PS-00002-2018

1/14 Procedimiento Nº PS/00002/2018 RESOLUCIÓN: R/00900/2018 En el procedimiento sancionador PS/00002/2018, instruido por la Agencia Española de Protección de Datos a la entidad FITNESS MURCIA PROMOTIONS, S.L., vista la denuncia presentada por A.A.A., y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 10/02/2017 se presenta denuncia en esta AEPD por D. A.A.A., socio del gimnasio FITNESS MURCIA PROMOTIONS, S.L., (gimnasio QUO FITNESS), manifestando que en febrero 2017 se cambió el sistema de acceso al gimnasio de pulsera por el de la huella dactilar, no ofreciendo un medio alternativo. El denunciante indica que es un medio desproporcionado en la recogida de datos y que no se le entregó el “documento para el consentimiento a la aportación de sus datos biométricos”. Aporta copia de un acta de 2/02/2017 en la que personada la Policía Local en el gimnasio QUO, de c/ Río Pliego 13, constata que el acceso al centro es a través de la presentación de huella dactilar y el denunciante manifiesta que no se le puede obligar por ser contrario a la LOPD. Acompaña copia de un escrito, fechado el 2/03/2017, con sello de correos de la misma fecha, dirigido a QUO FITNESS pidiendo el “documento en el que se solicita el consentimiento para la aportación de mis datos biométricos”. No aporta el acuse de recibo conectado con dicho envío certificado. SEGUNDO: Con fecha 3/05/2017 se accede a la aplicación de la AEPD que gestiona la inscripción de ficheros, y se obtiene relación de ficheros inscritos a nombre de FITNESS MURCIA PROMOTIONS, S.L., extrayendo impresión del fichero: “VIDEOVIGILANCIA”, y del fichero “CLIENTES”. Este último recoge el dato de huella y en categorías de personas de las que se recogen: “Clientes y usuarios”. Asimismo, se obtiene en Internet, impresión de los datos que de la denunciada figuran en el Registro Mercantil, indicándose que su objeto social es la “explotación de instalaciones y actividades deportivas” con un capital suscrito de “180.000 euros”. De la consulta de entidades que figuran en la página web “AXESOR”, que ofrece información sobre las empresas, se indica que la entidad FITNESS MURCIA PROMOTIONS, S.L., tiene un capital social suscrito que está en el tramo de más de 100 mil euros, con un número de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/14 empleados entre 1 y 10 e importe de ventas de entre 1 y 250.000 euros. Se indica que es una “microempresa”. TERCERO: Con fecha 3/05/2017 se solicita a FITNESS MURCIA PROMOTIONS: 1. Finalidad del sistema de implantación de la huella digital para los asistentes al gimnasio QUO FITNESS, c/ Río Pliego 13 de Murcia, para que actividades se emplean, y detalles de cómo se almacenan los datos y cómo funciona. Con fecha 30/05/2017 contesta que la finalidad del sistema en el gimnasio es la de obtener una plantilla numérica basada en algoritmos que sirva como medio personal e intransferible para acceder a las instalaciones del gimnasio a través de la comparación de patrones elaborados por el sistema partiendo de la huella digital. El almacenamiento de los datos, es gestionado, custodiado y administrado por la empresa PROYECTOS VISUALES ZARAGOZA SL, sin que tales datos sean compartidos con FITNES-MURCIA PROMOTIONS SL que solo dispone del sistema informatizado y acceso remoto al dispositivo que será quien permita o no el acceso a las instalaciones. Adjuntan la hoja técnica facilitada por la empresa instaladora en doc 1. Se trata de una nota informativa de NITGEN BIOMETRIC SOLUTIONS-sistemas biométricos de NITGEN, en la que responde a las preguntas ¿Que es un sistema biométrico, que ventajas tienen?, privacidad y protección del usuario y funcionamiento. En resumen se indica que “Los sistemas biométricos de NITGEN con sensores lectores de huella dactilar utilizan algunas características de esta para extraer un código único para cada huella”. “Garantizan la identificación y verificación del usuario de una manera rápida, fácil y fiable” “Los sistemas biométricos de NITGEN no guardan la huella dactilar del individuo como se hace en otro tipo de registros. Mediante complejos algoritmos matemáticos se genera una plantilla numérica utilizando la información de algunos puntos de la huella. En ningún caso se puede