← España

PS-00068-2021

1/16  Expediente Nº: PS/00068/2021 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 10/09/2019, A.A.A. (en adelante, la reclamante) cumplimentó una hoja de reclamaciones y a instancia del Servicio de Consumo es trasladada a esta AEPD, teniendo entrada el 23/10/2019. Los motivos en que basa la reclamación son que para acceder al recinto de ocio, con colchonetas, trampolines y camas elásticas “URBAN PLANET”, Vigo, (actividad según la web de parque ubicados en distintas localidades de España) se solicitan una cantidad de datos desproporcionados, DNI y fotografía. Junto a la reclamación aporta: -Copia de hoja de reclamaciones de 10/09/2019 en la que TURIA OCIO Y COMERCIO SL (CIF B 88334222) anotó como alegaciones que la persona que entra en URBAN PLANET debe estar registrada previamente con los datos que se solicitan por la seguridad de cada uno de los usuarios. “Siempre ofrecemos la posibilidad de que, al salir de nuestras instalaciones, se borren todos los datos proporcionados”. -Impresión de pantalla (plataforma de datos) de la hoja de registro y recogida de datos personales en la que a primera vista no se ve la titularidad del responsable figurando dos apartados, para marcar, uno de “He leído y acepto la política de privacidad, leer”, y otro de “He leído y aceptado el waiver”. En la recogida figuran como obligatorios los campos con asterisco siguientes: nombre y apellidos, DNI, fecha de nacimiento, dirección, código postal ciudad provincia, teléfono móvil, correo electrónico, contraseña y foto (“usa la cámara o añade una foto de tu cara desde tu dispositivo”). En la parte superior izquierda, el impreso lleva el literal “Tus datos”, en la de abajo “finalizar registro”. -Ticket del servicio, de 10/09/2019, con datos de URBAN PLANET, dirección c Miradoiro, en el que figura el mismo CIF que el de TURIA OCIO Y COMERCIO SL., tienda.urbanplanetjump.es/online. SEGUNDO: A la vista de los hechos denunciados en la reclamación y de los documentos aportados por la reclamante de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la Ley Orgánica 3/2018, de 5/12, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), se traslada la reclamación a TURIA OCIO Y COMERCIO S.L. y a URBAN PLANET ENTERTAINMENT SL, en ambas se accedió a contenido del envío el 4/12/2019. TERCERO: Con fecha 2/01/2020 TURIA OCIO Y COMERCIO S.L., desde la dirección c/ Rafael Botí 2 de Madrid, manifiesta que han recibido “dos escritos aparejados a la sede social de URBAN PLANET ENTERTAINMENT SL y a TURIA OCIO Y COMERCIO SL pero ambos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/16 derivan del mismo en número de referencia y por los mismos hechos”. En la respuesta que se da, lleva el literal URBAN PLANET ENTERTAINTMENT SL, y debajo la dirección web www.urbanplanet.es, responde el representante legal de URBAN PLANET ENTERTAINMENT SL, con un CIF distinto del de TURIA OCIO, y sede social calle Rafael Boti, 2 de Madrid, “y de su sucursal TURIA OCIO Y COMERCIO SL cuya sede administrativa se encuentra en centro comercial Gran Vía de Vigo planta dos, local 226, rúa Miradoiro 2 de Vigo”. Indica que URBAN PLANET ENTERTAINMENT es el responsable del tratamiento (en lo sucesivo el reclamado). Aporta en formato electrónico, junto al hash de contestación, cuatro más denominados documento 1 al 4 a los que se refiere en sus explicaciones. Manifiesta: 1) Respecto a la decisión adoptada a propósito de la reclamación, la principal ha sido actualizar los procesos de registro a sus diferentes parques para homogenizar y centralizar la información que se dispensa al usuario “para que sea accesible de varias maneras. “ Existe un “paso previo” al acceso a las instalaciones de la empresa en el que el usuario ha de registrarse como se aprecia en DOCUMENTO 1 que aporta, formulario de registro, que se debe cumplimentar con: nombre y apellidos DNI dirección teléfono correo electrónico fecha de nacimiento y fotografía. Coincide con el aportado por la reclamante como “hoja de registro”, en su parte superior izquierda figura “Tus datos ¿Ya estas registrado? Se ha de marcar también el apartado de política de privacidad. “Los datos que constan en el cuestionario se describen en la política de privacidad, siendo condición necesaria conocer y haber leído la política de privacidad.” 