Huella dactilar en el gimnasio: ¿es legal? Lo que dice la AEPD
La AEPD ha multado a gimnasios por exigir huella o reconocimiento facial. Qué pide el RGPD, cuándo hace falta EIPD y qué alternativas hay sin biometría.
Control de accesos10 min de lecturaEquipo GymGym
No puedes imponer la huella dactilar ni el reconocimiento facial como única forma de entrar en tu gimnasio: la Agencia Española de Protección de Datos (AEPD) ya lo ha sancionado. Y ofrecer otra vía de entrada no basta por sí solo: además tienes que justificar que la biometría es necesaria y hacer antes una evaluación de impacto.
Esta guía explica por qué estos datos están tan protegidos, qué dicen las dos resoluciones contra gimnasios, qué alternativas tienes y cómo cambiar de sistema si ya tienes un lector de huella. No es asesoramiento legal: si ya usas biometría, revísalo con tu asesoría o tu delegado de protección de datos.
¿Por qué la huella y la cara son datos especialmente protegidos?
El Reglamento General de Protección de Datos (RGPD) separa los datos personales corrientes (nombre, email, teléfono) de las categorías especiales, que tienen más protección. Los datos biométricos destinados a identificar de forma unívoca a una persona están en ese segundo grupo (art. 9 del RGPD, en el BOE).
La razón es práctica. Una contraseña se cambia. Una huella o una cara, no. Si se filtran, el problema es para siempre.
Por eso su tratamiento está prohibido por defecto, salvo que se dé una de las excepciones del artículo 9.2. En un gimnasio, la que se suele plantear es el consentimiento explícito del socio. Y ese consentimiento tiene que ser:
Libre: el socio puede decir que no sin sufrir ninguna consecuencia.
Específico: para una finalidad concreta, entrar al centro.
Informado: qué se recoge, quién lo guarda, cuánto tiempo y cómo retirarlo.
Inequívoco y explícito: una acción clara, nunca una casilla premarcada ni una cláusula escondida en las condiciones.
Un detalle que los proveedores suelen discutir: que el lector guarde una «plantilla» o un código numérico en lugar de la imagen no cambia nada. La AEPD considera que esa plantilla, si sirve para identificar a la persona, es un dato biométrico de categoría especial.
¿Es legal pedir la huella dactilar para entrar al gimnasio?
Como único método, no. Como opción voluntaria, solo si cumples todos los requisitos de esta tabla. Es lo que la AEPD revisó en el caso más reciente:
Requisito
Qué significa en tu gimnasio
Qué falló en el caso Supera
Excepción del art. 9.2 del RGPD
Normalmente, consentimiento explícito y separado para la biometría
La ficha de alta no pedía consentimiento para datos biométricos
Alternativa sin consecuencias
Quien no quiera dar la huella o la cara entra igual, sin pagar más ni esperar más
El reconocimiento facial era obligatorio; la entrada con DNI llegó tras las reclamaciones
Necesidad
Demostrar que un método sin biometría no sirve igual de bien
La AEPD vio que las tarjetas o el DNI eran igual de eficaces
Evaluación de impacto (EIPD) previa
Analizar riesgos y alternativas antes de instalar el sistema
No se hizo
Información al socio
Explicar el tratamiento antes de recoger el dato
El cartel decía que no se trataban datos personales
Supera (Sidecu), 2025. La cadena había implantado reconocimiento facial en cinco centros como forma de acceso obligatoria. La AEPD le impuso tres sanciones que sumaban 160.000 €: 80.000 € por tratar datos biométricos sin una excepción del artículo 9, 50.000 € por no hacer la evaluación de impacto y 30.000 € por no informar a los socios. La empresa reconoció su responsabilidad y pagó pronto, así que la multa quedó en 96.000 €. Además, tuvo que suspender el acceso biométrico. Lo puedes leer en la resolución de la AEPD o en el resumen de Xataka.
