1/7 Expediente Nº: AI/00394/2023 Asunto: Advertencia Esta Agencia ha tenido conocimiento a través de la publicación en prensa (https://www.economiadigital.es/empresas/laliga-reconocimiento-facialestadios.html) el pasado día 25 de octubre de 2023, de una noticia referente a que LALIGA está llevando a cabo una licitación de un contrato para desarrollar un sistema de reconocimiento facial para el acceso de los aficionados a los estadios. Efectuada una búsqueda en la página web de LALIGA se ha constatado la veracidad de la noticia, puesto que en el apartado dedicado a los procesos de licitación de LALIGA para la contratación con proveedores (https://www.laliga.com/transparencia/gestion-economica/contratacion-proveedores), se observa que ha sido publicado tal proceso de licitación con fecha de 17 de octubre de 2023, bajo la denominación “Biometric solutions for facial recognition”, siendo la fecha final de presentación de solicitudes de participación el pasado 2 de noviembre de 2023, y la fecha máxima de adjudicación del contrato el próximo 30 de noviembre de
- A dicha convocatoria se adjunta únicamente un Pliego de Bases de la Contratación del que se deduce que las propuestas a presentar por los candidatos, que serán previamente seleccionados, deberán contener una oferta económica y una propuesta técnica de sistema de reconocimiento facial que se ajuste a los documentos que se aportarán por la LIGA a los candidatos preseleccionados en un momento posterior del procedimiento. En concreto, se menciona respecto a los requisitos de seguridad, que los licitadores deberán ajustarse al documento “RFP – Biometric solutions for facial recognition Technical Guide”, debiendo aportar en el documento “Technical Responses – RFP – Facial Recognition Solutions LaLiga” las respuestas a los diferentes requisitos de seguridad establecidos en la RFP. De conformidad con lo establecido en el artículo 55 del Reglamento (UE) 2016/679, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (en adelante, RGPD), la Agencia Española de Protección de Datos es competente para desempeñar las funciones que se le asignan en su artículo 57, entre ellas, la de hacer aplicar el Reglamento y promover la sensibilización de los responsables y los encargados del tratamiento acerca de las obligaciones que les incumben, así como para ejercer los poderes que le han sido atribuidos por el artículo
- En este mismo sentido, procede citar el artículo 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo, LOPDGDD), conforme al cual, corresponde a la Agencia Española de Protección de Datos supervisar la aplicación de esta ley orgánica y del Reglamento (UE) 2016/679 y, en particular, ejercer las funciones establecidas en el artículo 57 y las potestades previstas en el artículo 58 del mismo reglamento, en la presente ley orgánica y en sus disposiciones de desarrollo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/7 En virtud de lo anterior, se considera conveniente remitir el presente escrito en el que se ponen de manifiesto diversas consideraciones acerca del tratamiento de datos que se pretende realizar en virtud de la licitación anteriormente citada. Sobre los datos biométricos de categoría especial De acuerdo con lo previsto en el artículo 4.14 del RGPD, son datos biométricos: “los datos personales obtenidos a partir de un tratamiento técnico específico, relativos a las características físicas, fisiológicas o conductuales de una persona física que permitan o confirmen la identificación única de dicha persona, como imágenes faciales o datos dactiloscópicos”. Los datos biométricos que se traten entrarán dentro de la categoría especial de datos personales, cuyo tratamiento está inicialmente prohibido por el artículo 9.1 del RGPD, cuando sean: “datos biométricos dirigidos a identificar de manera unívoca a una persona física”. Por su parte, el considerando 51 del RGPD entiende que el tratamiento de datos biométricos para una identificación inequívoca de conformidad con el artículo 9.1 del RGPD incluye tanto procedimientos de identificación como de autenticación: “El tratamiento de fotografías no debe considerarse sistemáticamente tratamiento de categorías especiales de datos personales, pues únicamente se encuentran comprendidas en la definición de datos biométricos