2) Sobre las causas que han motivado la incidencia que origina la reclamación manifiestan “No consideramos excesiva la cantidad de datos”, pues la finalidad estriba en identificar con exactitud a quien acceda a los centros de ocio. La verificación de la identidad es para evitar posibles casos de suplantación, siendo la recogida de la imagen idónea para conseguir el objetivo e identificarles, y no es muy onerosa. También, como medio facilitador de defensa del usuario frente a otros y frente al reclamado, como forma de acreditar el estado físico en el que se encuentran los usuarios dentro del recinto o para el caso de que alguien que se lesione fuera de las instalaciones, acuda personalmente al parque para alegar que la lesión fue producida dentro de las instalaciones, se procede a un REGISTRO PREVIO DEL USUARIO. Aporta documento 2 en el que figura un registro con “Clientes-Administración de clientes” que recoge los datos de nombre y apellidos, en este caso de la reclamante, el e mail, la fecha de la visita al centro de ocio y la denominación o nombre de este centro. Añade que en la práctica es un requisito opcional pues “en los parques” si el usuario manifiesta su disconformidad con la toma de la foto, el registro termina efectuándose igual con la toma de la foto en otra dirección, o con la toma de una foto en la que realmente el usuario no queda retratado como fue el caso de la reclamante. 3) Sobre las medidas adoptadas para evitar que se produzcan incidencias similares fechas de implantación y controles efectuados para comprobar su eficacia, manifiestan en aplicación del principio recogido en el artículo 5 del RGPD, con el fin de que se “rectifiquen los daC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/16 tos que sean inexactos con respecto a los fines para los que se tratan” , y “tomando una medida de responsabilidad proactiva” “han modificado la actividad de tratamiento a la que van afectados los datos recogidos, que antes se denominaba “aceptación de normas para acceso a parques y uso de instalaciones” (aporta copia de documento 4) y que ahora se separa en varias actividades de tratamiento (aporta copia de documento 3). En documento 4, situación anterior, aporta documento de “consentimiento explícito para el tratamiento de datos” en el que figuran espacios para firmar y completar los apartados: nombre y apellidos, NIF, dirección, teléfono. “El interesado autoriza la recogida de información de datos de carácter personal de las siguientes actividades de tratamiento: registro para acceso a parques y uso de instalaciones y cuya ubicación se encuentra en ww.urbanplanetjump.es”. La finalidad de la recogida y tratamiento de la información “es el registro de datos para acceso al disfrute de los parques, venta online, aceptación de normas de uso y aceptación de videograbaciones a efectos de seguridad en las instalaciones. Comunicaciones administrativas a través de WhatsApp, SMS y correo electrónico . “La tipología de los datos del interesado que serán tratados por el responsable son nombre y apellidos, NIF, DNI, NIE, teléfono, dirección, imagen voz, correo electrónico, contraseña, número de pasaporte, edad”. En documento 3, aporta las cláusulas informativas que responden a distintas actividades de tratamiento, siendo en todos ellos el responsable del tratamiento el reclamado, y su base de legitimación el consentimiento. Se trata de: - Actividad de tratamiento de “aceptación de uso de instalaciones cuya ubicación se encuentran urbanplanetjump.es”, “la finalidad de la recogida y tratamiento de la información del interesado es la de informar del uso correcto de las instalaciones y de videograbación a efectos de seguridad”, recogiendo “nombre y apellidos, firma”. - “Registro para el acceso a parques” cuya ubicación se encuentra en “urbanplanetjump.es”, siendo la finalidad de la recogida y el tratamiento la del “registro de datos para acceso al disfrute de los parques, registro de fotografía para identificación del usuario, videograbación a efectos de seguridad en las instalaciones” indicando que los datos que se recogen son nombre y apellidos NIF, DNI, dirección, imagen voz, correo electrónico, contraseña, número de pasaporte, edad. -“venta online en página web ”siendo la finalidad de la recogida y tratamiento la de “gestión de venta en línea de entradas”. La tipología de datos del interesado que serán tratados son nombres y apellidos, NIF, DNI, teléfonos, dirección, correo electrónico, fecha de nacimiento. - “envío de newsletter”, con finalidad de publicidad y prospección comercial, tratándose datos de nombre y apellidos, NIF, DNI, NIE, teléfonos, dirección, correo electrónico. CUARTO: Con fecha 30/03/2020 la reclamación es admitida a trámite. QUINTO: Con fecha 24/03/2021 la directora de la AEPD acordó: “INICIAR PROCEDIMIENTO SANCIONADOR a URBAN PLANET ENTERTAINMENT S.L., con NIF B-87223822, por la presunta infracción del artículo 5.1.

  1. c)del RGPD, de conformidad con el artículo 83.5.
  2. a)del RGPD y el 72.1.
