La Asociación Española de Empresas de Seguridad interpuso demanda ante la Audiencia Nacional solicitando que se anulase la Guía sobre tratamiento de control de presencia mediante sistemas biométricos, a la que puede acceder aquí (nótese que en la versión publicada en la actualidad en la página web de la autoridad de control se aprecia la existencia de una marca de agua en la que se indica “en revisión”).
En la demanda se hacía constar que esta Guía excedía la función orientativa de este tipo de documentos “porque fija criterios según los cuales se guiará la actuación de la Agencia y que considera obligatorios”, siendo, en la práctica, una circular, por lo que debía haberse elaborado y aprobado siguiendo el procedimiento previsto en el artículo 6 del Real Decreto 389/2021 por el que se aprueba el Estatuto de la AEPD y en el artículo 55 de la Ley Orgánica 3/2018.
No obstante, la autoridad de control alegó que la Guía únicamente recogía meros criterios interpretativos, así como recomendaciones prácticas que permitían a los responsables del tratamiento que instalaran estos sistemas garantizar el cumplimiento de las obligaciones recogidas en el RGPD.
La Audiencia Nacional ha estimado el recurso contencioso-administrativo, anulando la Guía de la AEPD por considerar que no nos encontramos, en la práctica, ante una Guía, sino ante una circular encubierta, por lo que el procedimiento seguido para su aprobación fue incorrecto. De este modo, mediante esta resolución se establecen los límites entre la función orientativa y la potestad regulatoria de este tipo de autoridades administrativas independientes.
En este sentido, se trae a colación por la AN la jurisprudencia del Tribunal Supremo que ha analizado “si bajo la forma encubierta de una instrucción se contienen mandatos que proyectan efectos frente a los ciudadanos”. Así, se concluye que “lo relevante no es tanto el nomen iuris, sino el contenido de la disposición en cuestión. Esto es, si una circular o instrucción interna no se limita a ordenar y regular la actuación de los propios funcionarios o agentes de la Administración, sino que incluye previsiones que pretenden ser de obligado cumplimiento para terceros, o lo que es igual, si pretende tener eficacia ad extra, es evidente que en esa medida no es propiamente una circular interna, sino una norma de naturaleza reglamentaria”, siendo nula si no se elabora conforme al procedimiento establecido. De este modo, se debe atender “no a como se nombran las cosas, sino a lo que son”.
En la Guía de la AEPD se indicaba que se iban a determinar los criterios para el tratamiento de control de presencia mediante sistemas biométricos, utilizándose el documento por la autoridad de control como base para imponer sanciones y motivándose las distintas resoluciones según el contenido de esta Guía. Habida cuenta de ello, el TS declara que “el documento finaliza con una extensa relación de conclusiones, formuladas en términos taxativos, y que configuran un marco restrictivo para la implantación de sistemas biométricos de tratamiento de datos para el control de presencia de personas, que indudablemente pretende influir en las decisiones que tomen los responsables del tratamiento”. Es por ello por lo que debe ser considerado como una circular y no como una mera Guía orientativa. Así, al no haber seguido el procedimiento estipulado en los artículos previamente citados, se ha dejado sin efecto su aprobación y publicación.
Conviene, no obstante, evitar una lectura precipitada del alcance de esta sentencia, puesto que la Audiencia Nacional no entra a valorar si los criterios recogidos en la Guía son o no conformes con el RGPD, sino que limita su análisis a la forma en que dicho documento fue aprobado y publicado. En consecuencia, la anulación de la Guía responde exclusivamente a un defecto procedimental, sin que ello suponga que las conclusiones alcanzadas hayan sido declaradas contrarias a Derecho. Desde una perspectiva práctica, ello significa que los responsables no deberían interpretar esta resolución como una autorización para volver a implantar, sin más, sistemas biométricos de control de accesos, pues la posición que finalmente adopte la AEPD sobre el fondo de esta cuestión continúa siendo incierta.
Asimismo, se debe poner de manifiesto que, si este criterio deviene firme y se consolida, se podrá analizar hasta qué punto otras guías o recomendaciones publicadas por la AEPD cumplen realmente una función meramente orientativa o, por el contrario, incorporan criterios que pueden producir efectos frente a terceros, lo que debería haber exigido su aprobación y publicación mediante el procedimiento indicado.
Puede acceder a la sentencia de la Audiencia Nacional aquí.