recuperar la huella a partir de la información de estas plantillas almacenadas. Además, tampoco se puede deducir a partir de la plantilla características físicas de la huella” ”Funcionamiento: en el proceso de identificación o verificación, se vuelve a generar esta plantilla y se compara con la plantilla almacenada durante el proceso de registro. Si esta operación genera un resultado positivo se considera el usuario identificado”. Acompaña un escrito en inglés de 7/2004. NITGEN BIOMETRIC en el que “certifica que el dato de la huella dactilar que es extraído por el equipo no puede ser desencriptado por una entidad no autorizada” “La única clave para el algoritmo la tiene NITGEN y no es accesible a la entidad que adquiere el equipo”. “Una vez el dedo es escaneado y convertido en una plantilla, la imagen escaneada es destruida. Permaneciendo en un algoritmo matemático que no puede ser decodificado para obtener la imagen de la huella dactilar original”. 2. Fecha desde la que se viene utilizando el sistema de huella digital, así como número de socios que han proporcionado dicho dato. Indican que se viene usando desde 12/2016. Aportan como documento 2 copia de contrato con PROVISPORT (PROYECTOS VISUALES ZARAGOZA SL) titulado “Contrato de licencia. Contrato de tratamiento de datos LOPD. Contrato de mantenimiento” firmado el 27/12/2016. En el apartado de protección de datos figura que “los datos facilitados en el presente contrato, así como todos aquellos que sean puestos de manifiesto durante su C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/14 relación con PROVISPORT formaran parte de un fichero propiedad de PROVISPORT necesario para la prestación de los servicios contratados” y que PROVISPORT adoptara medidas de seguridad para asegurar la “confidencialidad de sus datos”. “Además, para la prestación del servicio recogido en el Convenio al que se adjunta el presente anexo, PROYECTOS VISUALES DE ZARAGOZA SL debe proceder al tratamiento de los datos de carácter personal contenidos en los ficheros de FITNESS MURCIA PROMOTIONS SL por lo que ocupa la posición de encargado del tratamiento en virtud de lo establecido en el artículo 12 de la LOPD” Figuran también las obligaciones del encargado frente al responsable del fichero relacionadas en el artículo 12 de la LOPD. Sobre el número de socios que utilizan dicho sistema y consintieron, manifiesta que son todos los que acceden a las instalaciones pues es el único modo de acceder y utilizar las instalaciones. 3. Explique porque el sistema de la huella dactilar entiende que es idóneo para la conseguir la finalidad pretendida, si, además, entiende que es necesario, en el sentido de que no exista otra medida más moderada para la consecución de tal propósito con igual eficacia y, finalmente, si explique si dicha recogida entiende que sea ponderada o equilibrada. Indica que dicho sistema evita llevar encima tarjetas u otros dispositivos que se pueden intercambiar con otros usuarios. Por ello, “toda vez que la captación de esta huella no requiere captar la huella digital del individuo, sino que únicamente se trata de un patrón o plantilla, que pese a ser intransferible, no puede ser utilizado para ningún otro uso” 4. Si para el sistema de la captación de huella dactilar se ha contratado con alguna entidad, indicar qué papel desempeña y copia del contrato. Aportan copia de contrato con PROVISPORT entidad que realiza la captación, el mantenimiento e implantación de dicha huella dactilar y del software que lo gestiona. 5. Posibilidad de oponerse al tratamiento de la huella dactilar ofrecida a los socios y alternativas proporcionadas. Indica que previamente a la hoja de adhesión de socio, se informa al cliente de los derechos y de los datos biométricos que se recogen. El único modo de acceder es dar dichos datos, si no está de acuerdo no se recogen los datos y por tanto no se le inscribe como socio. 6. Literal informativo que sobre protección de datos se entrega a las personas al momento de recabar el dato de huella digital, o modalidad por la que se les informa que es necesario a los que ya son usuarios, acreditándolo si fuera el caso. Aporta copia de contrato de FITNESS MURCIA PROMOTIONS SL sede c/ Rio Pliego s/n en Murcia que se aplica a los contratos de esta con sus socios para el uso oneroso del gimnasio. El contrato lleva el título QUO FITNESS-contrato de inscripción-Términos del contrato. Como condiciones de inscripción se indica:

