La AEPD fija criterios sobre biometría facial: la alternativa menos intrusiva solo excluye la biometría si ofrece eficacia equivalente
La AEPD responde una consulta estratégica sobre biometría facial: cuándo supera el juicio de necesidad y cómo articular el consentimiento explícito.
La Agencia Española de Protección de Datos (AEPD) ha publicado el 3 de noviembre un análisis sobre la necesidad, la libertad de elección y el riesgo efectivo en el tratamiento de datos biométricos, en respuesta a la consulta de una empresa sobre el uso de un sistema de verificación facial uno-a-uno para verificar de forma remota la identidad de sus clientes. La respuesta, que la Agencia considera de alto nivel estratégico conforme a su Plan Estratégico 2025-2030, anticipa criterios que se desarrollarán en su futura guía sobre tratamientos biométricos y es coherente, según señala, con la evolución europea, incluida la propuesta de Digital Omnibus.
El pronunciamiento es relevante para cualquier organización —despachos incluidos— que evalúe incorporar biometría a sus procesos de verificación de identidad, porque fija con precisión cómo se enjuicia la necesidad del tratamiento y cuándo el consentimiento puede servir de base jurídica.
Una alternativa menos intrusiva no basta por sí sola
El primer criterio ataca un lugar común: la idea de que si existe cualquier alternativa menos intrusiva, la biometría queda automáticamente descartada. La AEPD matiza: «una alternativa menos intrusiva no hace innecesaria por sí sola la biometría, siendo potencialmente posible su utilización cuando permite satisfacer la misma necesidad con un nivel de eficacia equivalente o superior».
El juicio de necesidad no consiste, explica la Agencia, en localizar cualquier otra solución técnicamente posible, sino en comparar la capacidad real de las distintas medidas para responder a la necesidad concreta que justifica el tratamiento. Dos procedimientos pueden servir para verificar la identidad y presentar, sin embargo, capacidades diferentes frente a riesgos de suplantación, manipulación documental o alteración de imágenes. Si esas diferencias son relevantes para la finalidad perseguida, hay que analizar si la medida menos intrusiva los afronta con eficacia equivalente.
En el caso examinado ya existía un procedimiento remoto no biométrico basado en documentación, vídeo y comparación visual por personal especializado, que había detectado intentos de fraude. La documentación aportada identificaba, sin embargo, ciertas limitaciones, lo que permitió considerar —en términos ex ante— que el procedimiento anterior no ofrecía una eficacia equivalente frente a los riesgos analizados. Sobre esa base, la Agencia considera superado el juicio de necesidad. La conclusión general que extrae: la normativa de protección de datos no obliga a conservar una tecnología por el mero hecho de ser menos intrusiva, sino a justificar que la nueva solución responde a una necesidad real y que no existe otra medida menos intrusiva con eficacia equivalente.
El margen de apreciación del responsable no es discrecional
La AEPD reconoce que el responsable del tratamiento se encuentra inicialmente en mejor posición para conocer su actividad, sus riesgos y sus obligaciones sectoriales, y que dispone por ello de un margen de apreciación técnico y organizativo. Pero ese margen «no constituye una potestad discrecional exenta de control»: el responsable debe definir la necesidad que pretende satisfacer, justificar el nivel de fiabilidad exigido, identificar y comparar las alternativas razonablemente disponibles y documentar las razones de su decisión, conforme al principio de responsabilidad proactiva.
La Agencia no sustituye al responsable en esa valoración —no fija, por ejemplo, qué porcentaje de fraude resulta aceptable— ni homologa algoritmos. Sí comprueba que la necesidad invocada es real y suficientemente concreta, que el nivel de eficacia exigido está objetivamente justificado y que la afectación de los derechos es proporcionada.
Hay, además, una exigencia temporal: la evaluación puede hacerse antes del despliegue completo cuando exista evidencia objetiva suficiente —pruebas técnicas, ensayos, métricas, análisis de amenazas—, pero la conclusión debe contrastarse después con el funcionamiento real. Si la mejora de eficacia prevista no se produce o aparecen alternativas menos intrusivas con eficacia equivalente, el responsable deberá revisar su decisión.
El consentimiento explícito exige una alternativa real
El segundo gran criterio afecta a la base jurídica. La respuesta muestra que el tratamiento de datos biométricos no excluye por sí mismo el consentimiento: cuando concurran sus requisitos, puede ser la base del tratamiento conforme al artículo 6.1.a) del RGPD y, si es explícito, permitir el tratamiento de datos biométricos conforme al artículo 9.2.a).
