1/7 Expediente N.º: EXP202315326 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: Dña. A.A.A. (en adelante, la parte reclamante) con fecha 20/09/2023 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra INTERESTELAR SEVILLA A.I.E. con NIF V40651846 (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes: la parte reclamante pone de manifiesto que la parte reclamada exige que, una vez comprados los abonos para la siguiente edición del festival Interestelar, los compradores los personalicen con los datos y una foto de cada asistente de forma obligatoria para poder descargarlos; cada comprador tiene un plazo de 20 días para hacerlo de forma gratuita, una vez finalizado este plazo, tendrá un coste de 20€; en la Política de Privacidad de la entidad reclamada se indica "Para la adquisición de entradas, la base legitimadora que permite el tratamiento de sus datos será la ejecución de un contrato en el que usted es parte (Art. 6.1.b del RGPD) y su consentimiento (Art. 6.1.a del RGPD) para solicitar su imagen con el fin de agilizar el acceso al festival y permitir al personal de seguridad identificarle como titular del abono rápidamente." Pese a ello, si no se envía la imagen, no se puede formalizar el abono; en la Política de Privacidad tampoco queda clara la finalidad de este tratamiento. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), el 31/10/2023 se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP) mediante notificación electrónica, no fue recogido por el responsable, dentro del plazo de puesta a disposición, entendiéndose rechazada conforme a lo previsto en el art. 43.2 de la LPACAP en fecha 11/11/2023, como consta en el certificado que obra en el expediente. Aunque la notificación se practicó válidamente por medios electrónicos, dándose por efectuado el trámite conforme a lo dispuesto en el artículo 41.5 de la LPACAP, a título informativo se envió una copia por correo postal que fue notificada fehacientemente en fecha 13/11/2023. En dicha notificación, se le recordaba su obligación de relacionarse electrónicamente con la Administración, y se le informaban de los medios de acceso a dichas notificaciones, reiterando que, en lo sucesivo, se le notificaría exclusivamente por medios electrónicos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/7 El 12/12/2023 la parte reclamada dio respuesta al requerimiento de la AEPD señalando, - Que el proceso de verificación de entradas se actualizó para todos los festivales organizados por la promotora, siendo el siguiente: (
- i)Se adquiere la entrada por el usuario, en el que se recaban sus datos personales identificativos como comprador de la entrada. (
- ii)Se recibe un correo de confirmación en el que se advierte de la necesidad de verificar los datos de los asistentes, para la personalización de su entrada y de las pulseras “cashless” que se entregan en los domicilios de los asistentes al festival. En dicho proceso, se solicita una foto de los asistentes y sus datos identificativos (nombre, apellidos, correo electrónico y NIF). La referida foto sería destruida una vez finalizado el festival. (iii) Se hace entrega a domicilio de las pulseras “cashless” en el domicilio del asistente. (
- iv)El personal de seguridad que controla el acceso al festival verifica la identidad del asistente mediante la foto identificativa aportada por el asistente, buscando un acceso ágil al festival y evitando aglomeraciones que pudieran poner en riesgo la seguridad de los asistentes y de las instalaciones. Dicha información fue incorporada reiteradamente en diferentes puntos de la web. - Que por lo que se refiere a “la solicitud de fotografía para la identificación de los asistentes al evento, se decidió solicitar dicha imagen con el único objetivo de intentar beneficiar a los asistentes al evento, en cuanto a que se pudiera agilizar el proceso de acceso al festival y se evitaran aglomeraciones que pudiesen poner en riesgo a los interesados o las instalaciones. El tratamiento de datos relativo a la imagen se originó como una medida de seguridad en base al interés legítimo del responsable y, en especial, del propio interesado, con la finalidad ya indicada de proteger la seguridad de los asistentes e informado de ello en las respectivas cláusulas informativas en la web de los diferentes festivales que organiza la promotora (…) Sin embargo, en posteriores análisis y estudios de la cuestión, acompañados de asesores expertos en privacidad y protección de datos, se estimó que dicha medida podía ser excesiva en cuanto al principio de minimización del art. 5.1.c del RGPD, aun cuando dichas imágenes fuesen eliminadas al finalizar el festival y únicamente se utilizasen para la correcta verificación por parte del personal de seguridad (…)” En cuanto a las actuaciones previas a la reclamación que fueron llevadas a cabo, señala que: “(…) ... Sin embargo, en este caso, por error en la aplicación del procedimiento, no se estudió correctamente el tratamiento a su debido tiempo, resultando una aplicación tardía del proceso de verificación y por tanto la consiguiente y posterior retirada y supresión de las imágenes una vez solicitadas a los asistentes. Así pues, y, en consecuencia, en base al posterior análisis realizado por el responsable del tratamiento en el pasado mes de octubre de 2023, junto a sus consultores en materia de privacidad, se decidió de forma proactiva no realizar la actividad del tratamiento referida a la imagen de los asistentes para el proceso de verificación, en cuanto a que se entendió que dicha solicitud no quedaba adecuadamente justificada ni era proporcional en cuanto a la finalidad perseguida. Es por ello que, en fecha del 18 de octubre de 2023 se procedió a eliminar y suprimir las imágenes aportadas por los asistentes informando previamente sobre dicha decisión a los interesados que ya habían aportado su imagen. La comunicación se realizó C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/7 progresivamente y mediante comunicación individual que aportamos al presente expediente administrativo, junto con el registro de la comunicación enviada a la reclamante y de su apertura en fecha del 13 de noviembre de 2023 y que, entendemos, es de interés para el presente expediente. (…)” TERCERO: Con fecha 20/12/2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a),
- f)y
- h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II El artículo 5, Principios relativos al tratamiento, del RGPD establece que: “1. Los datos personales serán: (…)
- c)adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»); (…)” El artículo 5 del RGPD se refiere a los principios generales para el tratamiento de datos. En su apartado
- c)se hace referencia al principio de minimización de datos, indicando que los datos han de ser “adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados”. Si examinamos la definición podemos deducir que solo se pueden recabar los datos personales que se vayan a tratar, es decir, los que sean estrictamente necesarios para el tratamiento; que solo podrán ser recogidos cuando vayan a ser tratados y que solo podrán ser utilizados para la finalidad para la que fue recogida, pero no con ningún otro objetivo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/7 El artículo 5.1.