cuando el hecho de ser tratadas con medios técnicos específicos permita la identificación o la autenticación unívocas de una persona física. Tales datos personales no deben ser tratados, a menos que se permita su tratamiento en situaciones específicas contempladas en el presente Reglamento, …” Ya sea para identificar o para autenticar, se está llevando a cabo un tratamiento de un dato personal biométrico a través del cual se identifica de manera unívoca a una persona física. El foco no está en la finalidad para la que se trata el dato personal biométrico, sino en el hecho de que a través de ese tratamiento se conoce que ese dato biométrico pertenece a una persona física concreta. En este mismo sentido se pronuncian las Directrices 05/2022 del Comité Europeo de Protección de Datos (CEPD), sobre el uso de reconocimiento facial en el ámbito de las fuerzas de orden público, cuyo apartado 12 interpreta la prohibición establecida en el artículo 9.1 del RGPD al establecer, inequívocamente, que, aun cuando las funciones de autenticación e identificación son distintas, ambas constituyen un tratamiento de datos de categorías especiales. Y es que hay que tener en cuenta que la aprobación del RGPD ha supuesto un cambio de paradigma en materia de protección de datos personales que pretende garantizar a los ciudadanos el control de sus datos personales, estableciendo unos estándares de protección elevados y adaptados al entorno digital en que vivimos. De acuerdo con el Principio de Responsabilidad Proactiva, inspirador de la nueva regulación, el nuevo RGPD hace hincapié en que el responsable debe evaluar seriamente los riesgos del tratamiento que quiera establecer en los derechos y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/7 libertades de los interesados, desde la privacidad desde el diseño, para identificarlos, determinar la probabilidad de materialización y su impacto y prever medidas y garantías que eliminen o, cuando menos, mitiguen los riesgos detectados, evitando su materialización.. Este cambio de paradigma afecta especialmente al tratamiento de los datos biométricos que se dirijan a identificar o verificar la identidad de las personas físicas, que -a diferencia de lo que sucedía bajo el régimen anterior al RGPD- han pasado a ser considerados como datos de categoría especial en el artículo 9, cuyo tratamiento está prohibido con carácter general, salvo que concurra alguna de las excepciones previstas en el artículo 9.2 del RGPD. En este sentido, hay que resaltar que la calificación como datos de categoría especial implica, necesariamente, la observancia de una especial cautela a la hora de determinar si es posible llevar a cabo un tratamiento de datos de esta naturaleza. Así, el sujeto que pretenda implantar sistemas de datos biométricos, en este caso, LALIGA, deberá analizar previamente la concurrencia de los preceptivos criterios de necesidad, oportunidad e idoneidad y proporcionalidad del tratamiento. Así, quien pretenda instaurar un tratamiento de datos personales de esta naturaleza debe, indubitadamente, asegurarse de que se supere lo que se ha denominado en la jurisprudencia como “el triple juicio de proporcionalidad”. Este juicio debe ser el punto de partida de su análisis, pues sólo en caso de que estos métodos superen el citado triple juicio, se exigirá el cumplimiento de otros requisitos o garantías. Tal y como ha mantenido de forma reiterada nuestro Tribunal Constitucional, para comprobar si una medida restrictiva de un derecho fundamental, como la presente, supera el juicio de proporcionalidad, es necesario constatar si cumple los tres siguientes requisitos o condiciones: “si tal medida es susceptible de conseguir el objetivo propuesto (juicio de idoneidad); si, además, es necesaria, en el sentido de que no exista otra medida más moderada para la consecución de tal propósito con igual eficacia (juicio de necesidad); y, finalmente, si la misma es ponderada o equilibrada, por derivarse de ella más beneficios o ventajas para el interés general que perjuicios sobre otros bienes o valores en conflicto (juicio de proporcionalidad en sentido estricto)”. Además, el sistema de responsabilidad proactiva implantado por el RGPD, enfocado a la gestión continua de los riesgos asociados al tratamiento desde la protección