La cuestión es que el consentimiento sea realmente libre, específico, informado e inequívoco. En particular, la persona debe poder rechazar la biometría «sin quedar privada del servicio ni sufrir consecuencias que puedan condicionar materialmente su decisión». Para ello debe existir una alternativa no biométrica real y efectiva.
Pero —y aquí está el matiz práctico— «alternativa real no significa alternativa idéntica». Los distintos procedimientos pueden utilizar tecnologías o canales diferentes y presentar diferencias razonables en rapidez, comodidad o funcionamiento. La libertad del consentimiento no exige reproducir todas las características de la solución biométrica, sino garantizar que quien no quiera usarla dispone de una vía practicable que no le imponga costes, pérdida de derechos, exclusiones o cargas desproporcionadas. En el supuesto examinado, la AEPD menciona como posibles vías la atención presencial y mecanismos de verificación electrónica reconocidos por el ordenamiento, como la firma electrónica cualificada o determinados mecanismos asociados al DNI electrónico.
Por qué el criterio llega ahora
La verificación facial se ha extendido con rapidez: apertura remota de cuentas, acceso a servicios digitales, identificación de clientes en operaciones con obligaciones de diligencia debida. Cada despliegue plantea la misma secuencia de preguntas jurídicas: ¿es tratamiento de categorías especiales? ¿cuál es la base jurídica? ¿existe alternativa menos intrusiva? La respuesta de la AEPD se enmarca en su Plan estratégico 2025-2030, que prevé analizar tecnologías emergentes con alto impacto en los derechos de las personas para emitir recomendaciones tempranas y anticipar riesgos, y está considerada de alto nivel estratégico: aplica a un caso concreto criterios que la Agencia desarrollará en su futura guía sobre tratamientos biométricos. La Agencia señala además que la respuesta es coherente con la evolución europea, incluida la propuesta de Ómnibus Digital —una propuesta legislativa todavía no aprobada que en modo alguno condiciona ni la futura guía ni esta consulta, basadas en el Derecho vigente—.
Qué significa esto para despachos y asesorías
El análisis de la AEPD tiene lectura directa para el asesoramiento: clientes del sector financiero, asegurador, sanitario o tecnológico que incorporan verificación facial remota necesitan documentar el juicio de necesidad comparando eficacia real —no teórica— de las alternativas, y articular el consentimiento con una vía no biométrica practicable. Es el mismo enfoque de gobernanza documentada que exige la contratación de proveedores de IA con cláusulas específicas y que la propia Agencia ha desarrollado en su guía conjunta con la autoridad helénica sobre entornos de tratamiento seguro, donde también insiste en que las garantías contractuales no bastan sin medidas técnicas y capacidad real de auditoría.
Para el despacho que usa verificación de identidad en el alta de clientes —prevención de blanqueo, firma electrónica, onboarding digital—, el criterio de la Agencia ofrece un marco: la biometría no está prohibida ni presumiblemente ilícita, pero su uso debe justificarse, documentarse y revisarse con evidencia, y el consentimiento solo vale si la alternativa existe de verdad.
Preguntas frecuentes
¿Qué ha resuelto la AEPD sobre la verificación facial?
Ha respondido una consulta estratégica sobre un sistema biométrico de verificación facial uno-a-uno en remoto, fijando criterios sobre necesidad, libertad de elección y riesgo efectivo.
¿La existencia de una alternativa menos intrusiva prohíbe la biometría?
No por sí sola. Solo la excluye si satisface la misma necesidad con eficacia equivalente, según el juicio de necesidad que debe documentar el responsable.
¿Puede el consentimiento legitimar el tratamiento biométrico?
Sí, si es libre, específico, informado, inequívoco y explícito (arts. 6.1.a) y 9.2.a) RGPD), lo que exige una alternativa no biométrica real y efectiva.
¿La alternativa no biométrica debe ser idéntica a la biométrica?
No. Puede usar otros canales o tecnologías con diferencias razonables, siempre que no imponga costes, exclusiones o cargas desproporcionadas.
¿La respuesta de la AEPD autoriza los sistemas biométricos en general?
No. La Agencia subraya que no es una autorización general ni una certificación tecnológica: el responsable debe mantener las condiciones que justifican el uso y revisarlas si cambian las premisas.
Fuentes
Fuentes
- Fuente. Consultada el 9 de noviembre de 2026.
Las fuentes utilizadas se identifican en esta lista; las crónicas periodísticas se atribuyen a su medio de origen.
