PS-00120-2021

1/113  Procedimiento Nº: PS/00120/2021 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y con base en los siguientes ANTECEDENTES PRIMERO: Con fecha 5 de mayo de 2021 la directora acordó iniciar procedimiento sancionador a MERCADONA, S.A. (en adelante la parte reclamada). Notificado el acuerdo de inicio y tras analizar las alegaciones presentadas, con fecha 29 de junio de 2021 se emitió la propuesta de resolución que a continuación se transcribe: << Procedimiento nº: PS/00120/2021 Del procedimiento instruido por la Agencia Española de Protección de Datos y con base en los siguientes: ANTECEDENTES PRIMERO: Con fecha de 6 de julio de 2020 la Directora de la Agencia Española de Protección de Datos (en adelante, AEPD) acuerda iniciar actuaciones de investigación a la vista de las noticias publicadas en medios de comunicación acerca de la implantación que Mercadona, S.A. (en adelante, Mercadona o reclamado) estaría realizando en sus establecimientos de un sistema de detección de aquellas personas con sentencias firmes y órdenes de alejamiento en vigor contra Mercadona o contra alguno de sus trabajadores. Con posterioridad se registran en la AEPD dos reclamaciones en relación con los mismos hechos: El día 15 de julio de 2020, número de registro 025103/2020, procedente de la ASOCIACION DE CONSUMIDORES Y USUARIOS EN ACCION-FACUA (NIF G91344986). El día 27 de julio de 2020, número de registro 026511/2020, procedente de APEDANICA (NIF G80593254). SEGUNDO: A la vista de los hechos denunciados en la reclamación y de los documentos aportados por el reclamante / de los hechos y documentos de los que ha tenido conocimiento esta Agencia, la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de los poderes de investigación otorgados a las autoridades de control en el artículo 57.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/113 adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD). Como resultado de las actuaciones de investigación practicadas, se constata que el responsable del tratamiento es el reclamado. Asimismo, se constatan los siguientes extremos: ENTIDADES INVESTIGADAS Durante las presentes actuaciones se han realizado investigaciones a las siguientes entidades:  Mercadona, S.A., con NIF A46103834 y con domicilio en Paseo de la Castellana n.º 259 C, 28046 Madrid. La reclamada tiene una cifra de negocios en 2019 de más de 25.000 millones de euros de facturación y más de 94.000 empleados, según consta en el último informe de auditoría emitido por la entidad, por lo que constituye una gran empresa. RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN La redacción de estos resultados se apoya en la información facilitada por Mercadona (números de registro de entrada 026455/2020, 026457/2020, 026459/2020, 026460/2020, 026461/2020, 026462/2020, 026463/2020, 026464/2020, y 027549/2020) y en los siguientes documentos incorporados al presente expediente a través de la correspondiente diligencia: Referencia número 1: Boletín Oficial del Registro Mercantil (en adelante BORME) de ***FECHA.1, (…). - Referencia número 2: BORME de ***FECHA.2, (…). Referencia número 3: consulta realizada el 5 de noviembre de 2020 de la entidad ***EMPRESA.1 en el servicio de información empresarial Axesor. Referencia número 4: informe del gabinete jurídico de la AEPD de número de referencia 010308/2019. Referencia número 5: directrices sobre decisiones individuales automatizadas y elaboración de perfiles a los efectos del Reglamento 2016/679 del Grupo de Trabajo sobre protección de datos personales del artículo 29. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/113 Referencia número 6: extracto de la Ley 5/2014, de 4 de abril, de Seguridad Privada. Referencia número 7: extracto de la Ley Orgánica 10/1995, de 23 de noviembre, del Código Penal. Referencia número 8: extracto del Real Decreto de 24 de julio de 1889 por el que se publica el Código Civil. - Referencia número 9: extracto de la Constitución Española. Referencia número 10: informe del gabinete jurídico de la AEPD de número de referencia 36/2020. Referencia número 11: dictamen del ICO (Information Commissioner´s Office) titulado “The use of live facial recognition technology by law enforcement in public places”, publicado el 31 de octubre de 2019. Referencia número 12: política de privacidad publicada en el sitio de internet de Mercadona cuya última actualización, según cita el propio documento, se produjo con fecha de 5 de octubre de 2020. Se hace constar que allí donde este informe alude a manifestaciones, descripciones, o exposiciones realizadas por Mercadona “en su escrito” esta