- c)consagra el principio de minimización de datos y supone que el tratamiento de los datos personales debe ser ajustado y proporcionado a la finalidad a la que se dirige, determinando claramente los fines para los que se recogen y tratan los datos, debiendo restringirse el tratamiento de aquellos que sean excesivos o bien procederse a la supresión de los mismos. Asimismo, la pertinencia en el tratamiento de los datos debe producirse tanto en el ámbito de la recogida como en el posterior tratamiento que se realice de los mismos. Hay que señalar que el RGPD limita el uso o tratamiento de los datos por la necesidad y no por el exceso de los mismos; es decir, los datos personales deberán ser los adecuados, los necesarios, pertinentes y limitados a la necesidad para la que fueron recabados. La ley 11/2023, de 8 de mayo, de trasposición de Directivas de la Unión Europea en materia de accesibilidad de determinados productos y servicios, migración de personas altamente cualificadas, tributaria y digitalización de actuaciones notariales y registrales; y por la que se modifica la Ley 12/2011, de 27 de mayo, sobre responsabilidad civil por daños nucleares o producidos por materiales radiactivos, introduce modificaciones en la LOPDGDD, tanto en la tramitación de algunos procedimientos de la Agencia Española de Protección de Datos (AEPD) como en su Estatuto. Entre las novedades introducidas se encuentra un nuevo apartado 6 incorporado al artículo 65 de la LOPDGG que establece que, incluso si admitido a trámite una reclamación, el responsable o encargado del tratamiento demuestra haber adoptado medidas para el cumplimiento de la normativa aplicable, la Agencia Española de Protección de Datos podrá también resolver el archivo de la reclamación cuando las circunstancias admitan otras alternativas a la acción correctiva, siempre que no se hayan iniciado actuaciones previas de investigación o alguno de los procedimientos regulados por ley. El artículo 65 de la LOPDGDD, Admisión a trámite de las reclamaciones, establece que: “1. Cuando se presentase ante la Agencia Española de Protección de Datos una reclamación, esta deberá evaluar su admisibilidad a trámite, de conformidad con las previsiones de este artículo. 2. La Agencia Española de Protección de Datos inadmitirá las reclamaciones presentadas cuando no versen sobre cuestiones de protección de datos personales, carezcan manifiestamente de fundamento, sean abusivas o no aporten indicios racionales de la existencia de una infracción. 3. Igualmente, la Agencia Española de Protección de Datos podrá inadmitir la reclamación cuando el responsable o encargado del tratamiento, previa advertencia formulada por la Agencia Española de Protección de Datos, hubiera adoptado las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/7 medidas correctivas encaminadas a poner fin al posible incumplimiento de la legislación de protección de datos y concurra alguna de las siguientes circunstancias:
- a)Que no se haya causado perjuicio al afectado en el caso de las infracciones previstas en el artículo 74 de esta ley orgánica.