1. a)El contrato comienza cuando se aceptan las condiciones a través del sitio web que señala o de forma presencial en la sede física. En normas de utilización y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/14 tratamiento se prevé que para acceder se utilizará un sistema de identificación biométrico basado en la lectura de la huella dactilar, de la que se extraen una serie de puntos a partir de los que se crea un patrón biométrico, traducidos en algoritmos matemáticos. “No se permitirá la entrada de ninguna otra manera”. También existe un apartado concreto referido en general a la finalidad de la recogida de datos, y sede ante la que ejercer los derechos. Al final del ejemplar figura un apartado para la firma del cliente. 7. Fichero que se ha creado con las huellas dactilares y motivo por el que no figura la inscripción del encargado en el Registro General de Protección de Datos bajo la titularidad de su entidad. Indica que la empresa gestora del fichero de huella dactilar es PROYECTOS VISUALES ZARAGOZA SL, como se indica en documento 2, si bien dicho documento solo define a esa entidad como encargado del tratamiento y no se significa extremo alguno sobre fichero. 8. Copia impresa de los datos que figuren en sus ficheros relativos al denunciante y motivo por el que no le informan por escrito a dicha persona que ahora para acceder al uso de las instalaciones es preciso dar dichos datos. Manifiesta que los datos del citado son su nombre y apellidos, NIF, fecha de nacimiento y dirección y número de teléfono. CUARTO: Con el fin de aclarar algunos aspectos sobre el sistema de huella dactilar implantado, se solicita a la denunciada el 24/08/2017:
2. a)Si la plantilla que se recoge de la huella se almacena en una base de datos, detalles y funcionalidades de la misma (servidor en que se almacena, medio de acceso, ubicación física, etc.).
3. b)Sobre el equipo adquirido para implementar el sistema, se solicita que aporten documento que verifique el modelo del lector adquirido y del hardware, así como relacionen las funcionalidades de cada uno.
4. c)Respecto de los datos de la huella dactilar para el acceso al gimnasio MURCIA FITNESS PROMOTIONS (gimnasio QUO FITNESS CLUB, c/ Rio Pliego 13, se solicita que detallen y concreten el tipo de acceso a los datos que realiza el encargado de tratamiento PROVISPORT. La petición de información no fue atendida, resultando devuelto el envío por el servicio de Correos tras los intentos de entrega de 1 y 4/09/2017 con la nota: “ausente”, y en el sobre: “caducado” al no acudir a la Oficina de Correos a retirar el envío. La petición se cursa de nuevo telemáticamente con el sistema notific@ el 18/10/2017, figurando rehusada por transcurso de diez días sin acceso. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/14 QUINTO: Con fecha 9/01/2018 se consulta si existen en la AEPD antecedentes por sanciones anteriores a la denunciada, figurando que el mismo denunciante interpuso denuncia contra la misma denunciada por tener instalada una cámara de videovigilancia en la parte exterior del establecimiento que podría estar captando la vía pública y así se declara en el apercibimiento A/214/2017 de 6/09/2017 (infracción del artículo 6.1 de la LOPD) no constando recurso frente a la misma. Se incorpora la copia de dicha resolución SEXTO: Con fecha 10/01/2018 se extrae consulta de la página web AXESOR con el objeto de conocer datos más precisos de la empresa para la aplicación de aspectos relacionados con la graduación de la eventual sanción. En la información extraída a 10/01/2018, figura con un volumen de ventas de 234.801 €. SÉPTIMO: Con fecha 30/01/2018, la Directora de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a FITNESS MURCIA PROMOTIONS, S.L., por presunta infracción del artículo 4.1 de la LOPD, tipificada como grave en el artículo 44,3,
5. c)de dicha norma. La sanción en el acuerdo de inicio, a efectos del reconocimiento de responsabilidad y pronto pago se cifraba en 5.000 euros, considerando de aplicación el artículo 45.5.
