← España

PS-00038-2018

1/14 Procedimiento Nº PS/00038/2018 RESOLUCIÓN: R/01410/2018 En el procedimiento sancionador PS/00038/2018, instruido por la Agencia Española de Protección de Datos a la entidad SCHOOL FITNESS HOLIDAY & FRANCHISING, S.L.U., vista la denuncia presentada por A.A.A., y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 22/09/2017 tuvo entrada una denuncia de D. A.A.A. contra HOLIDAY GYM (SCHOOL FITNESS HOLIDAY & FRANCHISING, S.L.U.) porque para acceder a sus instalaciones exige a sus socios el DNI o la huella digital. Indica que “ya están exigiendo el DNI para acceder mientras ponen operativa la huella dactilar como forma de acceso”. Aporta copia de un anuncio publicitario del gimnasio situado en la ***DIRECCIÓN.1, en el que se informa de que “Estamos trabajando para mejorar el servicio de acceso. Por este motivo, próximamente los socios necesitaran D.N.I. o Huella para acceder al Centro.” SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita a SCHOOL FITNESS HOLIDAY & FRANCHISING, S.L.U., (HOLIDAY GYM) que informe sobre: 1) Motivos por los que en el gimnasio de ***DIRECCIÓN.1, se está recabando la huella digital. 2) Fichero creado que almacena las citadas huellas. 3) Procedimiento de información a los afectados. Con fecha 21/12/2017 respondió:

  1. La empresa no recaba ni graba la huella digital de los socios, lo que conserva son patrones biométricos parciales de la huella, con objeto de poder identificarlos para acceder al gimnasio, como alternativa a la exhibición del DNI
  2. Los patrones biométricos son almacenados en el fichero “clientes y proveedores”, inscrito en el Registro General de Protección de Datos. Aportan copia del contenido de la inscripción del fichero, donde figuran, entre otros, los datos de “Patrón Biométrico”
  3. “Cuando se realiza la matrícula se ofrece a los clientes la opción de identificarse mediante huella o mediante DNI”. En los contratos suscritos por los usuarios, se incluye lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/14 CONDICION GENERAL SEPTIMA “Todos los socios están obligados a mostrar el D.N.I. a requerimiento de los empleados del centro, tanto a la entrada como durante su estancia en el recinto. La inobservancia de esta norma imposibilitará el acceso o la permanencia en el gimnasio en tanto no se subsane dicho requisito. A la aceptación del contrato se requerirá a cada socio la lectura de los parámetros biométricos de su huella digital que se empleará para la aceptación del mismo y posteriormente para su entrada y salida de los centros, a través del mecanismo previsto para ello. De acuerdo con el artículo 5.1 de la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal (LOPD), se informa al socio de que el dato correspondiente al patrón biométrico que se facilita se incluirá en un fichero automatizado denominado “clientes y proveedores que será utilizado para el acceso de los usuarios al gimnasio y que en ningún caso será cedido a terceros. La lectura de los datos biométricos no implica la grabación de la huella y los datos obtenidos no son en ningún caso tratables como huella dactilar….” CONDICIÓN GENERAL DECIMOPRIMERA: “Según lo establecido en la (LOPD), los datos facilitados por el socio, incluyendo los correspondientes al patrón biométrico, serán incorporados al fichero “clientes y proveedores” cuyo titular es SCHOOL FITNESS HOLIDAY FRANCHISING, S. L. U., con domicilio en Las Rozas

(28290), Madrid, calle Rozablanca n° 6, Parque Europa Empresarial. A tal efecto, se considera que los datos que el socio/a proporciona son ciertos. Los datos de patrón biométrico serán utilizados como confirmación para la aceptación del contrato así como para el acceso al gimnasio. La lectura biométrica no implica la grabación de la huella y los datos obtenidos no son en ningún caso tratables como huella dactilar. La finalidad de dicho fichero es dar cumplimiento a la prestación de los servicios contratados por el socio, así como la gestión comercial y el envío o comunicación de publicidad o información de carácter comercial o bien de encuestas de satisfacción por cualquier medio. En caso de que el/la socio/a no desee recibir publicidad o información comercial deberá marcar la casilla correspondiente a la aceptación del contrato.” 4. Así mismo, se informa en el contrato de la dirección del responsable del fichero y de la posibilidad de ejercer los derechos ARCO. TERCERO: Con fecha 4/04/2018, la Directora de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a SCHOOL FITNESS HOLIDAY & FRANCHISING, S.L.U., por presunta infracción del artículo 4.1 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.
