AI-00343-2024

1/12  Expediente N.º: EXP202408951 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y en base a los siguientes HECHOS PRIMERO: Con fecha 5 de junio de 2024 se interpuso reclamación ante la Agencia Española de Protección de Datos por una posible infracción imputable a COMUNIDAD DE PROPIETARIOS A.A.A. con NIF ***NIF.1 (en adelante, C.P.). Los hechos que se pone en conocimiento de esta autoridad son: La parte reclamante expone que la comunidad de propietarios reclamada decidió en junta general ordinaria celebrada el 3 de junio de 2020 instalar un sistema de acceso biométrico mediante detector de huellas para acceder a la piscina, una zona común de la comunidad, lo que entiende como un tratamiento de datos no proporcional existiendo otros métodos menos intrusivos. Junto al escrito, se aporta: - Fotografías de la puerta de acceso a una piscina donde se visualiza un sistema de apertura de dicha puerta mediante huella dactilar. - Copia de comunicado informativo titulado “Comunicado - Instalación Detector Huellas Piscina”, de fecha 23 de mayo de 2024, con el siguiente contenido: “Sevilla, 23 de MAYO de 2024 Estimado Propietario/a, Nos ponemos en contacto con usted por orden del Sr. Presidente, en calidad de Secretarias-Administradores de la Comunidad de Propietarios A.A.A. para informarle del siguiente asunto de su interés. Les informamos que tal y como se aprobó en la Junta Ordinaria de fecha 03-06-2020, en los próximos días, se va a proceder a instalar un lector de huellas para el acceso a la piscina. La recogida de huellas se realizará los siguientes días: - LUNES 27/05/24 de 12.00 horas a 13:00 horas por la empresa ***EMPRESA.

1. - MIERCOLES 29/05/24 de 8:00 horas a 14:00 horas por el mantenedor. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/12 - MIERCOLES 05/06/24 de 8:00 horas a 14:00 horas por el mantenedor. La empresa instaladora del servicio y el equipo de lector de huellas están homologados y cumple con la normativa de la U.E. Los propietarios dan su consentimiento para que la huella sea única y exclusivamente utilizada para este fin. Es importante que todos los propietarios/inquilinos se preocupen de dejar su huella registrada los días indicados para poder acceder al recinto de la piscina, ya que, agotado el plazo de registro, sólo se podrá acceder mediante este sistema y cualquier persona que no siga este procedimiento, estará incumpliendo lo acordado en la Junta de Propietarios. Teniendo en cuenta la oleada de robos y actos vandálicos que ha sufrido esta Comunidad en los últimos meses. rogamos a los vecinos qua extremen las precauciones y se cumplan todos los acuerdos adoptados. Sin otro particular y en espera que nuestra colaboración les sea de ayuda les saluda Atentamente B.B.B.- Secretaria – Administradora.” SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a C.P., para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. La notificación del traslado de la reclamación, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue realizada en fecha 20 de junio de 2024 como consta en el acuse de recibo que obra en el expediente. Con fecha 18 de julio de 2024 se recibe en esta Agencia escrito de respuesta de solicitud de información, “Preliminar. – Antecedentes. Resulta conveniente realizar una sucinta redacción de los hechos que han provocado la interposición de la reclamación efectuada ante la AEPD por parte de uno de los usuarios de la piscina. En relación con la realidad física de la comunidad de propietarios de ***DIRECCIÓN.1 y ***DIRECCIÓN.2, estas constituyen una única unidad constructiva, aunque a efectos formales se divide en dos comunidades distintas. Por una parte, el edificio perteneciente a la comunidad de propietarios de ***DIRECCIÓN.1 está formado por 20 viviendas, 32 plazas de garaje C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/12 aparcamiento y 12 trasteros, asimismo, la piscina y el patio de vecinos son zonas comunes de esta comunidad de vecinos. Por su parte, el edificio de la comunidad de propietarios de ***DIRECCIÓN.2 está compuesta únicamente por 3 viviendas, pero los vecinos de esta comunidad pueden acceder a las plazas de garaje de las cuales son propietarios y a la piscina, en virtud de la servidumbre de paso constituida a su favor por la promotora de las viviendas, pues la misma promotora llevó a cabo la rehabilitación de ***DIRECCIÓN.2 y la construcción de ***DIRECCIÓN.