Gimnasio de Murcia, 2018. Desde 2017, el centro solo dejaba entrar con la huella, sin alternativa salvo casos excepcionales. La AEPD lo multó con 1.500 € por recoger datos excesivos para esa finalidad, con la ley anterior al RGPD. La resolución dejó constancia de que la plantilla no se guardaba cifrada en una tarjeta en poder del socio, sino en los sistemas de la empresa. Según el resumen de Legalitas, la AEPD veía esa tarjeta como una opción más proporcionada. Puedes consultar la resolución del recurso en la web de la AEPD.
El mensaje de ambos casos es el mismo: la comodidad no justifica la biometría si hay métodos menos invasivos que funcionan.
¿Basta con ofrecer una alternativa al socio que no quiere dar la huella?
No. La alternativa es la condición mínima para que el consentimiento sea libre. En el caso Supera, la AEPD lo dijo claro: el responsable debe ofrecer otro método de acceso sin ninguna consecuencia para quien no quiera usar la biometría. Eso descarta cobrar más, hacer esperar en recepción o dejar la otra vía «solo para casos excepcionales».
Pero aun con alternativa, quedan dos filtros:
Juicio de necesidad. Tienes que demostrar que el objetivo (que solo entren socios) no se consigue igual con un método menos invasivo. Si una tarjeta o un QR funcionan, la biometría no es necesaria. Ahí cayó Supera.
Evaluación de impacto. Tienes que hacerla antes de poner en marcha el sistema y documentar en ella el análisis de alternativas.
A esto se suman las obligaciones de siempre: registro de actividades de tratamiento, medidas de seguridad, plazo de conservación y una cláusula informativa clara en la ficha de alta.
¿Qué es una evaluación de impacto (EIPD) y cuándo hace falta?
La EIPD es un análisis que se hace antes de empezar un tratamiento de datos para medir sus riesgos y decidir cómo reducirlos. El RGPD la exige cuando un tratamiento puede suponer un alto riesgo para los derechos de las personas.
La AEPD publica una lista de tratamientos que la requieren, y los datos biométricos para identificar personas están en ella. En la resolución de Supera, la Agencia explica que el acceso biométrico a una instalación ya entraña por sí solo un riesgo alto que exige una EIPD previa. No hacerla fue una sanción aparte, de 50.000 €.
Una EIPD para control de acceso debería documentar, como mínimo:
Qué datos tratas y para qué.
Qué alternativas sin biometría has estudiado y por qué no te sirven.
Qué medidas técnicas y organizativas aplicas (cifrado, quién accede, cuánto tiempo se guarda).
Cómo atiendes los derechos de los socios.
Qué harías ante una brecha de seguridad.
Si al hacerla no encuentras un motivo sólido para descartar la tarjeta o el QR, ya tienes la respuesta. La AEPD publica guías sobre evaluaciones de impacto y biometría en su web.
¿Qué alternativas hay sin biometría?
Controlar quién entra no exige huella ni cara. Estas son las opciones habituales:
Alternativa
Cómo funciona
Ventajas
Inconvenientes
Código QR en la app del socio
El socio enseña un QR en el móvil y el lector lo valida contra el programa de gestión
No hay que repartir nada; el acceso va ligado a la ficha del socio
Necesita llevar el móvil con batería
Tarjeta con chip
Se acerca una tarjeta física al lector
No depende del móvil
Se pierde, se olvida o se presta
Pulsera con chip
Como la tarjeta, en la muñeca
Cómoda para entrenar
Coste por unidad; también se presta
Código PIN
El socio teclea un número
No hay que llevar nada
Se comparte con facilidad
Ninguna trata datos biométricos. Siguen siendo datos personales, así que la ficha de alta debe informar de ellos, pero no son de categoría especial.
Un ejemplo para hacer números: si tienes 300 socios y cada tarjeta te cuesta 1 €, son 300 € solo en tarjetas, más las reposiciones. Con el QR en la app ese gasto no existe. Es una cifra orientativa: pide precios a tu proveedor.