de datos desde el diseño y por defecto, refuerza la protección de los interesados en relación con sus datos personales al imponer a los responsables del tratamiento que analicen qué datos tratan, con qué finalidades y qué tipo de tratamientos llevan a cabo, relacionando los potenciales riesgos que entraña el tratamiento para los derechos y libertades de las personas física y a partir de ahí, decidir qué medidas técnicas y organizativas apropiadas de todo tipo toman y aplican para asegurar su cumplimiento en función de los riesgos detectados y asumidos. La evaluación de impacto en la protección de datos personales (en adelante, EIPD), es la herramienta que en el RGPD se ocupa de la garantía de cumplimiento de esta C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/7 vertiente del tratamiento. El análisis de riesgos, el juicio de proporcionalidad, el establecimiento de medidas que mitiguen el impacto, y otros requisitos anteriormente mencionados forman parte siempre de ella. Teniendo en cuenta lo establecido en el artículo 35 en su apartado1 del RGPD, “Cuando sea probable que un tipo de tratamiento, en particular si utiliza nuevas tecnologías, por su naturaleza, alcance, contexto o fines, entrañe un alto riesgo para los derechos y libertades de las personas físicas, el responsable del tratamiento realizará, antes del tratamiento, una evaluación del impacto de las operaciones de tratamiento en la protección de datos personales…” Así como el tenor de su apartado 4 “…La autoridad de control establecerá y publicará una lista de los tipos de operaciones de tratamiento que requieran una evaluación de impacto relativa a la protección de datos de conformidad con el apartado 1…” En cumplimiento de dicho mandato, la AEPD tiene publicado en su página web un listado de tipos de tratamientos de datos que requieren evaluación de impacto relativa a protección de datos. No hay duda del carácter de alto riesgo de estos datos, habida cuenta del cumplimiento de los criterios correspondientes a los números 4, 5 y 10 (aquellos que impliquen el uso de categorías especiales de datos; el uso de datos biométricos y los que impliquen la utilización de nuevas tecnologías o un uso innovador de tecnologías consolidadas) del documento “Listas de tipos de tratamiento de datos que requieren evaluación de impacto relativa a protección de datos”, hecho público por la AEPD en desarrollo de la previsión contemplada en el apartado cuarto del referido artículo 35 Por tanto, no cabe duda de que el tratamiento de datos biométricos deberá estar precedido de una evaluación de impacto válida, que incluya como mínimo los apartados previstos en el artículo
- 7 del RGPD. Ello implica que no basta con realizar una EIPD, sino que habrá que superarla para que el tratamiento sea lícito y admisible legalmente. Tal y como se recoge en la Guía recientemente publicada por la AEPD en su página web (https://www.aepd.es/documento/guia-control-presencia-biometrico-nov2023.pdf), la superación de una EIPD exige demostrar la idoneidad, necesidad y proporcionalidad del tratamiento y gestionar desde el diseño los riesgos específicos del tratamiento, con la aplicación práctica de medidas orientadas a los mismos de forma que se garantice un umbral de riesgo aceptable durante todo el ciclo de vida del tratamiento, tal como se establece en el artículo 35 del RGPD. Además, obliga a la consulta previa a la autoridad de control en caso de que el responsable no haya tomado medidas que permitan mitigar el riesgo de acuerdo al artículo 36 del RGPD. Esta evaluación se hará con carácter previo al inicio del tratamiento, pero deberá entenderse como una evaluación continua o periódica, en el sentido establecido por el artículo 35.11 del RGPD, que dispone: “En caso necesario, el responsable examinará si el tratamiento es conforme con la evaluación de impacto relativa a la protección de datos, al menos cuando exista un cambio del riesgo que representen las operaciones de tratamiento.