6. a)y de conformidad con el 45.4.a), y 45.4 j). OCTAVO: Notificado el acuerdo de inicio, FITNESS MURCIA PROMOTIONS, S.L. mediante escrito de fecha 26/02/2018 formuló alegaciones, significando: 1) No existe tratamiento de datos personales pues no se identifica a la persona dado que la información que se recoge no es una huella sino una parte de ella que se convierte en un código numérico asociado a un número concreto, en este caso un cliente. La plantilla numérica usa algunos puntos de la huella, la cual no puede ser reconstruida a partir de dicha plantilla, ni tampoco se guarda o almacena sino que se convierte en un algoritmo matemático que no puede ser decodificado. Consideran que tal como detallan, el dato no puede ser considerado “biométrico”. 2) En al acuerdo de inicio se intenta hacer una analogía artificiosa pues no cabe comparar un centro privado con un centro educativo para gestionar las ausencias y retrasos de los alumnos, a efectos de justificar la sanción, basándose en el informe 368/2006 de la AEPD que trata sobre proporcionalidad del tratamiento de huella dactilar de alumnos de un Colegio para gestionar las ausencias y retrasos de los alumnos. En el caso del gimnasio, el cliente tiene total libertad de elección del lugar en el que recibe una determinada prestación. Si una empresa privada decide que es apropiado y proporcionado implantar el sistema de huella dactilar para el acceso de sus socios en lugar de cualquier otro, tal decisión ha de considerarse adecuada y proporcional, dado que no limita derecho individual alguno. En el centro educativo sin embargo no rige el principio de libertad de elección al ser un servicio público, y además habiéndose impuesto de modo unilateral por dicho centro educativo. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/14 3) Los fines para los que se recogen los datos son claramente permitir el acceso de los clientes de forma que no pueda hacerlo persona ajena al mismo, buscando salvaguardar el derecho de la empresa a evitar intrusismos, aumentando la calidad del servicio también para los clientes, incrementando la seguridad de estos. El uso de la tarjeta no garantiza esas ventajas, pues puede ser transferible e implicaría para su control eficaz dedicar una persona a tal fin, por lo que contribuye también a optimizar los recursos del gimnasio. 4) Menciona la sentencia del TSJ de Andalucía, Granada, sala de lo contencioso administrativo, sección 1, de 3/12/2007, sentencia 874/2007, recurso 2203/2007, que admiten el uso de la huella dactilar y el archivo de sus datos en una tarjeta. 5) Indica que existe alternativa al uso de la huella en casos excepcionales como lesiones o profesiones en las que la huella no se halla en óptimas condiciones para su recogida y tras estudiar la razón y el motivo concreto. Para ello disponen de un torno de acceso con sistema de código de lectura, aportan fotografía. Se facilita un código al cliente que suple la huella al que se añade el número de cliente para dicho acceso. NOVENO: Queda incorporado al procedimiento mediante su impresión y constancia: -La sentencia aludida en alegaciones por la denunciada, TSJ Andalucía, de 3/12/2007, de la sala de lo contencioso, sección 1, recurso 2203/2007 que trata del requerimiento que el Ayuntamiento de Granada hizo a una persona con el objeto de que acudiera para que le fueran tomados sus datos biométricos con el objeto de proceder al control del horario de todo el personal. La sentencia indica que los datos recogidos se almacenan en una tarjeta con los datos encriptados, siendo una de las garantías que da por buena el Tribunal para salvaguardar el derecho fundamental de la privacidad y entender no vulnerado la LOPD, finalizando con la no admisión de la impugnación contra la sentencia. Sin embargo el caso no es similar al denunciado, pues los datos no se recogen en una tarjeta que porta el usuario con los datos encriptados, ni se trata de control de obligación legal de cumplimiento de horario por la Administración. -Se incorpora un informe del Gabinete Jurídico, referencia de entrada 263329/2013, número 280/2013, firmado el 11/07/2013, en el que se responde a la consulta del Tribunal de Cuentas, sobre “el establecimiento de un sistema de control de presencia basado en la aplicación de una función numérica a cada empleado fundada en un algoritmo generado por su huella digital, sin que la citada huella sea incorporada en ningún caso a los ficheros de los que es responsable el Tribunal”. ”En el presente caso, se indica que los sistemas no incorporan el dato de la huella digital sino únicamente el relacionado con un identificador numérico obtenido a partir de la misma que se almacena en las tarjetas de proximidad de los empleados. De este modo, en el momento de acceso al edificio se utilizarían por el empleado terminales en los que será necesario tanto la aproximación de la tarjeta como la lectura de la huella digital. De este modo, el lector generará el identificador numérico de la huella que habrá de corresponderse con el de la tarjeta, entendiéndose que se ha producido el acceso al puesto de trabajo como consecuencia de la coincidencia entre el identificador generado y el que consta en la huella.” ”En la documentación que se aporta junto a la consulta, se pone de manifiesto que en ningún caso se almacenará el dato de la huella digital, dándose a entender que el identificador numérico obtenido tampoco permitirá su reversión, a fin de poder obtener información relacionada con la mencionada huella. Por tanto, según se indica, únicamente se incorporara al sistema, en su caso, el dato del identificador numérico asignado a cada empleado no pudiendo obtenerse del mismo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/14 información específica acerca de la huella dactilar.