2. La pretensión de la parte reclamante de la inutilización del sistema de acceso a la piscina mediante lector de huellas ya fue suscitada ante el Juzgado de Primera Instancia n.º X de Sevilla. En dicho procedimiento la parte reclamante, al igual que en su actual reclamación ante la AEPD, solicitó la declaración de nulidad del acuerdo adoptado en Junta de Propietarios el día 3 de junio de
3. La sentencia XXX/YYYY del Juzgado de Primera Instancia Número X de Sevilla de 12 de noviembre de 2021 desestimó la demanda interpuesta por la reclamante declarando “no haber lugar a la impugnación del acuerdo adoptado por la misma, en el punto 2º del orden del día de la Junta Extraordinaria de Propietarios de fecha 3 de junio de 2020”. En lo que respecta a la vulneración de la normativa de protección de datos, el Juzgado, en su fundamento de derecho noveno de la referida sentencia, consideró que: “el acuerdo impugnado no resulta contrario a la ley o a los estatutos, no limita en modo alguno el derecho real de servidumbre de paso establecido en favor de los demandantes, ni cuenta con entidad suficiente para considerar infringida la normativa sobre control de datos personales, como asimismo se argumenta en el escrito de demanda, tratándose por otra parte de un sistema muy común y extendido en la actualidad para el acceso a diversos recintos públicos que precisan de control de identidad o aforo, como piscinas o zonas deportivas en general”. El interés que trasciende a ambas reclamaciones es el particular del referido denunciante. La pretensión es hacer un uso ilimitado de la piscina comunitaria, dotando a su propiedad -destinada a arrendamiento turístico- de unas instalaciones de las que puedan disfrutar sus inquilinos. Por lo tanto, el denunciante no vela por la protección de los datos de carácter personal, sino que trata boicotear cualquier medida que suponga la limitación del uso de las instalaciones comunes. Ello supone, a nuestro entender, un uso espurio de la normativa reguladora de la protección de datos de carácter personales. - SEGUNDA. – Información relativa al caso. 1.- Base jurídica del tratamiento, y en su caso, circunstancia que levanta la prohibición para tratar categorías especiales de datos, según el artículo 9 del RGPD. […] El acuerdo de implantación del sistema de huellas para controlar el acceso a la piscina se acordó por mayoría mediante votación en Junta General Extraordinaria, el 3 de junio de 2020 y, a día de hoy, es un acuerdo legalmente válido que cuenta con el consentimiento de los propietarios. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/12 Para la adopción del acuerdo se valoraron otros medios de control del acceso a la piscina, pero la mayoría de los propietarios, entre los que se encuentra el denunciante, rehusaron optar por otras alternativas (tales como la contratación de una persona que llevara a cabo funciones de vigilancia u otro tipo de sistemas de acceso más rudimentarios), debido a que conllevaban un gasto mucho más elevado que la instalación del sistema lector de huellas o porque no aseguraban el control de acceso a la piscina. Adicionalmente, este acuerdo se ha visto reforzado con el consentimiento expreso otorgado por cada uno de los propietarios que han registrado sus huellas para acceder a la piscina comunitaria. Acto consciente y expreso por parte de cada uno de ellos. 2 y
4. – Finalidad del tratamiento y garantía de los datos. Información a los usuarios. En cuanto al tratamiento de los datos que realiza el sistema del lector de huellas ha de afirmarse que, tal y como refleja la comunicación realizada por la comunidad de propietarios a los usuarios de la piscina el 23 de mayo de 2024 que forma parte del Anexo I del expediente N.º: (…), se informó a los vecinos de que la empresa instaladora y el lector de huellas están homologados y cumplen la normativa de protección de datos, además, en la misma se recalca que los propietarios han dado el consentimiento para el uso de su huella a fin de acceder a la piscina. Se adjunta el Documento 2 donde la empresa desarrolladora del sistema del lector de huellas declara cumplir con los requisitos y estándares del RPGD. Los datos biométricos no son usados ni almacenados en línea. El sistema tan solo reconoce una determinada huella para conceder o denegar el acceso, pero no se puede identificar a la persona que ha registrado su huella. Tampoco se puede reconstruir la huella a partir de los datos almacenados en el sistema porque solo se extraen determinadas características o rasgos de la huella, en la declaración del funcionamiento que realiza la empresa fabricante asegura que los datos almacenados están encriptados mediante un cifrado doble. Del mismo modo, tanto la empresa fabricante como la empresa instaladora aseguran que los datos almacenados no serán utilizados para otro fin distinto al del reconocimiento de la huella por parte del sistema para que este conceda el acceso. 