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/7 Conforme a lo anterior y en aplicación del RGPD, antes de poder poner en marcha cualquier sistema de esta naturaleza, es preceptivo realizar un análisis de riesgos y una evaluación de impacto relativa a la protección de datos dirigida a justificar y garantizar el cumplimiento de todos los principios, obligaciones, limitaciones y derechos que se establecen en el RGPD y su desarrollo. De entre todos estos requerimientos, que se mencionan sin carácter exhaustivo, cabe hacer mención especial, a la obligación de realizar y superar “una evaluación de la necesidad y la proporcionalidad de las operaciones de tratamiento con respecto a su finalidad “, prevista como parte de la EIPD en el artículo 35.7.b) del RGPD. Asimismo, se hace hincapié en que, aun cuando se supere esa evaluación de la necesidad y la proporcionalidad de las operaciones de tratamiento con respecto a su finalidad, todavía será necesario antes de poder llevar a cabo el tratamiento se deberá verificar que se levanta la prohibición del tratamiento de categorías especiales de datos porque resulta de aplicación al caso concreto lo dispuesto en el artículo 9.2 del RGPD; que existe una base de licitud aplicable conforme al artículo 6 del RGPD y que, en su conjunto, cumple con lo preceptuado en la normativa de protección de datos personales. Licitación propuesta por LALIGA LALIGA en casos como el que nos ocupa, donde aspira a la implantación de sistemas de tratamiento de datos biométricos tras la licitación de los mismos, debe asegurarse de que éstos superen “el triple juicio de proporcionalidad” anteriormente mencionado. Como ya se ha dicho, este juicio debe ser el punto de partida de su análisis, pues sólo en caso de que estos métodos superen el citado triple juicio, se exigirá el cumplimiento de otros requisitos o garantías. Esta tecnología puede ser realmente intrusiva y requiere de un debate ético y jurídico sosegado, toda vez que pueden tener efectos muy adversos en los valores fundamentales y la integridad humana. Por consiguiente, se insiste, antes de licitar, y con más motivo, implantar, un sistema de reconocimiento por huella dactilar, y/o de reconocimiento facial o cualquier otro sistema que trate datos biométricos, el responsable debe de valorar primero si hay otro sistema menos intrusivo con el que se obtenga idéntica finalidad. El apartado 73 de las Directrices 3/2019 del CEPD, sobre el tratamiento de datos personales mediante dispositivos de video señala que con carácter general: “El uso de datos biométricos y, en particular, del reconocimiento facial conllevan elevados riesgos para los derechos de los interesados. Es fundamental que el recurso a dichas tecnologías tenga lugar respetando debidamente los principios de licitud, necesidad, proporcionalidad y minimización de datos tal y como establece el RGPD. Aunque la utilización de estas tecnologías se pueda percibir como particularmente eficaz, los responsables del tratamiento deben en primer lugar evaluar el impacto en los derechos y libertades fundamentales y considerar medios menos intrusivos de lograr su fin legítimo del tratamiento”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/7 En el supuesto examinado, teniendo en cuenta las evidencias y datos que se conocen hasta el momento, cabe deducir que el sistema biométrico planteado para acceder a los estadios de fútbol (especialmente el reconocimiento facial) puede ser útil para la organización, más difícilmente necesario desde la óptica definida por el RGPD, ya que, este sistema no es el único con el que se puede lograr la finalidad pretendida. No cabe confundir necesidad con conveniencia de la organización, no siendo por ejemplo la hipotética rapidez en la verificación, la reducción de gasto, o la adaptación a los avances tecnológicos motivos que justifiquen la necesidad de utilizar estos sistemas. Estos favorecen a la organización y no a los aficionados, por lo que no son objeto de análisis cuando estamos valorando si este sistema tan intrusivo en el derecho fundamental a la protección de datos de carácter personal es realmente necesario o se puede evitar. Y es que, cuando existan opciones realmente equivalentes y disponibles para todos los aficionados para acceder a los estadios de fútbol que resulten menos intrusivas para sus derechos y libertades, y permitan identificar-verificar la identidad de los aficionados, como pueda ser la exhibición del título de acceso junto al documento acreditativo de su identidad, resulta difícilmente justificable la necesidad de implementar sistemas más