  1. c)de dicha Ley Orgánica. Se indicaba en el acuerdo de inicio: “En el presente caso, la denunciada es una entidad que contempla en los contratos la información sobre la recogida de datos de la huella dactilar (45.4.
  2. j)considerando que la recogida y uso de la huella es para la oferta o prestación de un servicio y que el grado de intencionalidad es relativo, pretendiéndose la puesta en servicio de dicho sistema de acceso (45.4 f.) se considera que procede aplicar el artículo 45.5.
  3. a)de la LOPD que permite la graduación de la sanción en el grado inferior, de las multas por infracciones leves. Asimismo, de conformidad con las evidencias de las que se dispone en el presente momento, y sin perjuicio de lo que resulte de la instrucción, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el art. 45.4 de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/14 -La implantación del sistema sin alternativa en el inicio, y operativo desde que se toman las huellas para los usuarios que implica una continuación en la infracción, (45.4.
  4. a)de la LOPD. - No son relevantes los beneficios obtenidos como consecuencia de la infracción pues ha invertido en la operativa del sistema de tratamiento de la huella (45.4. e). - Se trata de dos tipos de datos: DNI y huella (45.4.j)” “a los efectos previstos en el art. 64.2
  5. b)de la ley 39/2015, de 1/10 y art. 127 letra
  6. b)del RLOPD, la sanción que pudiera corresponder sería de 10.000 euros, sin perjuicio de lo que resulte de la instrucción.”, es decir se aplicaba en la cuantía la escala de las infracciones leves, al aplicarse el artículo 45.5.a de la LOPD). CUARTO: Notificado el acuerdo de inicio, SCHOOL FITNESS HOLIDAY & FRANCHISING, S.L.U. mediante escrito de fecha 30/04/2018 formuló alegaciones, significando: 1) Se ha modificado el contrato de inscripción para socios pudiendo ser firmado con firma manuscrita o patrón biométrico. El socio puede así escoger la forma de acreditar su identidad para acceder a las instalaciones entre recogida de patrón biométrico o mediante el uso del DNI. Así, únicamente se recabará el patrón biométrico a los que den su consentimiento expreso para ello. 2) Han creado una circular informativa para los socios para dar la posibilidad de revocar el consentimiento prestado para el uso del patrón biométrico. 3) El sistema se contrató con una empresa especializada en control de acceso biométrico contando con su asesoramiento. 4) No existe intencionalidad ni obtención de beneficios, y se ha modificado el contrato, por lo que solicitan se sanción con la cuantía mínima de las leves o se archive. QUINTO: Con fecha 15/06/2018 se abre el periodo de práctica de prueba, si bien el escrito de 15/06/2018, se hizo tras haber efectuado otros dos comunicados previos en los que no se obtuvo constancia de la recepción de lo enviado. Así, con fecha 19/06/2018 se recibe escrito de la denunciada indicando que responde a la petición de información de 9/06/2018. Se le solicitó en pruebas:
  7. a)copia de contrato con usuarios con las opciones que indica en sus alegaciones, copia de la circular informativa con posibilidad de revocación del consentimiento enviada a los socios acreditando que se ha comenzado a enviar y el modo en el que se está enviando. En su escrito, la denunciada aporta copia del contrato con los clientes en el que manifiesta, se recogen las modificaciones sobre tratamiento de datos. Destacan las siguientes clausulas: “SEXTA.- El acceso al centro se realizará mediante el DNI o si el socio lo desea mediante el patrón biométrico. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/14 NOVENA.- Todos los/as socios/as están obligados a mostrar el D.N.I a requerimiento de los empleados/as del centro, tanto a la entrada como durante su estancia en el recinto. La inobservancia de esta norma imposibilitará el acceso o la permanencia en el gimnasio en tanto no se subsane dicho requisito. A la aceptación del contrato se requerirá a cada socio/a que lo desee la lectura de los parámetros biométricos de su huella digital que se empleará para su entrada y salida de los centros, a través del mecanismo previsto para ello. De acuerdo con el artículo 5.1 de la Ley 15/1999, se informa al socio que el dato correspondiente al patrón biométrico que se facilita se incluirá en un fichero automatizado denominado “clientes y proveedores” que será utilizado para el acceso de los usuarios del gimnasio y que en ningún caso será cedido a terceros. La lectura de los datos biométricos no implica la grabación de la huella y los datos obtenidos no son en ningún caso tratables como huella dactilar. DECIMOTERCERA.-/(último párrafo)”El cliente puede aceptar expresamente el uso del padrón biométrico para el acceso al gimnasio. …”. “La finalidad de dicho fichero es dar cumplimiento a la prestación de los servicios contratados por el socio”.