expresión hace referencia al escrito de entrada registrado el día 25 de julio de 2020 con el número 026455/2020. Al efecto de conseguir la mayor claridad expositiva posible se ordenan los resultados de la investigación en los siguientes apartados: 1. Contexto y despliegue 2. Intervinientes, destinatarios, y transferencias internacionales de datos 3. Aportación de la imagen al procedimiento judicial e inclusión en el Sistema de Detección Anticipada (en adelante SDA) 4. Activación del SDA, detección, y alerta 5. Recepción y validación de la alerta, y comunicación a las Fuerzas y Cuerpos de Seguridad del Estado (en adelante FCSE) 6. Plazos de conservación de los datos personales 7. Arquitectura del sistema, evaluación de impacto, y medidas de seguridad 8. Finalidad, licitud, y proporcionalidad C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/113 9. Cumplimiento del deber de información 1. Contexto y despliegue Mercadona, según define en su propio escrito, es una “compañía global que se dedica, entre otras actividades propias de su objeto social, a la explotación de una cadena de supermercados de alimentación”. Así, según los datos que facilita, dispone de “1.636 tiendas y aproximadamente 95.000 trabajadores en territorio español”. Añade además que, “a nivel genérico, podría determinarse que un [sic] el número aproximado de personas que acceden cada día a una tienda MERCADONA es de ***NÚM.1”. Expone igualmente que “cada año, la Compañía cuenta aproximadamente con ***NÚM.2 procesos judiciales que pueden terminar en más de ***NÚM.3 resoluciones judiciales a su favor en las que se condena en firme al denunciado con órdenes de alejamiento sobre las instalaciones de MERCADONA”. Al respecto cita que son objeto de denuncia y por tanto “susceptibles de que se solicite una orden de prohibición de acceso a una tienda de la Compañía” las personas que: - “Sean reincidentes en el delito de robo o hurto contra MERCADONA. - Hayan robado una gran cantidad de productos susceptibles de venta Hayan sido denunciadas y condenadas por delitos relacionados con las instalaciones, bienes o trabajadores de MERCADONA Amenacen o agredan a los trabajadores propios o vigilantes de seguridad que prestan servicio en las tiendas MERCADONA - Cometan ilícitos sobre los clientes de MERCADONA”. Al hilo de lo anterior, manifiesta que “se planteó la implementación de un sistema de detección anticipada utilizando la tecnología de reconocimiento facial en sus tiendas […] motivada por el riesgo derivado de la comisión de hechos delictivos, con su correspondiente riesgo para los clientes y empleados de MERCADONA debido a la gran cantidad de delitos que se comenten en sus más de 1.600 centros distribuidos en toda la geografía española, contra sus empleados o bienes”. Explica Mercadona que “un proceso de reconocimiento facial consiste en comparar una muestra biométrica dubitada, obtenida a través de una o varias imágenes de una persona, frente a una base de datos de muestras biométricas ya asociadas de forma indubitada a la identidad de una persona, que han sido C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/113 registradas previamente a través de una o varias fotografías”. Para ello, añade, “las muestras biométricas dubitadas son transformadas en patrones. Posteriormente, a través del reconocimiento facial, las muestras biométricas son comparadas con la plantilla indubitada guardada previamente, a través de cálculos algorítmicos que se evalúan con base en umbrales de coincidencia previamente establecidos”. Describe Mercadona que el procedimiento consta de las siguientes fases (el documento número 1 del escrito 026457/2020 lista, además de estas fases, las acciones que incluye cada una de ellas): - Aportación de la imagen al procedimiento judicial. - Inclusión de la imagen en el SDA. - Activación del SDA. - Fase de detección. - Fase de alerta. - Recepción y validación de la alerta. - Comunicación con FCSE. La información condensada del tratamiento puede consultarse en el extracto del registro de actividades de tratamiento aportado por Mercadona como parte del documento número 29 del escrito 026463/2020 que incluye las actividades de tratamiento de datos que tienen relación con el SDA. Se anticipa la siguiente información del mismo, cuyo detalle se amplía en los siguientes apartados: - Tratamiento de datos: gestión del sistema de detección anticipada Categoría de datos tratados: datos identificativos; imagen; perfil biométrico. Categoría de interesados: sujetos que acceden a los centros de Mercadona; sujetos con condena firme. - Origen del dato: o Imagen indubitada: a través de la imagen aportada en sentencia firme en la que Mercadona es parte. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/113 o Imagen en tiempo real: captación de los datos a través de las cámaras con sistema de reconocimiento facial de los centros en los que está activo dicho sistema. - Legitimación: o Interés público o Datos sensibles: tratamiento necesario para la formulación, el ejercicio, o la defensa de reclamaciones - Destinatarios: FCSE; juzgados y tribunales En cuanto al despliegue del sistema, expone Mercadona “que el 1 de julio de 2020 se inició el Proyecto piloto del Sistema de Detección Anticipada en ***NÚM.4 tiendas”. Añade, no obstante, que “el sistema única y exclusivamente se encuentra activo en ***NÚM.5 tiendas de ***LOCALIDAD.1, es decir, en las tiendas que actualmente se ven afectadas por una resolución judicial firme, en la que se decrete como medida una orden de alejamiento, habiendo aportado MERCADONA las correspondientes imágenes en el procedimiento y estableciéndose la posibilidad por el Juzgado, para hacer efectiva la misma, la utilización de medios tecnológicos.” En relación con el despliegue futuro, Mercadona explica que la finalidad del sistema es proteger la seguridad de los clientes y empleados, “por lo que el criterio a seguir en el despliegue obedecerá se evaluará [sic] atendiendo a las zonas más vulnerables, en las que pueda existir un mayor riesgo para los clientes o trabajadores de MERCADONA, atendiendo al número de procedimientos judiciales en curso”. Con respecto al número de interesados a incluir en el SDA expone que “dentro de esas ***NÚM.3 órdenes de alejamiento sobre las instalaciones de MERCADONA se podría estimar el número máximo de interesados incluidos anuales [sic] en el Sistema”. No obstante, matiza que “estos números son una aproximación y podrán aumentarse o reducirse en función del propio conocimiento de la tecnología por parte de los juzgados o por peticiones que pudiera realizar directamente los FCS”. 2. Intervinientes, destinatarios y transferencias internacionales de datos En su escrito Mercadona lista los siguientes intervinientes en el proyecto: - El Departamento de Seguridad de Mercadona. En concreto se mencionan los siguientes perfiles: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/113 o (…) Mercadona informa de que el personal de Mercadona ha suscrito un compromiso de confidencialidad específico relativo a este proyecto (además de los compromisos que firma cualquier trabajador de Mercadona). Así, facilita como documento número 8 del escrito 026464/2020, una copia ejemplo de este compromiso de confidencialidad. o (…) o La prestación del servicio implica la realización por ***EMPRESA.2 de los tratamientos de registro, conservación y supresión de datos personales, en la medida en que resulte necesario para su ejecución. o Mercadona garantiza y declara que cuenta con una base de legitimación suficiente para el tratamiento de los datos de los interesados objeto de este Acuerdo, de conformidad con lo dispuesto en la normativa de protección de datos. o Con carácter general, queda prohibida la subcontratación con terceros de los servicios que impliquen el acceso y/o tratamiento, parcial o total, de datos personales, salvo que ***EMPRESA.2 cuente con la autorización previa, expresa y por escrito de Mercadona. o Los datos personales de Mercadona serán tratados por ***EMPRESA.2 únicamente para llevar a cabo la prestación del servicio. Si ***EMPRESA.2 considerase necesario llevar a cabo un tratamiento de los datos con una finalidad distinta, deberá solicitar previamente la autorización por escrito de Mercadona. A falta de dicha autorización, ***EMPRESA.2 no podrá efectuar dicho tratamiento. o Las categorías de interesados cuyos datos serán tratados por el ***EMPRESA.2 en virtud de este acuerdo son: clientes de Mercadona, personas con una orden de alejamiento o medida judicial análoga a las instalaciones de Mercadona, personas captadas por el sistema de reconocimiento facial. o ***EMPRESA.2 tratará únicamente datos identificativos (nombre, apellidos e imagen) y los datos personales asociados al patrón biométrico en virtud de este Acuerdo. o ***EMPRESA.2 se compromete a garantizar, teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto, y los fines del tratamiento, así como los riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, la aplicación de medidas técnicas y organizativas apropiadas para garantizar un C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/113 nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros: la seudonimización y el cifrado de datos