· “Teniendo en cuenta estos antecedentes y siempre que los mismos se correspondan efectivamente con la realidad, cabría concluir que el sistema no incorporara ningún dato biométrico”. -Se incorpora el informe del Gabinete Jurídico de la AEPD 368/2006, de 7/09/2006. La consulta de un Colegio, plantea si, de acuerdo con lo dispuesto por la LOPD, el consultante puede establecer un sistema de control para gestionar las ausencias y retrasos de los alumnos, basado en la obtención de la huella dactilar de éstos. Mediante dicha huella dactilar pretende controlarse la entrada y salida de los alumnos en el centro escolar. Finaliza indicando que es desproporcionado pues la finalidad puede conseguirse de una manera menos intrusiva en relación con los derechos de los alumnos. -Finalmente por poder arrojar luz sobre el asunto se incorporar el informe 65/2015 sobre uso de huella digital que se transforman en algoritmo almacenado en forma encriptada con el uso de entrada de alumnos de un centro escolar al comedor, indicándose que podría ser adecuado que “los medios de verificación, en este caso el algoritmo de la huella dactilar del alumno permanezca en su poder y no sea incorporado al sistema, que solo incluiría los datos referentes a la identificación del alumno que accede al comedor, al producirse una verificación positiva del mismo DÉCIMO: Con fecha 12/04/2018 se remite por correo propuesta de resolución con el literal; “Que por la Directora de la Agencia Española de Protección de Datos se sancione a FITNESS MURCIA PROMOTIONS, S.L. con NIF *****4292, con multa de 5.000 euros por la infracción del artículo 4.1 de la LOPD, tipificada como grave en el artículo 44.3.
7. c)de dicha norma.” En el envío de la propuesta, se comprueba estado del envío, y en la verificación se recibe escrito del Servicio de Correos de que el envío generado “no ha tenido entrada física en sus instalaciones”. Con fecha 26/04/2018 se genera notificación y se envía en esta ocasión por vía telemática a través del sistema notific@, el mismo utilizado para notificar el acuerdo de inicio que en su día resultó entregado. Realizado el seguimiento del envío, con fecha 8/05/2018 consta en el certificado del servicio de soporte de notificaciones electrónicas (Fábrica Nacional de Moneda y Timbre, FNMT) como “rechazo automático” el 8/05/2018, al transcurrir diez días naturales desde su puesta a disposición para su acceso, según el párrafo 2 del artículo 43 de la Ley 39/2015. Con fecha 3/05/2018 se recibe escrito de alegaciones de la denunciada en el que muestra su desacuerdo con la “sanción propuesta en el procedimiento sancionador” que se ha iniciado mediante la comunicación referida” Las alegaciones reiteran lo ya manifestado pues se contiene el mismo literal, diferenciándose en la fecha de remisión. HECHOS PROBADOS C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/14 1) El denunciante en el momento de la denuncia es socio usuario del gimnasio QUO FITNESS en Murcia, titularidad de FITNES MURCIA PROMOTIONS SL (la denunciada) y utilizaba el sistema de entrada al gimnasio mediante pulsera, y se verifica que el 2/02/2017 el acceso al centro solo se puede hacer a través de la huella dactilar. 2) La denunciada tiene inscrito el fichero CLIENTES en el que entre otros, se almacena la huella. 3) Cuando se toman los datos de las huella al socio del gimnasio, no se guarda esta sino que se genera una plantilla numérica utilizando algunos puntos de la huella generados a partir de algoritmos matemáticos, creando así un código único para cada huella. 4) No consta que los puntos de la huella recogida de los usuarios del gimnasio se almacenen encriptados en una tarjeta que porte el mismo usuario, sino que se almacenen por parte del responsable del fichero FITNES MURCIA PROMOTIONS SL a través de un contrato de encargado de tratamiento con la entidad PROYECTOS VISUALES ZARAGOZA SL (PROVISPORT). 5) En cuanto a la valoración de la necesidad de la implementación del sistema de control biométrico, ssegún la denunciada, el sistema se implantó para no tener que llevar tarjetas u otros dispositivos encima (comodidad) y seguridad de uso de la instalación por el propio titular, y se comenzó a usar sobre 12/2016. 6) La información que se proporciona al usuario que pretenda utilizar los servicios de gimnasio de la denunciada se formaliza en el contrato, en el que se explica la toma de la huella que, convertida en un patrón, recoge una serie de puntos de aquella, y que no se permite la entrada a las instalaciones más que con dicho dato, no existiendo normalmente alternativa salvo para casos excepcionales (erosión de las huellas por algunos tipos de abrasión por ejemplo). 7) El envío de la propuesta de resolución se cursó por el mismo medio que el acuerdo de inicio, que este si fue aceptado el 7/02/2018 según obra en el certificado emitido por la FNMT. El envío de la propuesta de resolución dio como resultado rechazado el 8/05/2018, al haber transcurrido 10 días naturales desde la puesta a disposición, 27/04/2018. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