  3. a)de la LOPDGDD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/16 “a los efectos previstos en el art. 64.2
  4. b)de la ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas, la sanción que pudiera corresponder sería de apercibimiento.” Notificado el acuerdo, no se reciben alegaciones. SEXTO: Se efectúa el 7/10/2021 una diligencia de acceso a la web del reclamado y se imprime la política de protección de datos y privacidad. SÉPTIMO: Con fecha 8/10/2021 se inicia un periodo de práctica de pruebas, incorporando la de actuaciones de trámite previas al acuerdo de inicio, y la diligencia de 7/10/2021 de acceso a la web del reclamado, aviso legal, política de privacidad y datos de carácter personal. Además se decidió solicitar a reclamado: 1. Copia del registro de actividades del tratamiento actualizada, desde mayo 2018, explicando si ha habido variaciones, fechas y explicación de los motivos. Con fecha 28/10/2021 se recibe respuesta, aportando el documento 1 el registro de actividades de tratamiento. Con relevancia para el acceso, la relación de las actividades creadas en el año 2018, son: - CONTACTOS VÍA WEB -VIDEOVIGILANCIA -ACEPTACIÓN DE NORMAS PARA ACCESO A PARQUES Y USO DE INSTALACIONES. La “actividad de tratamiento aceptación de normas para acceso a parques y uso de instalaciones resultaba una finalidad muy extensa y fue objeto de separación en las modificaciones de 2019. La relación de las actividades creadas o modificadas en el año 2019-2020 son: - ACEPTACIÓN DE USO DE INSTALACIONES-alta 30/12/2019 - REGISTRO PARA ACCESO A PARQUES - VENTA ON LINE EN PÁGINA WEB-alta 27/12/2019 2. Motivo por el que en su página web, en aviso legal, protección de datos y política de privacidad, no figura mención a la actividad de tratamiento de: “Registro para el acceso a parques” finalidad “registro de datos para acceso al disfrute de los parques, registro de fotografía para identificación del usuario, videograbación a efectos de seguridad en las instalaciones” indicando que los datos que se recogen son nombre y apellidos NIF, DNI, dirección, imagen voz, correo electrónico, contraseña, número de pasaporte, edad. Manifiesta que actualmente está en proceso de actualización y depende de los parques se realiza de una u otra forma, pone los ejemplos de Alicante en el que al efectuar la compra on line, es cuando se han de proporcionar los datos. Seleccionando el centro y el número de entradas y hora lleva a otra pantalla que indica según la copia que aporta “Completa los siguientes campos para finalizar tu compra” “Tus datos ¿ya estas registrado?: e mail, nombre y apellidos, teléfono móvil: NO se contiene apartado alguno referente a foto. Existe una casilla de “he leído y aceptado la política de privacidad”” que si se clica lleva a la información C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/16 de dicho tratamiento, viéndose el pliego de información que se ha de aceptar, y al final una casilla con “acepto”, conteniendo el pliego: “deber de informar sobre el tratamiento, sobre “la relación de actividades de tratamiento registro para acceso a parques”, figurando que “se registra la fotografía para identificación del usuario, Videograbación a efectos de seguridad en las instalaciones “, y además ·teléfono, dirección, correo electrónico, NIF,” La base jurídica del tratamiento, el consentimiento inequívoco. Añade que en del parque de Las Rozas “el aviso de política de privacidad remite al aviso legal y “ la aceptación de uso de normas se realiza o a través del ordenador o en el parque a través de un código QR. “ 3. Motivo por el que en relación a su página web, en aviso legal, protección de datos y política de privacidad, actividad de tratamiento de - “registro para acceso a parques y uso de instalaciones”, en sus alegaciones ponen que recogerán nombre y apellidos, firma y en la web figura que se recoge imagen. El tratamiento de “registro para acceso a parques y uso de instalaciones”, es producto del desglose de actividades de tratamiento producido en 2019 2020. Ahora se trata de “registro para acceso a parques”, y en la de “aceptación de uso de las instalaciones”. En ambas consta que se recoge la imagen. También antes de desglosarse se recogía la imagen. 4. Detallen en qué momento se produce y por qué medio la recogida de datos para el tratamiento de la “aceptación de uso de instalaciones”, que documentos o instrucciones se dan para informar a los usuarios, y porque es necesario tratar según figura en la web: Nombre y apellidos; Imagen; Firma; Metadatos de conexión; teléfono móvil. Manifiesta que “la imagen actualmente no se está recogiendo. “Actualmente se recogen los datos a través del ordenador, si se hace desde casa o en los centros que disponen de código QR para hacerlo a través de los teléfonos de los clientes y que llevan a una URL de registro. Por ello se incluye al nombre y apellidos los metadatos de conexión, teléfono móvil, datos necesarios para saber quién es la persona que entra en el centro, quien reserva un cumpleaños, a quien acudir en caso de precisar su ayuda etc.” “Anteriormente se solicitaban a través de unas tablets que se disponían en el mostrador de recepción” “En los centros también existen carteles donde se indican las normas de uso”. 5. En que se distinguen el tratamiento de “registro previo de clientes para acceder a instalaciones”, del tratamiento que figura en su web de “aceptación de uso de instalaciones”, y si este ya existía cuando suceden los hechos. En sus alegaciones al traslado de la reclamación no indican el nombre de “aceptación de uso de instalaciones”. La actividad de tratamiento “registro para acceso a parques” “tiene por objeto el registro del interesado para saber quién es la persona que entra en el centro, quien reserva un cumpleaños etcétera, y es un requisito previo antes de acceder a las instalaciones y para evitar reclamaciones indebidas, es puntual se hace cada vez que se entra a un parque.” La actividad de tratamiento denominada “aceptación de uso de instalaciones”, supone la aceptación de las normas de uso y una vez realizada es válida para todos los parques. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/16 “Estas dos actividades se crearon a raíz de nuestro escrito de contestación a las alegaciones de 30 de diciembre de 2019 como medida de responsabilidad proactiva pero siempre ha habido un registro obligatorio donde se aceptaban el uso de las instalaciones.” 6. Sobre el documento que, en el momento de suceder los hechos, era utilizado para el “registro para acceso a parques y uso de instalaciones, documento 1 que ustedes aportaron, en cuya cabecera izquierda superior consta con: “Tus datos ¿ya estas registrado?” señale las formas de cumplimentarlo: antes de acudir al local, en la web o en el local, y como se obtenía la fotografía que se solicitaba, y si se sigue solicitando. También, si ese registro es el que se refiere o coincide con el de la “aceptación de uso de instalaciones”, ¿dónde constaban las condiciones generales de uso de instalaciones o como se daban por aceptadas las condiciones de uso de instalaciones dado que en ningún documento, 1 o 2 que aportaron en traslado de reclamación se señala que se trata de esta especificidad?, remitiendo solo al apartado de la política de privacidad. Manifiesta que “el documento se podía cumplimentar a través de la web o en el local a través de una Tablet. La fotografía se tomaba en el local a través de la tablet que se usaba para el registro. Actualmente no se solicita la fotografía. En el mismo registro, además de aparecer la política de privacidad aparecen las normas de uso. Además, en el centro se tienen carteles donde se indican también las normas de uso”. 7. ¿Porque se precisan registrar datos personales para aceptar el uso de instalaciones?, sí ¿no sería suficiente con la lectura y marcado de las mismas en el momento de cumplimentar el registro para el acceso? Qué relación guarda esta finalidad con la cesión a entidades aseguradoras y porque figura como cesión en ambas actividades de tratamientos. “Se solicitan datos personales para aceptar el uso de instalaciones ya que una vez aceptadas las normas te permiten acceder a cualquier parque”. “En cuanto a las actividades registro para acceso a parques se realiza cada vez que se va a un parque ya que es necesario para saber quién es la persona que entra en el centro, quien reserva un cumpleaños u otro evento a quién acudir en caso de precisar de su ayuda si por ejemplo es un padre el que se ha registrado es de ayuda para poder localizarle en caso de ser necesario. En cuanto a los destinatarios constan entidades aseguradoras ya que es el seguro al que se encarga de revisar y analizar las causas de un posible accidente y determinar la posible culpa o detectar algún material roto o incidencia en las instalaciones y se ha incluido como destinatarios en las más actividades”. 8. Aunque en el procedimiento nada se solicitó sobre la toma de imágenes por videovigilancia de las personas captadas cuando acceden a las instalaciones, se solicita que detallen la finalidad de la recogida de las imágenes, el tiempo que guardan las imágenes, y si son utilizadas para casos de reclamaciones por accidentes. Número de casos que han tenido. Manifiesta que “el sistema de videovigilancia enfoca a la zona de juegos y se usa para recoger información sobre accidentes. Las imágenes se guardan por un periodo de 10 días. Su C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/16 finalidad figura recogida en la actividad de tratamiento denominada “registro para acceso a parques” donde consta entre otras videograbación a efectos de seguridad en las instalaciones. Indican que llevan un control de cada caso, pero no una suma total de casos. 9. Si se ha eliminado la petición de la imagen, fotografía, la recogida de “DNI”, “dirección” y del “correo electrónico” para el tratamiento del documento 1, ya que en este literal informativo obtenido el 7/10/2021 no consta en la web en política de privacidad y datos personales la actividad de “registro de clientes para accesos.”, y ¿porque se sigue exigiendo la fotografía si existe videovigilancia desde el momento en que se accede.? Manifiesta que actualmente no se exige la fotografía a los interesados. En un principio por recomendación del seguro se solicitaba, pero posteriormente se optó por no recoger ese dato. 10. Si al acceder al centro de ocio, con los tickets adquiridos en la web, se solicita la presentación del DNI al entrar. Indica que “se solicita el número del DNI para verificar el registro previo realizado por el usuario una vez que entra en el parque”. 11. En cuanto a la recogida de datos como registro del usuario, documento 1, que indican que también es necesaria la recogida de la imagen, fotografía para garantizar la seguridad del usuario y del resto para garantizar que las personas “entran al parque e inician la actividad en plenitud de capacidades físicas” ”nadie pueda esgrimir que otro entró al recinto con lesiones adquiridas con el objetivo de evitar las posibles responsabilidades que se derivan de un uso negligente de las instalaciones contra otros usuarios y contra la reclamada”, es decir cuestiones de responsabilidad por accidentes, lesiones etc., sin embargo no informan de dicha finalidad, detallando si es así, la necesidad y los motivos. Tras recibir el traslado de la reclamación, en sus alegaciones precisaron que la actividad de tratamiento denominada entonces “aceptación de normas para acceso a parques y uso de instalaciones” se desglosó en otras cuatro actividades de tratamiento. En la nueva de “registro para acceso a parques”, se incluyó “como finalidad entre otras: “registro de fotografía para identificación del usuario”. En la actividad denominada “aceptación de uso de instalaciones”, se recoge como finalidad: “Informar del uso correcto de las instalaciones y de la videograbación a efectos de seguridad”. “Se informa a través del documento de uso de normas obligatorio para todos los clientes, de firma obligatoria cuando entras por primera vez a un centro y donde indica la exoneración de responsabilidad en caso de incumplir las normas”. 