La AEPD matiza su doctrina sobre biometría: una alternativa menos intrusiva ya no basta para descartarla 

En respuesta a la consulta de una entidad financiera, la Agencia concluye que la verificación facial 1:1 en el alta remota puede superar los juicios de idoneidad, necesidad y proporcionalidad, y admite el consentimiento explícito para tratar datos biométricos siempre que el cliente disponga de una alternativa real, también a distancia. 

Durante los últimos años, buena parte de los proyectos de biometría en España han tenido que enfrentarse a una pregunta decisiva de la AEPD: ¿existe otra forma menos intrusiva de alcanzar la misma finalidad? Si existía, el tratamiento de datos biométricos difícilmente superaba el juicio de necesidad. Esa lectura acaba de cambiar. 

El pasado 3 de noviembre, la AEPD publicó su respuesta a la consulta del delegado de protección de datos de una entidad financiera que quería incorporar la verificación facial 1:1 a su procedimiento de alta remota de clientes. Hasta entonces, la entidad verificaba la identidad con documentación, vídeo y revisión manual. La Agencia concluye que el nuevo sistema supera, en términos ex ante, los juicios de idoneidad, necesidad y proporcionalidad. Califica la respuesta de «alto nivel estratégico» y anuncia que sus criterios se desarrollarán en la futura guía de biometría. 

Un criterio no vinculante que no homologa tecnologías 

Antes de extraer conclusiones conviene precisar la naturaleza del documento. Según el texto íntegro, no se trata de una consulta previa del artículo 36 del Reglamento General de Protección de Datos (RGPD): la entidad entendió que, aplicadas las medidas de su evaluación de impacto, no subsistía un riesgo residual alto. La respuesta no autoriza el tratamiento, no homologa la solución, el proveedor ni los parámetros técnicos, y carece de efectos vinculantes. 

Tampoco corresponde a la AEPD fijar la tasa de fraude que una entidad debe asumir ni el nivel de fiabilidad exigible desde la normativa de prevención del blanqueo. Lo que sí hace, y a mi juicio es más relevante, es fijar los criterios jurídicos con los que valorará estos tratamientos. 

Juicio de necesidad: la alternativa solo desplaza a la biometría si es igual de eficaz 

El primer criterio afecta al juicio de necesidad. La existencia de una medida menos intrusiva no determina, por sí sola, que el tratamiento biométrico sea innecesario. Solo lo hace si esa medida permite alcanzar la misma finalidad con un nivel de eficacia equivalente. El contraste con la guía sobre control de presencia de 2023 es evidente: entonces bastaba con la disponibilidad de medios alternativos para cuestionar la necesidad de la biometría. 

En el caso examinado, el procedimiento manual había permitido detectar intentos de fraude. Aun así, la Agencia admite que no ofrecía una eficacia equivalente frente a los riesgos de suplantación y manipulación de imágenes identificados por la entidad. La normativa, concluye, no obliga a conservar una tecnología por el mero hecho de ser menos intrusiva. 

El responsable dispone de un margen de apreciación técnico y organizativo, pero no de una potestad discrecional. Debe definir la necesidad, justificar el nivel de fiabilidad exigido, comparar las alternativas razonablemente disponibles y documentar su decisión. Es el principio de responsabilidad proactiva del artículo 5.2 del RGPD. La conclusión, además, es revisable: si en producción la mejora prevista no se confirma, la evaluación deberá reabrirse. 

Artículo 9.2.a): el consentimiento exige una alternativa real, también a distancia 

El segundo criterio afecta a la licitud. En datos biométricos deben concurrir dos requisitos distintos: una base jurídica del artículo 6 del RGPD y una excepción del artículo 9.2 que levante la prohibición general. La AEPD admite que el consentimiento explícito del artículo 9.2.a) cumpla esa segunda función, siempre que sea libre, específico, informado, inequívoco y explícito. 

La clave está en la libertad. El interesado debe poder rechazar la biometría sin perjuicio y acceder a una alternativa real, cierta y razonablemente accesible, sin costes injustificados, pérdida de condiciones ni retrasos desproporcionados. Alternativa real no significa alternativa idéntica: puede diferir en canal, tecnología, rapidez o comodidad. 

En este caso, la vía presencial no era suficiente. La Agencia exige que se ofrezca también una alternativa remota no biométrica y apunta a la firma electrónica cualificada, que el artículo 12 de la Ley 10/2010 ya admite para relaciones de negocio no presenciales, y al DNI electrónico. El Reglamento (UE) 2024/1624, aplicable desde el 10 de julio de 2027, refuerza esa dirección al reconocer los medios de identificación electrónica de nivel sustancial o alto. 