2) La C.P. aportó como Documento 2 una “Declaración sobre los productos (…) que cumplen con los estándares GDPR de UE” donde se recoge: “La información, ya sean imágenes de huellas dactilares o imágenes de rostros, está codificada y cifrado por el algoritmo (…) y almacenado, y no puede usarse ni * restaurado por cualquier individuo u organización. […] La información biométrica de todos los usuarios se almacenará únicamente en la ubicación del usuario, no será almacenada en nube pública, ningún tercero organizaciones partidarias. […] A través del o Protocolo de control y el protocolo de cifrado universal HTTPS para transmisión, cualquier organización de terceros e individuo no puede descifrar y restaurar la transmisión de datos. […] C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/12 Cualquier individuo u organización que utilice los sistemas de (...) y el equipo requiere autenticación y una estricta gestión de derechos operativos, y el sistema y el equipo serán bloqueados contra el uso no autorizado por parte de cualquier personal u organización o autorizada. […] El usuario puede elegir transferir la información biométrica del dispositivo al propio del cliente Tarjeta RFID sin afectar al uso normal del cliente. Cuando el sistema y el dispositivo son amenazados indebidamente por cualquier tercero, el usuario puede elegir para permitir que el dispositivo elimine automáticamente todos los datos e inicialice el dispositivo. 3) La empresa que instaló el sistema lector de huellas emitió una nota informativa a la vista de la comunicación de la AEPD, la cual se aportó como Documento
5. En ella, la empresa declara que el día 27 de mayo de 2024 se instaló el sistema de acceso y que, tras su colocación, se grabaron las huellas de los propietarios que acudieron. Igualmente, la empresa recuerda que no se recogió ningún dato más allá de la huella y tampoco cuentan con un sistema de datos en el que se asocie la huella a otro tipo de datos como nombres, DNI, etc. Asimismo, responde lo siguiente: “
6. – Categoría de los interesados. Los interesados son los propietarios usuarios de la piscina. A los interesados se le ha facilitado toda la información relativa al tratamiento de los datos recogidos para el acceso. 5.- Evaluación de Impacto realizado o motivos por el que no se ha realizado. Como ya se ha dicho, los usuarios de la piscina fueron informados del funcionamiento del sistema, tanto en Junta de Propietarios como por escrito, y estos aceptaron la finalidad y funcionamiento del tratamiento de sus datos. No se ha realizado la Evaluación de Impacto relativa a la protección de datos a la que se refiere el art. 35 del RGPD, ya que según la lista orientativa de tipos de tratamientos que no requieren una Evaluación de Impacto relativa a la protección de datos elaborada por la AEPD, no se considera necesaria en el supuesto de:
7. Tratamientos realizados por comunidades y subcomunidades de propietarios tal como se definen en el artículo 2 (a, b y d) de la Ley 49/1960 de Propiedad Horizontal. (…)” TERCERO: Con fecha 21 de agosto de 2024, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VIII, de la LOPDGDD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/12 Como consecuencia de las actuaciones realizadas, se ha tenido conocimiento de los siguientes extremos: En fecha 24 de octubre de 2024 se realizó una solicitud de información a la C.P. En fecha 18 de noviembre de 2024 tuvo entrada la respuesta, que incluye los siguientes documentos 1 y 2 y describe el sistema de lectura dactilar: - Como documento 1 se aportó el acta de la Junta General Extraordinaria de la Comunidad de Propietarios celebrada en fecha 3 de junio de 2020: “En el punto n.