intrusivos como son los de tratamiento biométrico. Así las cosas, se advierte especialmente en este caso de la importancia de definir bien si realmente es necesario utilizar métodos biométricos para preservar la seguridad de las personas y prevenir la violencia en los estadios. En definitiva, en el supuesto de que existan opciones realmente equivalentes y disponibles para todos los aficionados para acceder a los estadios, sería cuando cabría entender que el consentimiento es el instrumento adecuado para dar validez al sistema, siempre y cuando se cumpliera con los requisitos del artículo 4.11 del RGPD y el resto de las condiciones del artículo 7 del RGPD. Y todo ello, amén de que debe demostrarse la necesidad objetiva y las posibles alternativas. Pero a la vez, ello implicará que, si existen alternativas disponibles para que en un momento dado todos los aficionados opten por otras alternativas menos intrusivas para sus derechos y libertades, el procesamiento de datos biométricos dejará de ser necesario para la consecución de la finalidad. Toda vez que cuando el tratamiento es de alto riesgo (como es el caso), tiene que cumplir la evaluación positiva de necesidad (artículo 35.7.b). Ahora bien, no solo es necesario cumplir con la evaluación positiva de necesidad, sino que, tras superar el juicio de proporcionalidad en sentido estricto y la evaluación de impacto, deberá igualmente superar la prohibición del artículo 9 del RGPD por encontrarse en alguno de los supuestos que detalla el apartado 2 de dicho artículo, así como resultar de aplicación alguna de las bases de licitud del tratamiento recogidas en el artículo 6 de la mencionada norma. Y es que el Reglamento se hace eco en su articulado del especial impacto en los derechos fundamentales y libertades de las personas que tiene el tratamiento de determinados datos personales, estableciendo por ello una prohibición general que únicamente puede excepcionarse si concurre alguna de las circunstancias que se especifican en el apartado 2 del art. 9 del RGPD C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/7 Una vez que se ha levantado la prohibición, procede analizar si el tratamiento en cuestión puede llevarse a cabo en el marco de, al menos, una de las condiciones enumeradas el art. 6.1 del RGPD. Es decir, no se debería proponer un tratamiento y, a continuación, buscar una condición de licitud. Al contrario, debería existir una condición definida en el art. 6.1 del RGPD para que un responsable decida realizar un tratamiento. En virtud de todo lo expuesto, y en aplicación de los poderes que le han sido atribuidos por el artículo 58.2.a) del RGPD, esta Agencia procede a dirigir la siguiente ADVERTENCIA a LALIGA: - Con carácter previo a cualquier decisión de implantación de un sistema que implique el tratamiento de datos biométricos, considerando éste desde el diseño y por defecto, es indispensable que se realice una gestión del riesgo (art. 24.1 RGPD) y, de conformidad con lo dispuesto en el artículo 25 del RGPD, se apliquen las medidas técnicas y organizativas apropiadas a fin de garantizar y poder demostrar que el tratamiento es conforme con el RGPD. En particular, en caso de alto riesgo, deberá superar favorablemente una Evaluación de Impacto para la Protección de Datos (EIPD) que incluya y también supere el triple juicio de idoneidad, necesidad y proporcionalidad estricta establecido en el art. 35.7.b y también previsto por la doctrina del Tribunal Constitucional. Asimismo, debe verificarse la concurrencia de alguno de los supuestos previstos en el artículo 9.2 del RGPD de modo que no sea de aplicación la prohibición general del tratamiento de estos datos personales. Finalmente, se debe analizar y concluir que el tratamiento puede llevarse a cabo en aplicación de alguno de los supuestos de licitud recogidos en el artículo 6 del RGPD. Finalmente, se procede a señalar que, en el supuesto de no adoptar las medidas que, en su caso, fueran necesarias para adecuar su actuación a lo legalmente establecido, podría incurrir en una infracción en el ámbito competencial de esta Agencia, que podría dar lugar al inicio de actuaciones previas de investigación y/o actuaciones correctivas, incluyendo las sancionadoras. 1011-240521 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es