La AEPD separa, además, dos análisis que conviene no confundir. A efectos del consentimiento, basta con que exista una elección real. A efectos de necesidad, la alternativa debe ser igual de eficaz. Una vía puede garantizar la libertad del interesado sin superar el estándar de eficacia equivalente. Por tanto, ofrecer una alternativa no biométrica no convierte automáticamente el consentimiento en libre: habrá que comprobar en cada diseño que la diferencia de coste, tiempo, accesibilidad o experiencia no penalice de hecho a quien rechaza la biometría. 

Verificación 1:1 e identificación 1:N: mismo artículo, distinto riesgo 

El tercer criterio es probablemente el de mayor alcance. La verificación 1:1, que comprueba si una persona es quien dice ser comparando su rostro con la fotografía de su documento, sigue sometida al artículo 9 del RGPD. Pero su riesgo no es equiparable al de una identificación 1:N, que busca a una persona dentro de una población. La Agencia añade que el uso a gran escala de verificaciones 1:1 no las convierte, por ese solo hecho, en identificación. 

Es precisamente este diseño, basado en la minimización de datos y en garantías desde el origen, el que permite justificar la proporcionalidad de la solución. La conclusión no es que cualquier sistema de verificación facial 1:1 sea proporcionado, sino que una solución correctamente diseñada, con una finalidad concreta y garantías adecuadas, puede ofrecer un equilibrio entre seguridad, privacidad y cumplimiento normativo. 

Encargado del tratamiento: las garantías del proveedor deben ser verificables 

La respuesta deja también exigencias pendientes. La entidad deberá armonizar la descripción de su arquitectura, justificar cada plazo de conservación y valorar si un resultado negativo automatizado entra en el artículo 22 del RGPD. Sobre esto último, la AEPD advierte de que la posibilidad de acudir a una oficina no equivale al derecho a obtener intervención humana sobre la decisión. 

El proveedor que realiza el cotejo queda sometido a las garantías del artículo 28 del RGPD como encargado del tratamiento. Afirmaciones como la destrucción inmediata de las plantillas o el tratamiento dentro del Espacio Económico Europeo deben estar documentadas y ser verificables por el responsable. 

La privacidad desde el diseño del artículo 25 deja así de ser un argumento comercial y se convierte en una evidencia que el responsable debe poder aportar ante el supervisor. En determinados servicios de verificación de Facephi, por ejemplo, la arquitectura sigue un principio de «procesar y descartar» recogido en la propia documentación de producto: los datos biométricos y documentales se cifran y tokenizan desde el origen, se descifran solo durante el cotejo y se descartan al completar la operación. El motor biométrico no necesita así mantener un repositorio persistente, y únicamente se conservan logs transaccionales sin datos personales. La configuración concreta y las obligaciones de conservación dependerán del producto, del despliegue y de las decisiones del responsable del tratamiento. Pero la lección vale para cualquier proveedor: una garantía que no puede acreditarse tiene escaso valor jurídico. 

Lo que el criterio deja abierto: el artículo 9.2.g) y el Ómnibus Digital 

Como la entidad fundamentó el tratamiento en el consentimiento, la AEPD no resuelve si la normativa de prevención del blanqueo habilita por sí misma el uso de biometría por razones de interés público esencial, conforme al artículo 9.2.g). Advierte de que una obligación legal de identificación no implica automáticamente ese interés público, pero no descarta la vía. Y apunta un criterio relevante: la densidad normativa exigible debe ponerse en relación con el riesgo real, sin exigir que la ley mencione expresamente la tecnología utilizada. 

El contexto europeo apunta en la misma dirección. La propuesta de Reglamento Ómnibus Digital, COM (2025) 837, plantea una nueva excepción en el artículo 9.2 del RGPD para la verificación biométrica cuando los datos o los medios necesarios permanezcan bajo el control exclusivo del interesado. El CEPD y el SEPD la han acogido favorablemente en su Dictamen conjunto 2/2026. La AEPD valora esa orientación, aunque recuerda que no es Derecho vigente y que no puede afirmarse que el sistema consultado encaje en ella. 

Responsabilidad proactiva aplicada a la identidad 

Hace unas semanas, a propósito del decálogo de la AEPD sobre agentes de IA, sostenía en este mismo espacio que la clave jurídica está en poder demostrar quién decidió qué. Este criterio aplica la misma lógica a la identidad. La licitud de un tratamiento biométrico depende de tres elementos acreditables: una necesidad justificada frente a alternativas de eficacia equivalente, una elección real del interesado y una arquitectura que limite el riesgo. 

Para el sector financiero, el valor del criterio no está en un supuesto aval a una tecnología, sino en que ofrece un método para justificarla. Quien pueda documentarlo estará en mejores condiciones de proteger a sus clientes frente al fraude sin comprometer la protección de sus datos.