8. g)en relación con el artículo 36 de la LOPD. II Cabe entender por datos biométricos “aquellos aspectos físicos que, mediante un análisis técnico, permiten distinguir las singularidades que concurren respecto de dichos aspectos en un sujeto y que, resultando que es imposible la coincidencia de tales aspectos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/14 en dos individuos, una vez procesados, permiten servir para identificar al individuo en cuestión. Así se emplean para tales fines las huellas digitales, el iris del ojo, la voz, etc.”. Las características del dato biométrico huella dactilar es: -Universal pues existe en todas las personas. -Único: Son distintos para cada personas -Permanente: permanecen a lo largo de la vida de una persona La LOPD en su artículo 3.a indica: “Datos de carácter personal: cualquier información concerniente a personas físicas identificadas o identificables”, y el artículo 5.f del RLOPD indica además: “Cualquier información numérica, alfabética, gráfica, fotográfica, acústica o de cualquier otro tipo concerniente a personas físicas identificadas o identificables.” Si bien la huella dactilar completa como la que toma la Policía cuando realiza el DNI identifica completamente a la persona, también es susceptible de identificarse a la misma persona con la toma de muestras o minucias recogidas de partes de la huella y transformadas en una plantilla, aunque sea a través de un algoritmo. Esas minucias, convertidas en algoritmos, mediante su registro en una base de datos, o incluso en una tarjeta que porte el usuario permitirían, al ser tratados, la identificación de la persona cuando acceda a la instalación, a través del proceso de matchmaking (emparejamiento por comparación), entrando pues en el ámbito del dato de carácter personal. Aunque el registro de la huella se transforma en un algoritmo, el sistema se pone en marcha siempre y cada vez que el socio acude al gimnasio, poniendo el dedo en el lector digital lo que da lugar a la confrontación de datos con el algoritmo almacenado en los sistemas de la denunciada. Es decir originariamente el funcionamiento del sistema está basado en la lectura de datos de la huella que se introduce en un terminal, y en la confrontación con el algoritmo o secuencia numérica, que figura incorporado, que es un dato permanente y que está en una base de datos de la denunciada, el cual permite su asociación con la identidad de los socios. Para ello se realizó una lectura inicial que almacenada en un fichero el algoritmo y que se valida cada vez que uno de los socios realiza su entrada en el gimnasio. Por tanto, al partir de un dato único de cada socio que se transforma en algoritmo y que se verifica en cada entrada, se están tratando los datos del socio que accede al gimnasio. Se puede considerar que el sistema implantado para el acceso en el gimnasio utiliza datos de carácter personal y para llevar a cabo su tratamiento, deberá ajustarse a la LOPD. III A la luz del Convenio Europeo para la protección de los derechos humanos y de las libertades fundamentales y de la jurisprudencia del Tribunal Europeo de Derechos Humanos sobre el artículo 8 del Convenio, se subraya que cualquier interferencia con el derecho a la protección de datos solo podrá autorizarse si es conforme a la Ley y es necesaria en una sociedad democrática, para proteger un interés público importante. Dos son las cuestiones fundamentales sobre la implantación de la huella dactilar: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/14 -Si con la utilización de la huella propuesta por la denunciada se cumple el principio de calidad de datos previsto en e l artículo 4.1 de la LOPD. - Si es necesario el consentimiento de los titulares de los datos pese (artículo 6 de la LOPD) a ser un servicio de uso privado, abierto a los consumidores. El artículo 4.1 determina: “Los datos de carácter personal sólo se podrán recoger para su tratamiento, así como someterlos a dicho tratamiento, cuando sean adecuados, pertinentes y no excesivos en relación con el ámbito y las finalidades determinadas, explícitas y legítimas para las que se hayan obtenido.” Los datos biométricos solo pueden utilizarse si son adecuados, pertinentes y no excesivos, ello implica una evaluación estricta de la necesidad y de la proporcionalidad de los da tos tratados y de si la finalidad prevista podría alcanzarse de manera menos intrusiva. De este modo, si la finalidad perseguida en un determinado contexto puede ser lograda sin necesidad de llevar a cabo el tratamiento de