  8. b)Aporta, copia de la circular informativa de los cambios en el contrato y la posibilidad de dejar de usar la huella para acceder, incluso si no contestan en el plazo de un mes se deshabilita la huella y el uso de ellas, borrando el patrón. La citada circular contiene dicha mención. Aportan copia de un justificante de envíos de la circular. El documento se titula “GDRP actualización contractual” con 485 envíos, 339 de los mismos fueron abiertos entregas exitosas y 17/06/2018 como la fecha del último que se abrió.
  9. c)Solicita que al no haber existido intencionalidad, no se pretendía beneficio alguno, ni se ha variado el contrato e informado a los clientes de los cambios, se reduzca la cuantía. SEXTO: Con fecha 29/06/2018 se formuló propuesta de resolución, del literal: “Que por la Directora de la Agencia Española de Protección de Datos se sancione a SCHOOL FITNESS HOLIDAY & FRANCHISING, S.L.U. con NIF b82887514, con multa de 7.500 € por la infracción del artículo 4.1 de la LOPD, tipificada como grave en el artículo de 44.3.
  10. c)dicha norma.” En la cuantía además se tuvo en cuenta la implementación de la revocación del dato huella y los envíos de la circular informativa. (45.4.
  11. j)de la LOPD). SÉPTIMO: Con fecha 13/07/2018 se recibe escrito de alegaciones en el que reitera lo manifestado, añadiendo -El acceso en todo momento ha sido con el DNI o con huella dactilar. El denunciante en su denuncia señala que al acceder a las instalaciones se exige el DNI o la huella, indicando que ya están exigiendo el DNI para acceder mientras se pone operativa la huella como forma de acceso. Así se recoge en la foto que aporta en su denuncia que se lee “Estamos trabajando para mejorar el servicio de acceso. Por este motivo próximamente los socios necesitarán DNI o huella para acceder al Centro”. No se puede imputar la infracción por falta de alternativa para acceder al centro deportivo cuando se comprueba que en el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/14 primer contrato que se aportó al inicio del expediente se recogía el DNI y se permitía a los clientes acceder al centro con el mismo. Además, se han adoptado una serie de medidas para garantizar los derechos de los interesados. Solicita que se rebaje la cuantía por la toma de acciones correctoras para que se imponga “601,01 euros”. HECHOS PROBADOS 1) El denunciante denuncia el 22/09/2017 que entre los medios para acceder al gimnasio HOLIDAY GYM de ***DIRECCIÓN.1, se exige el DNI o la huella, aportando una fotografía en la que se publicita el gimnasio y como mejora del servicio de acceso la implantación de la huella. 2) El sistema que tiene implantado SCHOOL FITNESS HOLIDAY & FRANCHISING, S.L.U., (HOLIDAY GYM) según manifiesta, no graba la huella digital de los socios, conservando patrones biométricos parciales de la misma, almacenados encriptados en el fichero “clientes y proveedores”, con objeto de poder identificarlos para acceder al gimnasio, indicando que es como alternativa a la exhibición del DNI para su acceso. 3) Sin embargo, en el momento de la denuncia, en los contratos con los socios figuraba como obligatoria la entrega de los datos del registro de la huella, como medio de aceptación del contrato que además se emplearía como sistema de entrada y salida al mismo. El DNI no constaba expresamente como medio de acceso de entrada, estableciéndose solo la obligación de presentarlo y no se establecen como medios alternativos. Se indicaba en concreto: CONDICION GENERAL SÉPTIMA “Todos los socios están obligados a mostrar el D.N.I. a requerimiento de los empleados del centro, tanto a la entrada como durante su estancia en el recinto. La inobservancia de esta norma imposibilitará el acceso o la permanencia en el gimnasio en tanto no se subsane dicho requisito. A la aceptación del contrato se requerirá a cada socio la lectura de los parámetros biométricos de su huella digital que se empleará para la aceptación del mismo y posteriormente para su entrada y salida de los centros, a través del mecanismo previsto para ello. De acuerdo con el artículo 5.1 de la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal (LOPD), se informa al socio de que el dato correspondiente al patrón biométrico que se facilita se incluirá en un fichero automatizado denominado “clientes y proveedores que será utilizado para el acceso de los usuarios al gimnasio y que en ningún caso será cedido a terceros. La lectura de los datos biométricos no implica la grabación de la huella y los datos obtenidos no son en ningún caso tratables como huella dactilar….” CONDICIÓN GENERAL DECIMOPRIMERA: “Según lo establecido en la (LOPD), los datos facilitados por el socio, incluyendo los correspondientes al patrón biométrico, serán incorporados al fichero “clientes y proveedores” cuyo titular es SCHOOL FITNESS HOLIDAY FRANCHISING, S. L. U., con domicilio en Las Rozas