12. De que forma se informa a los afectados sobre cuestiones relacionadas con accidentes o lesiones producidas en el desarrollo de la actividad, exenciones de responsabilidad, causas de exención etc. “Se informa a través del documento de uso de normas obligatorio para todos los clientes, de firma obligatoria cuando entras por primera vez a un centro y donde indica la exoneración de responsabilidad en caso de incumplir la norma” OCTAVO: Con fecha 11/11/2021 se emite propuesta de resolución, del literal: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/16 “Que por la Directora de la Agencia Española de Protección de Datos se sancione a URBAN PLANET ENTERTAINMENT S.L., con NIF B87223822, por una infracción del artículo 5.1.
  5. c)del RGPD, con apercibimiento.” Frente a la misma alegaciones. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS 1) El reclamado se dedica a ofertar en parques de ocio por España actividades con colchonetas, trampolines y camas elásticas, contando con diversas sedes. En el momento de suceder los hechos,10/09/2019, el reclamado tenía implantada una actividad de tratamiento denominada “registro para acceso a parques y uso de instalaciones, cuya finalidad constaba como: “Registro de datos para acceso al disfrute de los parques, venta online, aceptación de normas de uso y aceptación de videograbaciones a efectos de seguridad de las instalaciones. Comunicaciones administrativas a través de whatsapp, sms y correo electrónico”. En documento 1 de recogida de dicho tipo de datos que aportó la reclamante, figuraba en la cabecera izquierda superior: “Tus datos ¿ya estas registrado?” que se podía cumplimentar por el usuario “a través de la web o en el local a través de una Tablet”. Era imprescindible rellenar el registro antes de acceder a la actividad, a las instalaciones. Los datos que había que cumplimentar como obligatorios, marcados con asterisco eran los de: nombre y apellidos DNI dirección teléfono, correo electrónico, fecha de nacimiento y fotografía. La fotografía se tomaba en el local a través de la tableta que se usaba para el registro. En el mismo registro, además, aparecía la política de privacidad y las normas de uso. En el centro se exhiben carteles donde se indican también las normas de uso. No obstante, los registros de actividad de tratamiento, manifestó el reclamado en el traslado de la reclamación, que la finalidad de la recogida de la foto del usuario era su identificación inequívoca al acceder, con el fin de evitar suplantaciones, caso de lesiones en la actividad (correlación nombre y datos tomados, mas la foto, coadyuva a la precisión en caso de incidente o lesión) así como “la seguridad en las instalaciones”. Añade el reclamado que, en la práctica, el requisito de la foto era opcional y que cuando el usuario manifestaba su disconformidad no se implementaba, “como fue el caso de la reclamante”, que “decidió poner la mano delante de la cámara en el proceso”, y no se le impidió el acceso. No les figura imagen de la misma en sus ficheros. 2) Tras el traslado de la reclamación, el 2/01/2020, el reclamado precisa que la actividad de tratamiento denominada hasta entonces: “aceptación de normas para acceso a parques y uso de instalaciones” pasa a diferenciarse y desglosarse, en cuanto a datos necesarios para el acceso a realizar la actividad, en: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/16 - “registro para acceso a parques”, se recogen en cada ocasión que se accede a un parque a realizar una actividad. Los datos que se indica se recaban son: Nif / DNI. / Nie; Teléfono; Dirección; Imagen, fotografía /voz; Correo electrónico; Contraseña; Nº de pasaporte; Edad. La fotografía para “identificación del usuario”, finalidad “para el acceso al disfrute de los parques, “registro de fotografía para identificación del usuario”. En algunos parques como el de Alicante, los datos se completan cuando se compran las entradas en la web, si bien tiene la opción que pregunta sí ya estas registrado. Se contienen los datos a rellenar, entre los que no se menciona la fotografía. En la misma compra lleva a “he leído la política de privacidad”, que clicando se lee la información de esta actividad de tratamiento donde se vuelve a indicar que “se registra la fotografía para identificación del usuario”. El reclamado indicó tras el acuerdo de inicio que la foto ya no se exige. Ante la manifestación del reclamado de que “En cuanto a las actividades registro para acceso a parques se realiza cada vez que se va a un parque ya que es necesario para saber quién es la persona que entra en el centro, quien reserva un cumpleaños u otro evento a quién acudir en caso de precisar de su ayuda si por ejemplo es un padre el que se ha registrado es de ayuda para poder localizarle en caso de ser necesario.”, se observa ,no obstante, que en la compra de entradas en web, con reserva de día y hora figuran datos a cumplimentar que en ningún momento se deduce que sea la persona o sujeto que va a participar en la actividad, o tenga que ser él el que participe en la misma. Si compra varias entradas