Si te encaja el QR, en GymGym el control de accesos valida y registra cada entrada con el QR de la app del socio. Es un módulo opcional; puedes ver cómo funciona el control de accesos por QR.
Si ya tengo un lector de huella, ¿cómo cambio sin perder control?
En el caso Supera, la AEPD ordenó suspender todo acceso biométrico. No esperes a una reclamación. Un cambio ordenado sería:
Avisa a los socios con antelación: vas a sustituir la huella por otro sistema.
Elige la alternativa (QR, tarjeta o PIN) y pruébala con un grupo pequeño.
Da de alta a todos en el nuevo sistema antes de apagar el lector.
Borra las plantillas del lector y de cualquier servidor, también las que guarde el proveedor. Pídele constancia por escrito y documenta el borrado.
Actualiza la cláusula informativa de la ficha de alta y el registro de actividades.
Normalmente no hace falta una obra grande: suele bastar con cambiar el lector o poner una cerradura que lea el QR. Te lo contamos en la guía de la cerradura QR para gimnasios. Si necesitas equipo, GymGym publica precios de cerraduras QR, puertas batientes y lectores en su página de pórticos de acceso.
Aprovecha también para revisar la ficha que firman los socios nuevos. En la ficha de inscripción de socio tienes un modelo editable con la cláusula de protección de datos.
¿Puedo poner cámaras en la sala o en los vestuarios?
La videovigilancia es otro tema, pero suele salir en la misma conversación. Las reglas básicas:
Vestuarios y aseos: nunca. La AEPD no admite cámaras en espacios de intimidad.
Entrada y sala: sí, con finalidad de seguridad y un cartel informativo visible antes de entrar en la zona grabada.
Conservación: la LOPDGDD fija un mes como plazo máximo general para borrar las imágenes.
Acceso: solo las personas autorizadas ven las grabaciones.
Una cámara de seguridad normal no identifica a nadie de forma automática. Si un proveedor te ofrece cámaras con reconocimiento facial «para el acceso», vuelves al punto de partida de este artículo. Si además graban a tu equipo, hay reglas laborales propias: consulta las guías de videovigilancia de la AEPD.
Siguiente paso
Si quieres dejar la huella atrás sin perder el control de quién entra, mira cómo funciona el acceso con QR en la página de control de accesos. Si lo ves claro, pide una demo guiada y lo vemos con los datos de tu centro.
Preguntas frecuentes
Imponerla como única forma de entrar no: la AEPD lo ha sancionado. Para usarla necesitas una excepción del art. 9 del RGPD (normalmente el consentimiento explícito), una alternativa que no perjudique a quien la rechace, justificar que la biometría es necesaria y una evaluación de impacto previa.
Porque, cuando se usan para identificar de forma unívoca a una persona, son datos biométricos de categoría especial (art. 9 del RGPD). Su tratamiento está prohibido salvo excepciones como el consentimiento explícito.
En 2025 sancionó a la cadena Supera (Sidecu) con 160.000 €, que quedaron en 96.000 € por pago voluntario y reconocimiento, por imponer el reconocimiento facial sin alternativa y sin evaluación de impacto. En 2018 multó con 1.500 € a un gimnasio de Murcia que solo dejaba entrar con la huella.
No. La alternativa es necesaria para que el consentimiento sea libre, pero además debes justificar que la biometría es necesaria frente a métodos menos invasivos y hacer antes una evaluación de impacto. En el caso Supera, la AEPD concluyó que las tarjetas o el DNI servían igual.
Las habituales son el código QR en la app del socio, la tarjeta o la pulsera con chip y el código PIN. Ninguna trata datos biométricos, aunque siguen siendo datos personales y debes informar de ellos al socio.
No. Según el criterio de la AEPD, nunca se graban vestuarios ni aseos. En la entrada y en la sala puedes usar cámaras de seguridad con cartel informativo y borrando las imágenes en el plazo legal.