(28290), Madrid, calle Rozablanca n° 6, Parque Europa Empresarial. A tal efecto, se considera que los datos que el socio/a proporciona son ciertos. Los datos de patrón biométrico serán utilizados como confirmación para la aceptación del contrato así como para el acceso al gimnasio. La lectura biométrica no implica la grabación de la huella y los datos obtenidos no son en ningún caso tratables como huella dactilar. La finalidad de dicho fichero es dar cumplimiento a la prestación de los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/14 servicios contratados por el socio, así como la gestión comercial y el envío o comunicación de publicidad o información de carácter comercial o bien de encuestas de satisfacción por cualquier medio. En caso de que el/la socio/a no desee recibir publicidad o información comercial deberá marcar la casilla correspondiente a la aceptación del contrato. “Asimismo, se informa en el contrato de la dirección del responsable del fichero y de la posibilidad de ejercer los derechos ARCO. La configuración contractual no deja alternativa a dar o no el dato huella con esa doble incidencia. 4) La implantación y puesta en funcionamiento del sistema de recogida de huellas, según manifiesta la denunciada, se contrató con una empresa especializada. 5) La denunciada procedió a recoger datos de huella, pues indica en alegaciones que preparaba una circular informativa para que los socios que hubieran dado la huella, pudieran revocarla. Se deduce del justificante de estos envíos, que se ha enviado por correo electrónico. La circular, además, establece un sistema en el que ante la falta de respuesta del socio en plazo (1 mes), por defecto borra el dato de la huella, pasando a ser el DNI el medio de acceso. 6) La denunciada tras la apertura del acuerdo de inicio ha variado la redacción de los contratos advirtiendo de las dos opciones, DNI o huella para el acceso al gimnasio, indicando: “SEXTA.- El acceso al centro se realizará mediante el DNI o si el socio lo desea mediante el patrón biométrico. NOVENA.- Todos los/as socios/as están obligados a mostrar el D.N.I a requerimiento de los empleados/as del centro, tanto a la entrada como durante su estancia en el recinto. La inobservancia de esta norma imposibilitará el acceso o la permanencia en el gimnasio en tanto no se subsane dicho requisito. A la aceptación del contrato se requerirá a cada socio/a que lo desee la lectura de los parámetros biométricos de su huella digital que se empleará para su entrada y salida de los centros, a través del mecanismo previsto para ello. De acuerdo con el artículo 5.1 de la Ley 15/1999, se informa al socio que el dato correspondiente al patrón biométrico que se facilita se incluirá en un fichero automatizado denominado “clientes y proveedores” que será utilizado para el acceso de los usuarios del gimnasio y que en ningún caso será cedido a terceros. La lectura de los datos biométricos no implica la grabación de la huella y los datos obtenidos no son en ningún caso tratables como huella dactilar. DECIMOTERCERA.-/ (último párrafo)”El cliente puede aceptar expresamente el uso del padrón biométrico para el acceso al gimnasio. …”. “La finalidad de dicho fichero es dar cumplimiento a la prestación de los servicios contratados por el socio” FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  1. g)en relación con el artículo 36 de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/14 II Cabe entender por datos biométricos “aquellos aspectos físicos que, mediante un análisis técnico, permiten distinguir las singularidades que concurren respecto de dichos aspectos en un sujeto y que, resultando que es imposible la coincidencia de tales aspectos en dos individuos, una vez procesados, permiten servir para identificar al individuo en cuestión. Así se emplean para tales fines las huellas digitales, el iris del ojo, la voz, etc.”. Las características del dato biométrico huella dactilar es: -Universal pues existe en todas las personas. -Único: Son distintos para cada personas -Permanente: permanecen a lo largo de la vida de una persona La LOPD en su artículo 3.