tampoco queda claro la identificación del sujeto que va a usar las entradas. -“aceptación de uso de instalaciones”, se recoge como finalidad: “Informar del uso correcto de las instalaciones y de la videograbación a efectos de seguridad”. Supone la aceptación de las normas de uso y una vez realizada es válida para todos los parques. Tras el acuerdo de inicio, el reclamado manifestó que para este tratamiento no se está recogiendo la imagen. Las normas de uso de instalaciones figuraban en la política de privacidad, y se podría producir en el mismo instante en que se accedía a la instalación, junto con la recogida del “registro para acceso a parques” 3) Además, el reclamado tiene en el interior de sus instalaciones un sistema de videovigilancia que enfoca a la zona de juegos y se usa para recoger información sobre accidentes. Las imágenes se guardan por un periodo de 10 días. Su finalidad figura recogida en la actividad de tratamiento denominada “registro para acceso a parques” donde consta entre otras “videograbación a efectos de seguridad en las instalaciones.” Indican que “llevan un control de cada en supuesto de reclamación por accidentes en caso de que se derive responsabilidad en el desarrollo de la actividad.” 4) El reclamado indicó tras el acuerdo de inicio que la foto que se exigía antes en cada ocasión que se accedía a un parque, integrante del tratamiento “registro para acceso a parques” ya no se exige. En un principio, se recogía por recomendación del seguro. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/16 5) Preguntado el reclamado si al acceder al centro de ocio, con los tickets adquiridos en la web, se solicitaba la presentación del DNI, indicó en pruebas que “se solicita el número del DNI para verificar el registro previo realizado por el usuario una vez que entra en el parque”. 6) El reclamado informa a los clientes sobre cuestiones relacionadas con accidentes o lesiones producidas en el desarrollo de la actividad, exenciones de responsabilidad, causas de exención etc. a través del documento de normas de uso, “obligatorio para todos los clientes”, de firma obligatoria cuando se accede “ por primera vez a un centro y donde indica la exoneración de responsabilidad en caso de incumplir la norma” “En los centros, también existen carteles donde se indican las normas de uso”. La información de normas de uso obligatorio que se da en los carteles puede tener relación con la actividad de tratamiento denominada “aceptación de uso de instalaciones”, que supone la aceptación de las normas de uso y una vez realizada es válida para todos los parques, si bien se recogían datos para ello, entre ellos la imagen. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los arts. 47 y 48.1 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para resolver este procedimiento. II Se imputa al reclamado que infringe el artículo 5.1.
  6. c)del RGPD, que dispone: “Los datos personales serán:
  7. b)adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»); La “Guía práctica de análisis de riesgos en los tratamientos de datos personales sujetos al RGPD” publicada por la AEPD en su epígrafe 3, “ Protección de Datos desde el diseño y la gestión de riesgos cuál debe ser la ruta a seguir? Apartado: “definición y diseño de actividades de tratamiento”, reproduce, sobre la actividad de tratamiento: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/16 “La definición de una actividad de tratamiento es un paso fundamental que requiere tener claro cuáles son las finalidades del tratamiento de datos personales. Corresponde a cada organización, de acuerdo al principio de responsabilidad proactiva (accountability), decidir el nivel de agregación o segregación para elaborar el registro de actividades de tratamiento y deberá valorar hasta qué punto esa agregación o segregación corresponde con finalidades, bases jurídicas y grupos de individuos distintos. Asimismo, corresponde ponderar, como se hizo con anterioridad a la hora de definir ficheros, la optimización de la gestión de la protección de datos dentro de su organización para que esta resulte útil, ágil, efectiva y permita alcanzar los objetivos que la legislación busca: que los individuos cuyos datos son objeto de tratamiento puedan tener, en su caso, un conocimiento efectivo de los tratamientos que la organización realiza sobre ellos. Una vez incorporadas al registro de tratamientos de la entidad todas aquellas actividades que corresponden al trabajo o funciones que esta realiza sobre los datos de carácter personal de los colectivos de personas que maneja, deberá fijarse en las nuevas obligaciones que el RGPD describe sobre el responsable del tratamiento y el encargado de tratamiento. ¿Suponen estas nuevas obligaciones la generación de nuevas actividades de tratamiento que deban ser descritas e incorporadas al registro de actividades? El RGPD establece en el artículo 5 los siguientes principios relativos al tratamiento de datos personales que es necesario considerar Minimización de datos: Los datos deben ser adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados. Adicionalmente, el artículo 5 del RPGD establece que el responsable del tratamiento deberá garantizar el cumplimiento de los principios relativos al tratamiento, así como, la figura responsable de demostrarlo. Por tanto, es fundamental definir adecuadamente las actividades de tratamiento y documentar los análisis realizados, así como, dejar trazabilidad de los mismos y de las conclusiones que los soportan para poder garantizar la responsabilidad proactiva.” Sobre el principio de necesidad de tratamiento de datos de carácter personal cabe decir que cualquier tratamiento de datos implica per se y de partida, la restricción del derecho fundamental, al