un determinado dato, sin verse por ello alterada o perjudicada este fin, debería optar necesariamente por esta posibilidad, dado que el tratamiento de datos de carácter personal supone, tal como consagra el Tribunal Constitucional en su sentencia 292/200, una limitación del derecho del afectado a disponer de la información referida a su persona. Siguiendo la doctrina emanada por el Tribunal Constitucional, el cumplimiento del principio de proporcionalidad exigirá superar los principios de idoneidad, necesidad y proporcionalidad. Así, señala la Sentencia del Tribunal Constitucional 207/1996 que se trata de “una exigencia común y constante para la constitucionalidad de cualquier medida restrictiva de derechos fundamentales, entre ellas las que supongan una injerencia en los derechos a la integridad física y a la intimidad, y más en particular de las medidas restrictivas de derechos fundamentales adoptadas en el curso de un proceso penal viene determinada por la estricta observancia del principio de proporcionalidad”, añadiendo que “en este sentido, hemos destacado que, para comprobar si una medida restrictiva de un derecho fundamental supera el juicio de proporcionalidad, es necesario constatar si cumple los tres siguientes requisitos o condiciones: -si tal medida es susceptible de conseguir el objetivo propuesto (juicio de idoneidad). En cuanto a la idoneidad, el registro mediante huella dactilar consigue dicha finalidad de identificación/seguridad que la persona que accede es la dice ser al poner el dedo en el lector y correlacionar su algoritmo registrado. También se ha de preguntar sobre la probabilidad de que el sistema sea eficaz para responder a la necesidad en cuestión de las características específicas de la tecnología biométrica que se va a utilizar, y en este sentido se aprecia que los datos que se almacenan en una base de datos en un servidor podrían estar guardados en una tarjeta que portara el socio, y así resultaría menos excesivo el tratamiento a que se ven sometidos, al figurar en poder del propio socio el sistema de autenticación completo. -si, además, es necesaria, en el sentido de que no exista otra medida más moderada para la consecución de tal propósito con igual eficacia (juicio de necesidad). En cuanto a si el sistema es necesario para responder a la necesidad identificada, o sea, si es esencial para satisfacer esa necesidad, y no solo el más adecuado o rentable, en este caso la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/14 denunciada no detalla aspectos que supongan la necesidad de la implantación del sistema, excepto la comodidad y la seguridad del uso por el propio titular, sin añadir datos o cifras adicionales en cuanto a supuesta inseguridad del sistema que hasta entonces existía, ni valora la inseguridad del hasta entonces existente, y ciertamente la comodidad no puede prevalecer sobre los derechos de los afectados. No se contiene pues ninguna referencia al anterior sistema de control de acceso al gimnasio, ni a las posibles deficiencias detectadas en este respecto a su eficacia y eficiencia para alcanzar la finalidad de control-acceso, pretendida y que pudieran supuestamente justificar la implementación de un sistema de control de acceso basados en el uso de datos biométricos. -y, finalmente, si la misma es ponderada o equilibrada, por derivarse de ella más beneficios o ventajas para el interés general que perjuicios sobre otros bienes o valores en conflicto (juicio de proporcionalidad en sentido estricto). En cuanto a la perdida de intimidad, se ha de ponderar que sea proporcional a los beneficios esperados. Si el beneficio es relativamente menor, como una mayor comodidad o un ligero ahorro, la perdida de intimidad no sería apropiada, se ha de considerar para evaluar la adecuación del sistema biométrico si hay un medio menos invasivo de la intimidad para alcanzar el fin deseado, por ejemplo, otros métodos que no recojan y centralicen datos en una base de datos para fines de autenticación o tarjetas inteligentes. El tratamiento del sistema de huellas para acceder a un establecimiento exige una especial atención a la proporcionalidad, no solo por el carácter excesivo en la recogida sino en la modalidad técnica para tratarlo reiteradas veces, es decir que el dato que figure en sus sistemas sea objeto de tratamiento en tanto resulte completamente imprescindible para el cumplimiento de la finalidad perseguida, la de autenticar la entrada al gimnasio. En este sentido se estima más adecuado para guardar la proporcionalidad y afectación mínima al derecho, que la base que confronta la introducción del dedo, el algoritmo fuera almacenado en una tarjeta que portara el socio por ejemplo. Se observa que el sistema se preocupa de la confidencialidad como la conversión de la huella a su algoritmo, cabría plantearse si no sería posible aun una menor injerencia en el derecho fundamental a la protección de datos que se produce como consecuencia del hecho de que el algoritmo de la huella se incorpore al sistema, permaneciendo en el mismo en tanto socio del gimnasio dado que en caso contrario no sería posible la verificación