  2. a)indica: “Datos de carácter personal: cualquier información concerniente a personas físicas identificadas o identificables”, y el artículo 5.f del RLOPD indica además: “Cualquier información numérica, alfabética, gráfica, fotográfica, acústica o de cualquier otro tipo concerniente a personas físicas identificadas o identificables.” Si bien la huella dactilar completa como la que toma la Policía cuando realiza el DNI identifica completamente a la persona, también es susceptible de identificarse a la misma persona con la toma de muestras o minucias recogidas de partes de la huella y transformadas en una plantilla, aunque sea a través de un algoritmo. Esas minucias, convertidas en algoritmos, mediante su registro en una base de datos, o incluso en una tarjeta que porte el usuario permitirían, al ser tratados, la identificación de la persona cuando acceda a la instalación, a través del proceso de matchmaking (emparejamiento por comparación), entrando pues en el ámbito del dato de carácter personal. En este caso, el registro de la huella se transforma en un patrón parcial, poniéndose en marcha el sistema siempre y cada vez que el socio acude al gimnasio y coloca el dedo en el lector digital lo que da lugar a la confrontación de datos con el patrón almacenado en los sistemas de la denunciada. Es decir originariamente el funcionamiento del sistema está basado en la lectura de datos de la huella que se introduce en un terminal, y en la confrontación con el algoritmo o secuencia numérica, que figura incorporado, que es un dato permanente y que está en una base de datos de la denunciada, el cual permite su asociación con la identidad de los socios. Para ello se realizó una lectura inicial que almacenada en un fichero el patrón y que se valida cada vez que el socio accede al gimnasio. Por tanto, al partir de un dato único de cada socio que se transforma en patrón y que se verifica en cada entrada, se están tratando los datos del socio que accede al gimnasio. Se puede considerar que el sistema implantado para el acceso en el gimnasio utiliza datos de carácter personal y para llevar a cabo su tratamiento, deberá ajustarse a la LOPD. III A la luz del Convenio Europeo para la protección de los derechos humanos y de las libertades fundamentales y de la jurisprudencia del Tribunal Europeo de Derechos Humanos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/14 sobre el artículo 8 del Convenio, se subraya que cualquier interferencia con el derecho a la protección de datos solo podrá autorizarse si es conforme a la Ley y es necesaria en una sociedad democrática, para proteger un interés público importante. Dos son las cuestiones fundamentales sobre la implantación de la huella dactilar: -Si con la utilización de la huella propuesta por la denunciada se cumple el principio de calidad de datos previsto en el artículo 4.1 de la LOPD. - Si es necesario el consentimiento de los titulares de los datos pese (artículo 6 de la LOPD) a ser un servicio de uso privado, abierto a los consumidores. El artículo 4.1 determina: “Los datos de carácter personal sólo se podrán recoger para su tratamiento, así como someterlos a dicho tratamiento, cuando sean adecuados, pertinentes y no excesivos en relación con el ámbito y las finalidades determinadas, explícitas y legítimas para las que se hayan obtenido.” Los datos biométricos solo pueden utilizarse si son adecuados, pertinentes y no excesivos, ello implica una evaluación estricta de la necesidad y de la proporcionalidad de los da tos tratados y de si la finalidad prevista podría alcanzarse de manera menos intrusiva. De este modo, si la finalidad perseguida en un determinado contexto puede ser lograda sin necesidad de llevar a cabo el tratamiento de un determinado dato, sin verse por ello alterada o perjudicada este fin, debería optar necesariamente por esta posibilidad, dado que el tratamiento de datos de carácter personal supone, tal como consagra el Tribunal Constitucional en su sentencia 292/200, una limitación del derecho del afectado a disponer de la información referida a su persona. Siguiendo la doctrina emanada por el Tribunal Constitucional, el cumplimiento del principio de proporcionalidad exigirá superar los principios de idoneidad, necesidad y proporcionalidad. Así, señala la Sentencia del Tribunal Constitucional 207/1996 que se trata de “una exigencia común y constante para la constitucionalidad de cualquier medida restrictiva de derechos fundamentales, entre ellas las que supongan una injerencia en los derechos a la integridad física y a la intimidad, y más en particular de las medidas restrictivas de derechos fundamentales adoptadas en el curso de un proceso penal viene determinada por la estricta observancia del principio de proporcionalidad”, añadiendo