º 2 del orden del día se deliberó acerca de si los propietarios estaban de acuerdo con instalar un acceso a la piscina a través de un sistema identificativo de huella dactilar para controlar el aforo de la piscina. (…) Dos vecinos manifiestan su negativa al sistema de huella ya que entienden que con ese sistema no se podría realizar un control efectivo, ni del aforo máximo, no en la entrada y salida de los usuarios de la piscina. Proponen que la medida efectiva para el control de acceso y uso de la piscina sería la contratación de un socorrista o controlador (persona física), la cual, sí podría evitar, por ejemplo, la entrada de varias personas a la vez con la huella de un solo vecino podría controlar el horario de turnos que se establezca para el baño, así como el número máximo de personas dentro de la lámina de agua. Asimismo, exponen sus dudas sobre cómo se efectuará el registro de las huellas dactilares y, para el caso de no tener una persona física controlando, la opción del sistema de huella se podría sustituir por la emisión de unas llaves de acceso o tarjetas. (…) varios vecinos exponen que la contratación de un controlador físico supondría un coste inasumible para la Comunidad y manifiestan que el sistema de huella dactilar es suficientemente efectivo para el control de acceso al recinto de la piscina. (…) la intención no es prohibir ni limitar el acceso a ningún propietario ni inquilino del inmueble, simplemente se quiere regular y controlar la entrada al recinto de la piscina. La instalación del sistema de lector de huellas dactilares se aprobó con 19 votos favorables, 3 votos en contra (los tres procedentes de propietarios únicamente de garajes) y 1 abstención.” - Como documento 2 se aportó la Sentencia XXX/YYYY del Juzgado de Primera Instancia Número X de Sevilla, de 11 de noviembre de 2021: “FUNDAMENTOS DE DERECHO PRIMERO. – Consiste la pretensión de la parte actora en la solicitud de que por este Juzgado se declare nulo y sin efecto el acuerdo adoptado con el número 2º del orden del día, de la Junta General Extraordinaria celebrada por la comunidad demandada el día 3 de Junio de 2020, por infracción de lo dispuesto en el artículo 18.1.a) de la LPH, y resultar contrario a la ley y a los estatutos de la comunidad, y en su defecto, por resultar contrario al apartado c) del mencionado artículo 18 LHP, al suponer un grave perjuicio para los actores C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/12 que no tienen obligación jurídica de soportarlo, habiéndose incurrido en su adopción en abuso de derecho, (…). NOVENO. En suma, el acuerdo impugnado no resulta contrario a la ley o a los estatutos, no limita en modo alguno el derecho real de servidumbre de paso establecido en favor de los demandantes, ni cuenta con entidad suficiente para considerar infringida la normativa sobre control de datos personales, como asimismo se argumenta en el escrito de demanda ,tratándose por otra parte de un sistema muy común y extendido en la actualidad para el acceso a diversos recintos públicos que precisan de control de identidad o aforo, como piscinas o zonas deportivas en general. (…) FALLO Que desestimo la demanda interpuesta por (…) VS la COMUNIDAD, y declaro no haber lugar a la impugnación del acuerdo adoptado por la misma, en el punto 2º del orden del día de la Junta Extraordinaria de Propietarios de fecha 3 de Junio de 2020, y todo ello con expresa condena en costas procesales a la parte actora.” - El sistema de lectura de huella dactilar se describe como sigue: “El sistema de acceso utiliza el método de identificación biométrica (1: N), el cual venía instalado de fábrica. El sistema únicamente almacena los datos de las huellas que han sido registradas. El sistema almacena los datos desde que el usuario, por voluntad propia, decide registrar la huella. Hasta el momento, no han existido solicitudes de baja y, por lo tanto, no se han eliminado los datos existentes. En el momento en que el usuario solicite la baja del sistema los datos serán eliminados del mismo. Al no ser almacenados en ningún otro método de almacenamiento no podrán ser recuperados una vez que sean eliminados. El sistema de lectura de huella no utiliza información biométrica sin procesar. La información biométrica de todos los usuarios está codificada y cifrada por el algoritmo (…), lo cual impide que la información pueda usarse o ser restaurada por los miembros de la organización y mucho menos por individuos ajenos a ella. Los datos biométricos de los usuarios se encuentran almacenados en el dispositivo lector de huellas. Los datos de las huellas se almacenan físicamente, no existe ningún almacenamiento online. Ninguna persona tiene acceso a los datos almacenados en el sistema.” - En relación con el número de usuarios afectados por el sistema de lectura de huella dactilar y la información que se les ha facilitado al respecto, la COMUNIDAD señala: “El sistema afecta a los propietarios de la Comunidad de Propietarios A.A.A.; propietarios de la piscina, y a los propietarios de la Comunidad de Propietarios C.C.C., a quienes se les permite el uso de la piscina, en virtud de la Escritura de Constitución de Servidumbres otorgada ante el Notario de Sevilla (…) Actualmente existen