en tiempo real del uso de acceso a la instalación. El mismo objetivo podría lograrse si se estableciera un sistema de control de acceso que sin perjuicio de aplicar medidas de control biométrico, permitiera que el propio dato biométrico o el algoritmo, permaneciese bajo el control del usuario y no fuera incorporado al sistema o base de datos. De ese modo, sería posible que la verificación se llevase a cabo a partir de un dispositivo que portase el socio, de forma que el sistema únicamente almacenase la información referida al uso o no uso de accesos, sin que en ningún momento reflejase el algoritmo de la huella. Así, sería posible que la información que según el sistema descrito seria recogida y almacenada en el propio sistema que se incorporase a una tarjeta inteligente en poder del socio, que para acceder a las instalaciones, hubiera de utilizar la tarjeta y al propio tiempo posicionar su huella sobre el lector. Así se garantizaría la identificación basada en un doble aspecto: algo que el socio es: su huella que ha de implantar y algo que tiene: la tarjeta que autentica su huella que lleva el algoritmo. Tomando en consideración lo que se ha venido indicando y el supuesto de los hechos denunciados consistente en el tratamiento de los datos de reconocimiento de huella de usuarios de gimnasio para control de acceso por su titular y siendo el único medio de acceder, cabe considerar que utiliza los datos de forma no proporcionada y excesiva en relación con el ámbito y las finalidades determinadas. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/14 IV La infracción aparece tipificada como grave en el artículo 44.3.
9. c)de dicha norma, que considera como tal:” Tratar datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave.”. V A efectos de una evaluación de la cuantía de la sanción a imponer se reproducen el artículo 45.1.2., 4 y 5 de la LOPD, que señalan: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros.” “4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
10. a)El carácter continuado de la infracción.
11. b)El volumen de los tratamientos efectuados.
12. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
13. d)El volumen de negocio o actividad del infractor.
14. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
15. f)El grado de intencionalidad.
16. g)La reincidencia por comisión de infracciones de la misma naturaleza.
17. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
18. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
19. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
20. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
21. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
22. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/14
23. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
24. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.” En el presente caso, la denunciada contemplaba en los contratos la información sobre la recogida de datos de la huella dactilar (45.4.
25. j)considerando que la recogida y uso de la huella es para la oferta o prestación de un servicio y que el grado de intencionalidad es relativo, pretendiéndose la puesta en servicio de dicho sistema de acceso (45.4 f.) considerándose que procede aplicar el artículo 45.5.
26. a)de la LOPD que permite la graduación de la sanción en el grado inferior, correspondiente al de las multas por infracciones leves, Asimismo, a efectos de la graduación dentro del artículo 45.4 de la LOD, se observa: - Es una microempresa por lo que el volumen de datos afectados se estima que no sea masivo (45.4.
27. b)- No son relevantes los beneficios obtenidos como consecuencia de la infracción pues ha invertido en la operativa del sistema de tratamiento de la huella (45.4 e). -Los datos almacenados consistentes en el algoritmo numérico en que se transforma el registro de la huella no son en sí los de la huella o parte en ella, circunstancia que incide en el grado de antijuridicidad de los hechos relacionados en los tratamientos (45.4.
28. j)Como consecuencia de los factores señalados para concretar la infracción, se considera que en base a los criterios expuestos, se procede imponer una sanción de 1.500 euros. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad FITNESS MURCIA PROMOTIONS, S.L. con NIF *****4292, por una infracción del artículo 4.1 de la LOPD de la LOPD, tipificada como grave en el artículo 44.3.
29. c)de la LOPD, una multa de 1.500 €, de conformidad con lo establecido en el artículo 45.1), 2), 4.b, j, e, y 5.
30. a)de la citada LOPD. SEGUNDO: NOTIFICAR la presente resolución a FITNESS MURCIA PROMOTIONS, S.L. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
31. b)de la ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29/07, en relación con el art. 62 de la Ley 58/2003, de 17/12, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/14 De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30/12, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22/12, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21/12. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13/07, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es