que “en este sentido, hemos destacado que, para comprobar si una medida restrictiva de un derecho fundamental supera el juicio de proporcionalidad, es necesario constatar si cumple los tres siguientes requisitos o condiciones: -si tal medida es susceptible de conseguir el objetivo propuesto (juicio de idoneidad). En cuanto a la idoneidad, el registro mediante huella dactilar consigue dicha finalidad de identificación/seguridad que la persona que accede es la que dice ser al poner el dedo en el lector y correlaciona su algoritmo o patrón registrado. También se ha de preguntar sobre la probabilidad de que el sistema sea eficaz para responder a la necesidad en cuestión de las características específicas de la tecnología biométrica que se va a utilizar. En este sentido se aprecia que los datos que se almacenan en una base de datos en un servidor, podrían estar guardados en una tarjeta que portara el socio, y así resultaría menos excesivo el tratamiento a que se ven sometidos, al figurar en poder del propio socio el sistema de autenticación completo. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/14 -si, además, es necesaria, en el sentido de que no exista otra medida más moderada para la consecución de tal propósito con igual eficacia (juicio de necesidad). En cuanto a si el sistema es necesario para responder a la necesidad identificada, o sea, si es esencial para satisfacer esa necesidad, y no solo el más adecuado o rentable, en este caso la denunciada no detalla aspectos que supongan la necesidad de la implantación del sistema, excepto la comodidad y la seguridad del uso por el propio titular, sin añadir datos o cifras adicionales en cuanto a supuesta inseguridad del sistema que hasta entonces existía, ni valora la inseguridad del hasta entonces existente, y ciertamente la comodidad no puede prevalecer sobre los derechos de los afectados. No se contiene pues ninguna referencia al anterior sistema de control de acceso al gimnasio, ni a las posibles deficiencias detectadas en este respecto a su eficacia y eficiencia para alcanzar la finalidad de control-acceso, pretendida y que pudieran supuestamente justificar la implementación de un sistema de control de acceso basado en el uso de datos biométricos. También se considera que existiendo alternativa para el acceso como finalmente ha determinado la denunciada, se cumple adecuadamente el juicio de necesidad al no considerar solo y exclusivamente la huella como medio de acceso. -y, finalmente, si la misma es ponderada o equilibrada, por derivarse de ella más beneficios o ventajas para el interés general que perjuicios sobre otros bienes o valores en conflicto (juicio de proporcionalidad en sentido estricto). En cuanto a la perdida de intimidad, se ha de ponderar que sea proporcional a los beneficios esperados. Si el beneficio es relativamente menor, como una mayor comodidad o un ligero ahorro, la perdida de intimidad no sería apropiada, se ha de considerar para evaluar la adecuación del sistema biométrico si hay un medio menos invasivo de la intimidad para alcanzar el fin deseado, por ejemplo, otros métodos que no recojan y centralicen datos en una base de datos para fines de autenticación o tarjetas inteligentes. El tratamiento del sistema de huellas para acceder a un establecimiento exige una especial atención a la proporcionalidad, no solo por el carácter excesivo en la recogida sino en la modalidad técnica para tratarlo reiteradas veces, es decir que el dato que figure en sus sistemas sea objeto de tratamiento en tanto resulte completamente imprescindible para el cumplimiento de la finalidad perseguida, la de autenticar la entrada al gimnasio. En este sentido se estima más adecuado para guardar la proporcionalidad y afectación mínima al derecho, que la base que confronta la introducción del dedo, el algoritmo o patrón fuera almacenado en una tarjeta que portara el socio por ejemplo. Se observa que el sistema se preocupa de la confidencialidad como la conversión de la huella a su patrón parcial, cabría plantearse si no sería posible aun una menor injerencia en el derecho fundamental a la protección de datos que se produce como consecuencia del hecho de que el algoritmo de la huella se incorpore al sistema, permaneciendo en el mismo en tanto socio del gimnasio dado que en caso contrario no sería posible la verificación en tiempo real del uso de acceso a la instalación. El mismo objetivo podría lograrse si se estableciera un sistema de control de acceso que sin perjuicio de aplicar medidas de control biométrico, permitiera que el propio dato biométrico o el algoritmo, permaneciese bajo el control del usuario y no fuera incorporado al sistema o base de datos. De ese modo, sería posible que la verificación se llevase a cabo a partir de un dispositivo o tarjeta que portase el socio, de forma que el sistema únicamente almacenase la información referida al uso o no uso de accesos, sin que en ningún momento reflejase el algoritmo de la huella. De este modo, recogiéndose el patrón en la misma tarjeta que porte el socio, para acceder a las instalaciones, solo tendría que utilizar la tarjeta y al propio tiempo posicionar su huella sobre el lector, garantizando la identificación basada en un doble aspecto: algo que el socio es: su huella que ha de implantar y algo que tiene: la tarjeta que autentica su huella que lleva el algoritmo, evitando almacenar datos en una base de datos responsabilidad de la denunciada. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/14 Tomando en consideración lo que se ha venido indicando y el supuesto de los hechos denunciados consistentes en el tratamiento de los datos de reconocimiento de huella de usuarios de gimnasio para control de acceso por su titular, que en principio se consideraba obligatorio proporcionar, sin alternativa, según se deduce del contrato, y siendo entonces el único medio de acceder, cabría considerar que se implementó y utilizaron los datos de forma no proporcionada y excesiva en relación con el ámbito y las finalidades determinadas. IV En cuanto a la alegación de la denunciada de que en todo momento ha habido alternativa en el modo de entrar al gimnasio, lo cierto es que existía un contrato para el que era obligatorio dar la huella aceptándose el contrato con la misma que servía además para el acceso de los usuarios. En el mismo contrato se indicaba adicionalmente la obligación de mostrar el DNI, a requerimiento de los empleados tanto a la entrada como durante su estancia, no se menciona dicho medio como que sirviera para acceder al mismo, como si se hace con la huella. En todo caso, bajo dicho contrato se recogieron datos de huella de socios, como lo corrobora el hecho de que se les ha mandado una circular por si quieren dejar de usarla. Además, el denunciante expresamente dice en su denuncia que “ya están exigiendo el DNI para acceder mientras ponen operativa la huella dactilar como forma de acceso”, lo que significa que de momento y así lo manifiesta, el entra con el DNI, pues él ya es socio, estando entonces en marcha el sistema de la recogida de la huella. La reducción de la actual clausula novena que indica: “NOVENA.- Todos los/as socios/as están obligados a mostrar el D.N.I a requerimiento de los empleados/as del centro, tanto a la entrada como durante su estancia en el recinto” junto con lo que se indica a continuación en la misma “A la aceptación del contrato se requerirá a cada socio/a que lo desee la lectura de los parámetros biométricos de su huella digital que se empleará para su entrada y salida de los centros, a través del mecanismo previsto para ello” literalmente indica que los socios que accedan con la huella en caso de optar por la misma, también están obligados a mostrar el DNI, pues no dejan de ser socios y así está redactado. Por otro lado, parece que la mera exhibición del DNI no es suficiente si no se comprueba con algún otro mecanismo si se es socio o no para permitir el acceso, sin que se detalle cual sea este. Por otra parte la redacción de la primera clausula referida a los accesos distingue entre acceso general o acceso de socios: “SEXTA.- El acceso al centro se realizará mediante el DNI o si el socio lo desea mediante el patrón biométrico”, pareciendo que las personas que acceden ocasionalmente lo han de hacer con el DNI, lo que parece adecuado.2. En definitiva, ha habido un periodo en el que los datos solo se recababan a través de la huella, sin opción, de modo que los nuevos socios lo eran por dar dicho tipo de dato al que eran obligados según el contrato, sin que ello signifique que los anteriores socios no usaran el DNI, pero no se aprecia que fuera un uso alternativo. Se corrobora además que existen socios que dieron dichos datos bajo la redacción originaria del contrato, al indicar la denunciada que se mandaron circulares para que pudieran revocar el consentimiento. V C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/14 La infracción aparece tipificada como grave en el artículo 44.3.
  3. c)de dicha norma, que considera como tal:” Tratar datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en el artículo 4 de la presente Ley y las disposiciones que lo desarrollan, salvo cuando sea constitutivo de infracción muy grave.”. VI A efectos de una evaluación de la cuantía de la sanción a imponer se reproducen el artículo 45.1.2, .4 y .5 de la LOPD, que señalan: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros.” “4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  4. a)El carácter continuado de la infracción.