- b)Que el derecho del afectado quede plenamente garantizado mediante la aplicación de las medidas. 4. Antes de resolver sobre la admisión a trámite de la reclamación, la Agencia Española de Protección de Datos podrá remitir la misma al delegado de protección de datos que hubiera, en su caso, designado el responsable o encargado del tratamiento, al organismo de supervisión establecido para la aplicación de los códigos de conducta o al organismo que asuma las funciones de resolución extrajudicial de conflictos a los efectos previstos en los artículos 37 y 38.2 de esta ley orgánica. La Agencia Española de Protección de Datos podrá igualmente remitir la reclamación al responsable o encargado del tratamiento cuando no se hubiera designado un delegado de protección de datos ni estuviera adherido a mecanismos de resolución extrajudicial de conflictos, en cuyo caso el responsable o encargado deberá dar respuesta a la reclamación en el plazo de un mes. Si como consecuencia de dichas actuaciones de remisión, el responsable o encargado del tratamiento demuestra haber adoptado medidas para el cumplimiento de la normativa aplicable, la Agencia Española de Protección de Datos podrá inadmitir a trámite la reclamación. 5. La decisión sobre la admisión o inadmisión a trámite, así como la que determine, en su caso, la remisión de la reclamación a la autoridad de control principal que se estime competente deberá notificarse al reclamante en el plazo de tres meses. Si transcurrido este plazo no se produjera dicha notificación, se entenderá que prosigue la tramitación de la reclamación con arreglo a lo dispuesto en este título a partir de la fecha en que se cumpliesen tres meses desde que la reclamación tuvo entrada en la Agencia Española de Protección de Datos, sin perjuicio de la facultad de la Agencia de archivar posteriormente y de forma expresa la reclamación. En el supuesto de que la Agencia Española de Protección de Datos actúe como consecuencia de la comunicación que le hubiera sido remitida por la autoridad de control de otro Estado miembro de la Unión Europea, conforme al artículo 64.4 de esta ley orgánica, el cómputo del plazo señalado en el párrafo anterior se iniciará una vez que se reciba en la Agencia toda la documentación necesaria para su tramitación. Cuando los hechos de una reclamación relativa a la posible existencia en el ámbito competencial de la Agencia, guarden identidad sustancial con los que sean objeto de unas actuaciones previas de investigación o de un procedimiento sancionador ya iniciado, en la notificación de la decisión de admisión a trámite se podrá indicar el número de expediente correspondiente a las actuaciones previas o al procedimiento correspondiente, así como de la dirección web en la que se publicará la resolución que ponga fin al mismo, a efectos de que el reclamante pueda conocer el curso y resultado de la investigación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/7 6. Tras la admisión a trámite, si el responsable o encargado del tratamiento demuestran haber adoptado medidas para el cumplimiento de la normativa aplicable, la Agencia Española de Protección de Datos podrá resolver el archivo de la reclamación, cuando en el caso concreto concurran circunstancias que aconsejen la adopción de otras soluciones más moderadas o alternativas a la acción correctiva, siempre que no se hayan iniciado actuaciones previas de investigación o alguno de los procedimientos regulados en esta ley orgánica”. En el presente caso, el tratamiento llevado a cabo utilización de la imagen para la identificación de los asistentes a eventos, la misma parte reclamada manifestaba que en un principio se consideró que dicha media podría ayudar a resolver el problema de seguridad de los asistentes, pero que “análisis y estudios de la cuestión, acompañados de asesores expertos en privacidad y protección de datos, se estimó que dicha medida podía ser excesiva en cuanto al principio de minimización del art. 5.1.c del RGPD, aun cuando dichas imágenes fuesen eliminadas al finalizar el festival y únicamente se utilizasen para la correcta verificación por parte del personal de seguridad”. No obstante, tras los posteriores análisis y estudios realizados el responsable del tratamiento ha demostrado haber adoptado medidas que permiten el cumplimiento de la normativa en materia de protección de datos, y señala ”…en el pasado mes de octubre de 2023, junto a sus consultores en materia de privacidad, se decidió de forma proactiva no realizar la actividad del tratamiento referida a la imagen de los asistentes para el proceso de verificación, en cuanto a que se entendió que dicha solicitud no quedaba adecuadamente justificada ni era proporcional en cuanto a la finalidad perseguida. Es por ello que, en fecha del 18 de octubre de 2023 se procedió a eliminar y suprimir las imágenes aportadas por los asistentes informando previamente sobre dicha decisión a los interesados que ya habían aportado su imagen. La comunicación se realizó progresivamente y mediante comunicación individual que aportamos al presente expediente administrativo, junto con el registro de la comunicación enviada a la reclamante y de su apertura en fecha del 13 de noviembre de 2023 y que, entendemos, es de interés para el presente expediente”. Consecuentemente, y de conformidad con las anteriores evidencias, debe ultimarse con el archivo del presente expediente al concurrir vulneración de la normativa en materia de protección de datos, infracción del artículo 5.1.
- c)del RGPD. III Conclusión Por lo tanto, en base a lo indicado en los párrafos anteriores, no se han encontrado evidencias que acrediten la existencia de infracción en el ámbito competencial de la Agencia Española de Protección de Datos. Todo ello sin perjuicio de las posibles actuaciones posteriores que esta Agencia pudiera llevar a cabo, aplicando los poderes de investigación y correctivos que ostenta. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/7 Así pues, al no haber sido posible atribuir responsabilidad por el tratamiento de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a INTERESTELAR SEVILLA A.I.E. y a la parte reclamante. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
- c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es