producirse la recogida y disposición de los mismos por parte del responsable que va a operar con ellos. Según la jurisprudencia, por la afectación que el tratamiento de datos personales supone para una serie de derechos fundamentales, la limitación del derecho fundamental a la protección de datos personales debe ser la estrictamente necesaria. Ello implica que si la consecución de los fines previstos puede realizarse sin tratamiento de datos personales, será preferible esta vía y supondrá que no es necesario llevar a cabo tratamiento alguno de datos, lo que supondrá que tal derecho, con las limitaciones que conlleva, no estaría en liza, al no haber datos. La recogida, almacenamiento y uso constituye per se una limitación del derecho de protección de datos que debe cumplir con la normativa. Ello requiere pues en primer lugar analizar y asegurar que la recogida de datos sea necesaria para la finalidad establecida o pretendida y que sea proporcional. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/16 Esta necesidad debe estar justificada en la documentación de cumplimiento que el responsable debe disponer de acuerdo con el artículo 5.2. del RGPD. La necesidad debe versar de si se tratan datos personales sobre la base de una evidencia objetiva, según los fines ha de determinar, si se precisan ineludiblemente esos datos personales o si la finalidad se puede cumplir sin tratar esos datos personales. También que no ha de reiterarse la petición de los datos que ya se tienen. La consecución del objetivo legitimo perseguido no ofrece mas ventajas si se usan datos personales que si no se usan, y el tratamiento de datos implica de contrario riesgos con los mismos, y en definitiva una intrusión no justificada en comparación con la otra opción. La prueba de necesidad del tratamiento para cualquier limitación del ejercicio de derechos a la protección de datos personales ha de ser estricta, debiendo tratarse los mismos solo en los casos estrictamente necesarios, ya que en principio, cualquier operación de tratamiento de datos (como la recogida, el almacenamiento, el uso, la divulgación de datos) establecida por la legislación limita el derecho a la protección de datos personales, independientemente de que esa limitación pueda estar justificada. Por un lado, en el registro de actividad de tratamiento consta expresamente la recogida de la imagen, fotografía, para dos operaciones de tratamiento distintas, aunque conectadas. Una, se materializa en cada ocasión que se acude a cada parque de ocio, pretendiendo verificar con la foto y los datos que se dan, su identidad, para evitar peticiones de daños por personas que se hagan pasar por ellos, (aunque no explica el grado de importancia ni aporta prueba de la supuesta incidencia que motive que este tipo de recogida sea fundamental). De hecho, no figura así en la finalidad del tratamiento este detalle que explica el reclamado. Otra toma o recogida de la foto sería o supondría que solo se proporciona en una ocasión y su fin es la de conocimiento de las normas de uso de las instalaciones. Ambas conectadas porque se pretende identificar a la persona que accede. Cuando se adquiere el o los tickets por la web se ha de cumplimentar “he leído la política de privacidad”, que clicando. se lee la información de esa actividad de tratamiento donde se indica que “se registra la fotografía para identificación del usuario”, sin añadir que sería al acceder cuando se le pide, debiendo corresponderse la información que se da con el momento y acto en que se va a desarrollar, y al sujeto afectado, considerando asimismo que la persona que adquiere los tickets puede no ser la usuaria final de la actividad, y que no se contempla ninguna referencia a datos de padres. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/16 Por otro lado, desde el traslado de la reclamación, se reconoce que aunque figure la toma de la fotografía, de hecho en muchos supuestos no se recoge. Finalmente, tras el acuerdo de inicio se decidió el no uso de la foto. Todo ello, además, disponiendo de la toma de imágenes que se hace con la cámara de videovigilancia interior, destinada, durante el periodo que graba, al área de juegos, a los eventuales sucesos relacionados con incidentes que puedan suponer responsabilidad en el uso de la instalación. La recogida de la imagen de las personas que accedían a los parques en cada ocasión, a través de la fotografía, que además quedaba almacenada se hacía principalmente por el tema de reclamaciones por daños y el seguro, solo así tiene sentido la idea de evitar suplantaciones o identificar a quien realmente pretende acceder, por aseguramiento de eventuales accidentes con el fin de evitar posibles suplantaciones, según se deduce. Ello parece relevante, en cuanto a la relación con el fin que se pretendía, y que no se explicitaba específicamente en el registro de actividades, pues el control de la identidad de la persona se acreditaría con los datos que se dan y en su caso la exhibición del DNI, no la mera repetición del número, y no es procedente la toma de la foto, figurando además la grabación interior de las imágenes. Cuando el mismo fin puede ser conseguido con otros medios o con los que ya se dispone, no parece necesario acumular mas datos. Limitado a lo necesario, no parece precisa la toma de la foto por cuestiones de seguro o prueba de lo sucedido, dado que se ha identificado antes al portador de la identidad que accede o se le puede identificar, y existen ya suficientes datos que se consideran adecuados y ya son relevantes para identificar a la persona que accede. La adecuación, relevancia y limitación de los datos guarda relación como se ha indicado, con la finalidad que de acuerdo con el RGPD artículo 5.1.