  5. b)El volumen de los tratamientos efectuados.
  6. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  7. d)El volumen de negocio o actividad del infractor.
  8. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  9. f)El grado de intencionalidad.
  10. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  11. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  12. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  13. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  14. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  15. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  16. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  17. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/14
  18. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.” En el acuerdo de inicio se indicaba: “En el presente caso, la denunciada es una entidad que contempla en los contratos la información sobre la recogida de datos de la huella dactilar (45.4.
  19. j)considerando que la recogida y uso de la huella es para la oferta o prestación de un servicio y que el grado de intencionalidad es relativo, pretendiéndose la puesta en servicio de dicho sistema de acceso (45.4 f.) se considera que procede aplicar el artículo 45.5.
  20. a)de la LOPD que permite la graduación de la sanción en el grado inferior, de las multas por infracciones leves. Asimismo, de conformidad con las evidencias de las que se dispone en el presente momento, y sin perjuicio de lo que resulte de la instrucción, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el art. 45.4 de la LOPD. -La implantación del sistema sin alternativa en el inicio, y operativo desde que se toman las huellas para los usuarios que implica una continuación en la infracción, (45.4.
  21. a)de la LOPD. - No son relevantes los beneficios obtenidos como consecuencia de la infracción pues ha invertido en la operativa del sistema de tratamiento de la huella (45.4. e). - Se trata de dos tipos de datos: DNI y huella (45.4.j)” Como consecuencia de los factores señalados para concretar la infracción, se considera que en base a los criterios expuestos, procede una sanción de 10.000 euros. La denunciada solicita que se reduzca la cuantía por haber implementado cambios en el contrato y haber enviado una circular informativa a los que ya habían dado los datos, no existía intencionalidad, ni se pretendía beneficio alguno. La ausencia de intencionalidad resulta secundaria ya que este tipo de infracciones normalmente se cometen por una actuación culposa o negligente, lo que es suficiente para integrar el elemento subjetivo de la culpa. Desde el punto de vista material, la culpabilidad consiste en la capacidad que tiene el sujeto obligado para obrar de modo distinto y, por tanto, de acuerdo con el ordenamiento jurídico. Por tanto, lo relevante es la diligencia desplegada en la acción por el sujeto, lo que excluye la imposición de una sanción, únicamente en base al mero resultado, es decir al principio de responsabilidad objetiva. A este respecto, el Tribunal Supremo viene declarando como en la Sentencia de 13/04/2005 -recurso nº. 241/2003 -, que es exigible a las entidades que operan en el mercado de datos de datos de carácter personal una especial diligencia a la hora de llevar a cabo el uso o tratamiento de tales datos o su cesión a terceros. Y ello porque, siendo el de la protección de los datos personales un derecho fundamental (STC 292/2000, de 30/11), los depositarios de esos datos -más aún cuando se trata de empresas habituadas o dedicadas específicamente a la gestión de datos de carácter personal deben ser especialmente diligentes y cuidadosos a la hora de realizar operar con ellos y deben optar siempre por la interpretación más favorable a la protección de los bienes jurídicos protegidos por la norma. La falta de beneficios obtenidos ya ha sido tenida en cuenta. No obstante se debe añadir la puesta en marcha de los envíos de la circular informativa y la forma de implementar la revocación del dato huella, así como la alternativa que se ofrece en el contrato (45.4.j de la LOPD), por lo que se impone una sanción de 7. 500 euros. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/14 Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad SCHOOL FITNESS HOLIDAY & FRANCHISING, S.L.U. con NIF b82887514, por una infracción del artículo 4.1 de la LOPD, tipificada como grave en el artículo 44.3.
  22. c)de la LOPD, una multa de 7.500 €, de conformidad con lo establecido en el artículo 45.1, 4 a),
  23. e)y
  24. j)y 5.
  25. a)de la citada LOPD. SEGUNDO: NOTIFICAR la presente resolución a SCHOOL FITNESS HOLIDAY & FRANCHISING, S.L.U.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
  26. b)de la ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas,(LPACAP) en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29707, en relación con el art. 62 de la Ley 58/2003, de 17712, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30/12, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22/12, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21712. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/14 Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13/07, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  27. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contenciosoadministrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada LPACAP. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.