La Agencia Española de Protección de Datos (AEPD) ha emitido un informe especialmente relevante para entidades financieras y organizaciones que utilizan procesos de onboarding digital. En él analiza la utilización de sistemas de verificación biométrica facial «uno a uno» (1:1) para identificar a nuevos clientes durante procesos de alta completamente remotos.

La conclusión general es positiva: la AEPD considera que, en las circunstancias analizadas, este tratamiento puede superar los juicios de idoneidad, necesidad y proporcionalidad exigidos por el RGPD. Sin embargo, establece requisitos estrictos sobre consentimiento, alternativas al tratamiento biométrico y garantías de protección de datos.

¿Qué sistema analiza la AEPD?

El sistema estudiado compara la fotografía contenida en el documento de identidad con una imagen facial captada durante el proceso de alta remota.

Se trata de una verificación biométrica 1:1, es decir:

• La identidad del usuario ya ha sido declarada previamente.
• Se compara únicamente con la fotografía de su documento.
• No existe búsqueda en bases de datos biométricas.
• No se realiza identificación masiva.
• Las plantillas biométricas generadas se eliminan una vez finalizada la comprobación.

La AEPD destaca que este modelo presenta un nivel de intrusión significativamente menor que los sistemas de identificación biométrica uno-a-varios utilizados para reconocimiento facial masivo o seguimiento de personas.

La biometría sigue siendo una categoría especial de datos

Aunque se trate de una simple verificación 1:1, la AEPD recuerda que los datos biométricos continúan siendo una categoría especial de datos personales sometida al artículo 9 del RGPD.

Por tanto, no basta con disponer de una base jurídica conforme al artículo 6 del RGPD (por ejemplo, una obligación legal derivada de la normativa de prevención del blanqueo de capitales). También es necesario disponer de una excepción válida que permita tratar datos especialmente protegidos.

El consentimiento explícito, clave para legitimar el tratamiento

La entidad consultante fundamentaba el tratamiento biométrico en el consentimiento explícito de los interesados.

La AEPD considera que esta vía es válida, siempre que el consentimiento sea:

• Libre.
• Específico.
• Informado.
• Inequívoco.
• Explícito.

No obstante, el aspecto más relevante del informe es la insistencia en la libertad real del consentimiento.

Debe existir una alternativa real a la biometría

Según la Agencia, un usuario debe poder negarse al tratamiento biométrico sin sufrir consecuencias que condicionen su decisión.
Para ello, la organización debe ofrecer alternativas reales y accesibles que permitan acceder al mismo servicio sin necesidad de utilizar biometría.
La AEPD aclara que estas alternativas no tienen que ser idénticas al proceso biométrico, pero sí deben evitar:
• Costes adicionales.
• Peores condiciones contractuales.
• Retrasos desproporcionados.
• Limitaciones relevantes en el acceso al servicio.
Especialmente importante resulta la conclusión de que no basta con ofrecer únicamente una alternativa presencial.
Además de la identificación en oficina, la Agencia considera necesario habilitar alguna opción remota no biométrica, como:
• Firma electrónica cualificada.
• DNI electrónico.
• Otros mecanismos de identificación electrónica reconocidos por la normativa aplicable.

El análisis de necesidad no exige elegir siempre la opción menos intrusiva

Uno de los aspectos más interesantes del informe es que la AEPD adopta un enfoque pragmático sobre el juicio de necesidad.
La Agencia recuerda que la mera existencia de una alternativa menos intrusiva no convierte automáticamente en ilícita la biometría.
La cuestión clave es si dicha alternativa consigue el mismo nivel de eficacia para prevenir fraudes, suplantaciones de identidad y otros riesgos asociados al alta remota.
En este caso, la documentación aportada por la entidad justificaba razonablemente que el sistema biométrico ofrecía ventajas objetivas frente al procedimiento manual existente.

La proporcionalidad depende del diseño del sistema

La valoración favorable de la AEPD se apoya en varios elementos de diseño que reducen el impacto sobre los derechos de los interesados:

• Comparación biométrica exclusivamente 1:1.
• Uso puntual durante el alta.
• Ausencia de bases de datos biométricas persistentes.
• Eliminación inmediata de las plantillas generadas.
• Imposibilidad de reutilización posterior.
• Medidas de seguridad reforzadas.
• Trazabilidad de las operaciones.
• Revisión humana posterior de los resultados positivos.

La Agencia considera que estas garantías limitan significativamente la intensidad de la injerencia en la privacidad.

Importancia de la responsabilidad proactiva
La AEPD insiste en que la conformidad inicial del sistema no es suficiente.
Las organizaciones deberán:
• Documentar adecuadamente sus evaluaciones de impacto.
• Justificar los periodos de conservación.
• Supervisar el rendimiento real del sistema.
• Revisar periódicamente las métricas de eficacia.
• Revaluar la necesidad del tratamiento si aparecen alternativas menos invasivas con eficacia equivalente.
La validación otorgada por la Agencia es, por tanto, una valoración ex ante basada en la información disponible y condicionada a una monitorización continua.
Tendencia regulatoria europea
El informe también apunta a una evolución favorable del marco europeo hacia determinadas formas de verificación biométrica.
La AEPD cita:
• El Reglamento europeo de prevención del blanqueo de capitales (UE) 2024/1624.
• La propuesta de reforma del RGPD conocida como «Reglamento Ómnibus».
• El Dictamen conjunto 2/2026 del Comité Europeo de Protección de Datos (EDPB) y del Supervisor Europeo de Protección de Datos (EDPS).
Todas estas iniciativas distinguen cada vez más entre:
• Sistemas de identificación biométrica masiva.
• Sistemas de verificación biométrica puntual 1:1 con fuertes garantías de protección.
Conclusión
La AEPD confirma que la verificación biométrica facial 1:1 puede ser compatible con el RGPD cuando se utiliza para el alta remota de clientes y se implantan garantías adecuadas.
Sin embargo, el informe deja claras tres exigencias fundamentales:

1. El consentimiento debe ser verdaderamente libre.
2. Deben existir alternativas reales no biométricas, incluidas opciones remotas.
3. La entidad debe poder demostrar de forma continuada la idoneidad, necesidad y proporcionalidad del sistema.
   En definitiva, la AEPD no autoriza de forma general el uso de la biometría, pero sí abre la puerta a su utilización en contextos de verificación de identidad remota cuando el tratamiento está cuidadosamente diseñado, limitado a una verificación 1:1 y rodeado de garantías sólidas de protección de datos.
   Informe completo aquí