víctima para superar verificaciones 1:1
• Replay attacks: Interceptación y reutilización de la plantilla biométrica en el canal de comunicación entre sensor y servidor

Brechas y recolecciones masivas de datos biométricos

Auditoría forense de sistemas biométricos

Cuándo se necesita un perito informático

Qué analiza el perito

Caso práctico: empresa con fichaje biométrico sin DPIA

Supuesto ilustrativo compuesto. La empresa, las cifras, la cronología, los hallazgos y el desenlace son ficticios y se utilizan únicamente para explicar los controles habituales; no reproducen un expediente concreto de la AEPD.

Empresa: Cadena de restauración rápida, 45 locales, 620 empleados.

Situación: La empresa instala lectores de huella dactilar para control de jornada laboral en cumplimiento del Real Decreto-ley 8/2019. Ningún empleado firma consentimiento específico para el tratamiento biométrico; la empresa considera que el registro de jornada es obligación legal suficiente.

Timeline del problema:

Enero 2025:
  - Instalación de 45 lectores de huella dactilar
  - Comunicación genérica a empleados: "se instala sistema de fichaje"
  - Sin DPIA, sin consulta al DPO, sin análisis de alternativas

Marzo 2025:
  - Empleado presenta reclamación ante la AEPD
  - Alega: tratamiento biométrico sin consentimiento explícito

Mayo 2025:
  - AEPD abre actuaciones previas de investigación
  - Requiere a la empresa: base legal, DPIA, información a empleados

Junio 2025:
  - Empresa contrata perito informático forense para auditoría técnica
  - Se detectan deficiencias críticas en el sistema

Hallazgos de la auditoría forense:

Resolución: no se atribuye aquí una cuantía a la AEPD, porque el supuesto es ficticio. Lo que sí es real y conviene retener del régimen sancionador: el reconocimiento de responsabilidad y el pago voluntario permiten reducir cada uno al menos un 20 % —acumulables, art. 85.3 de la Ley 39/2015, en los términos que fije el acuerdo de iniciación— y la sustitución del sistema por una alternativa menos invasiva pesa como medida correctora. En un supuesto así, la auditoría técnica sirve para cuantificar las deficiencias y fundamentar las medidas correctoras.

Recomendaciones para cumplimiento

Para empresas que quieren implementar biometría

1. Realizar la DPIA cuando el tratamiento entrañe alto riesgo —lo habitual en biometría—, antes de la implementación (más sobre DPIA)
2. Evaluar alternativas menos intrusivas (tarjeta, PIN, app móvil)
3. Base legal sólida: consentimiento libre y explícito con alternativa real
4. Almacenar plantillas protegidas, no datos crudos: transformaciones o cifrado que dificulten reconstruir el original
5. Cifrado en reposo y en tránsito, adecuado al riesgo y al estado de la técnica
6. Política de retención: borrado automático al cesar la relación
7. Detección de vivacidad (liveness): resistencia a ataques de presentación, según el riesgo del caso
8. Auditoría periódica: revisión del sistema y actualización de la DPIA con la periodicidad que exija el riesgo

Para empleados o afectados

1. Derecho a alternativa: Puedes exigir método de fichaje no biométrico
2. Derecho de acceso: Solicitar qué datos biométricos tuyos almacenan
3. Derecho de supresión: Pedir borrado al finalizar la relación laboral
4. Reclamación AEPD: Si no hay consentimiento libre o alternativa, puedes reclamar

FAQ

P: ¿Desbloquear el móvil con huella o Face ID es tratamiento de datos biométricos bajo el RGPD? R: En general, no aplica el RGPD porque el tratamiento es puramente local (la plantilla biométrica se almacena en un chip seguro del dispositivo y nunca sale de él). No hay “responsable de tratamiento” externo. Sin embargo, si una app envía datos biométricos a un servidor para autenticación remota, sí aplica el RGPD.

P: ¿Puede una empresa obligar a sus empleados a fichar con huella dactilar? R: Tras el cambio de criterio de la AEPD (noviembre 2023), no. El consentimiento en el ámbito laboral rara vez es libre (hay desequilibrio de poder), y no existe una ley española que establezca el control biométrico de jornada como obligatorio. La empresa debe ofrecer alternativa no biométrica equivalente (tarjeta, PIN, app).

P: ¿Qué diferencia hay entre datos biométricos y datos genéticos? R: Ambos son categoría especial (art. 9 RGPD), pero tienen naturaleza distinta. Los datos biométricos se obtienen de características físicas externas (huella, rostro) y sirven para identificación. Los datos genéticos se obtienen de muestras biológicas (ADN) y revelan información sobre salud, herencia y parentesco, con implicaciones aún más sensibles.

Conceptos relacionados

• Reconocimiento facial - Tecnología biométrica de identificación facial
• DPIA (Evaluación de Impacto) - Evaluación exigible cuando el tratamiento biométrico entraña alto riesgo
• AEPD Compliance - Cumplimiento normativo ante la autoridad de protección de datos
• Deepfake y detección - Amenaza de suplantación biométrica mediante IA
• Face swap - Técnica que compromete sistemas de reconocimiento facial

Referencias y fuentes

1. RGPD (Reglamento UE 2016/679): Artículos 4.14, 9, 25 y 35. eur-lex.europa.eu
2. AEPD (2023). Guía sobre tratamientos de control de presencia mediante sistemas biométricos. aepd.es
3. AEPD — Resolución PS/00447/2025 (EXP202405320): 200.000 euros por proctoring biométrico (2026). aepd.es
4. AEPD — Resolución del procedimiento sancionador PS/00431/2024, expediente EXP202304532 (Aena). 10.043.002 euros por reconocimiento facial aeroportuario
5. CEPD — Directrices 05/2022 sobre el uso de reconocimiento facial en el ámbito de las fuerzas del orden (versión final, 17 may 2023). Ámbito policial (Directiva 2016/680).
6. AI Act (Reglamento UE 2024/1689): artículo 5.1.h y Anexo III (sistemas biométricos de alto riesgo). eur-lex.europa.eu
7. LOPDGDD (Ley Orgánica 3/2018): artículo 9.1 y 9.2. boe.es
8. vpnMentor (2019). Report: Data Breach in Biometric Security Platform Affecting Millions of Users — 27,8 millones de registros totales; más de 1 millón, de huellas.
9. NIST — Face Recognition Technology Evaluation (FRTE) 1:1 Verification — evaluación continua; los resultados se consultan por algoritmo y fecha.
10. Real Decreto-ley 8/2019: Obligación de registro de jornada laboral (art. 34.9 ET). boe.es

¿Tu empresa utiliza sistemas biométricos y necesitas verificar su cumplimiento RGPD? Contacta con Digital Perito para una auditoría forense de tu sistema biométrico y evaluación de riesgos regulatorios.

Última actualización: 7 de septiembre de 2026 Categoría: Legal Código: LEG-015