  8. b)indica, que han de ser “ recogidos con fines determinados, explícitos y legítimos”. Así, por ejemplo, el tratamiento de aceptación de uso de instalaciones:” con la finalidad de informar del uso correcto de las instalaciones y de la videograbación a efectos de seguridad. Siendo la tipología de datos recogida: Nombre y apellidos; Imagen; Firma. “al ser una mera información, cabría preguntarse si para ello se ha de efectuar un tratamiento específico, diferenciado o si se han de usar datos para ello. Podría consistir en una marcación de casilla en el mismo apartado que se contiene en el registro de acceso. Por otro lado, la videograbación tiene un sistema de información con cartel informador en el establecimiento y su finalidad y base de legitimación no es similar a la de control de accesos o aceptación de normas de obligado cumplimiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/16 En cuanto al tratamiento del registro para acceso a parques; con la finalidad de registro de datos para acceso al disfrute de los parques, registro de fotografía para identificación del usuario. Siendo la tipología de datos recogida: Nombre y apellidos; Nif / Dni. / Nie; Teléfonos; Dirección; Imagen /voz; Correo electrónico; Contraseña; Nº de pasaporte; Edad. No se concreta la relación del acceso, disfrute del parque con la necesidad de proporcionar el resto de los datos, siendo demasiado escueta y genérica en cuanto a la finalidad explicita y el propósito del tratamiento, no puede ser catalogada como finalidad especifica. Evidentemente la no recogida de la foto debe contenerse en el registro de actividades de tratamiento de modo que esté actualizado, con la valoración del motivo documentado en su caso que conduzca a tal conclusión. El propósito encubierto que trasluce a la toma de fotografías para el acceso ni se contempla en la finalidad de los tratamientos, ni es necesario ni proporcional. Se acredita que la implementación de la necesidad de proporcionar fotos en los accesos al parque, cada ocasión en que se acuda y se acceda a ellos, y la toma de fotos para acreditar el conocimiento de las normas de uso no son datos adecuados, pertinentes y relevantes en este supuesto, acreditándose la infracción relacionada con el tratamiento de datos en el citado contexto. III A dicha infracción se refiere el artículo 83.5.
  9. a)del RGPD que indica: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  10. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;” El artículo 58.2
  11. b)del RGPD dispone la posibilidad de sancionar con apercibimiento, en relación con lo señalado en el Considerando 148: “En caso de infracción leve, o si la multa que probablemente se impusiera constituyese una carga desproporcionada para una persona física, en lugar de sanción mediante multa puede imponerse un apercibimiento. Debe no obstante prestarse especial atención a la naturaleza, gravedad y duración de la infracción, a su carácter intencional, a las medidas tomadas para paliar los daños y perjuicios sufridos, al grado de responsabilidad o a cualquier infracción anterior pertinente, a la forma en que la autoridad de control haya tenido conocimiento de la infracción, al cumplimiento de medidas ordenadas contra el responsable o encargado, a la adhesión a códigos de conducta y a cualquier otra circunstancia agravante o atenuante.” En este caso, considerando el contexto en el que se produce la recogida de datos, una actividad de ocio, la ausencia de perjuicios a la reclamante, y que se ha optado por no solicitar ni recoger dicha fotográfica, procede la sanción de apercibimiento, tal como se acordó en el acuerdo de inicio. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/16 A efectos del cómputo de la prescripción, la LOPDGDD señala en su artículo 72: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
  12. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679.” Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DIRIGIR a URBAN PLANET ENTERTAINMENT S.L., con NIF B87223822, por una infracción del aartículo 5.1.
  13. c)del RGPD, de conformidad con el artículo 83.5
  14. a)del RGPD, y a efectos de prescripción, del artículo 72.1.
  15. a)de la LOPDGDD, una sanción de apercibimiento, de conformidad con el artículo 58.2.
  16. b)del RGPD. SEGUNDO: NOTIFICAR la presente resolución a URBAN PLANET ENTERTAINMENT S.L.. TERCERO: De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  17. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/16 938-26102021 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.