personales; la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas; la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico; un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. o ***EMPRESA.2 se compromete a notificar a Mercadona, sin dilación indebida y en un plazo máximo de 72 horas, las violaciones de la seguridad de los datos personales de las que tenga conocimiento, dando apoyo en la notificación a la AEPD u otra Autoridad de Control competente y, en su caso, a los interesados, de las violaciones de seguridad que se produzcan, así como a dar apoyo, cuando sea necesario, en la realización de evaluaciones de impacto de privacidad y en la consulta previa a la AEPD u otra Autoridad de Control competente, cuando proceda. o ***EMPRESA.2 se compromete a llevar, por escrito, un registro de todas las categorías de actividades de tratamiento efectuadas por cuenta de Mercadona. o ***EMPRESA.2 se compromete a poner a disposición de Mercadona toda la información necesaria para demostrar el cumplimiento de las obligaciones establecidas en este Acuerdo y para permitir y contribuir a la realización de auditorías, incluidas las inspecciones, por parte de Mercadona o un tercero autorizado por Mercadona. o La estipulación séptima del acuerdo detalla las obligaciones de secreto y confidencialidad (así como de establecimiento de medidas para su protección) a las que están sometidas ambas partes incluso después de finalizada la relación contractual en relación con la información y datos personales a los que tengan acceso. o (…) o ***EMPRESA.2 garantiza que, en relación con la ejecución del Acuerdo, no se llevará a cabo un tratamiento de datos personales fuera de la Unión Europea o en un país que no cuente con un nivel adecuado de protección. El acuerdo anterior contiene, además, un anexo dedicado a medidas de seguridad en relación con: (…) ***EMPRESA.3, como proveedor de seguridad privada y mantenimiento de sistemas de reconocimiento facial. Refiere el perfil de Responsable de Producción, con exclusividad para Mercadona según manifiesta, como C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/113 encargado de dirigir y coordinar los técnicos exclusivos para el servicio en Mercadona. Se adjunta como documento número 10 del escrito 026459/2020, el Acuerdo de confidencialidad y tratamiento de Datos Personales por cuenta de tercero suscrito con fecha de 29 de diciembre de 2011 entre Mercadona y ***EMPRESA.4. Según publicación del BORME (referencia número 1) ***EMPRESA.4 fue absorbida (…) por ***EMPRESA.6 Con posterioridad, el día ***FECHA.2, se publicó en el BORME (referencia número 2) la entrada como socio único de ***EMPRESA.5 en ***EMPRESA.6. Asimismo, se hace constar (referencia número 3) la relación de coincidencia por órgano social y domicilio entre ***EMPRESA.5 y ***EMPRESA.3. El objeto del acuerdo es regular el tratamiento que se va a dar a toda la información confidencial y datos de carácter personal a los que se tenga acceso en el contexto de los servicios prestados. Se refiere en el documento, dada la fecha de firma, la normativa de protección de datos personales conformada por la Ley Orgánica 15/1999 y su reglamento de desarrollo. Se destaca el siguiente contenido: o (…) o El encargado de tratamiento se obliga a: (…) “Adoptar todas las medidas de índole técnicas y organizativas exigidos por la normativa de protección de datos que resulten necesarias para garantizar la seguridad y confidencialidad de los datos de carácter personal, evitando la alteración, pérdida, tratamiento, acceso o cesión no autorizados.” “Una vez finalizada la prestación de servicios, los datos personales deberán ser destruidos o devueltos a la parte emisora (a elección de ésta última), el igual que cualquier soporte o documento en que conste algún dato de carácter personal objeto de tratamiento.” “Todos los datos personales suministrados tienen el carácter de confidencial, y bajo ningún concepto podrán ser revelados.” “El Encargado de Tratamiento deberá comunicar y hacer cumplir a sus empleados las obligaciones establecidas en el presente Acuerdo y, en concreto, las relativas al deber de secreto y medidas de seguridad.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/113 Por otro lado, en relación con los destinatarios de la información, aclara Mercadona en su escrito que las únicas comunicaciones de datos previstas son las derivadas de la puesta en conocimiento de los quebrantamientos de órdenes de alejamiento de las FCSE, y de los juzgados y tribunales competentes en los procedimientos. Igualmente, el documento número 29 del escrito 026463/2020 que incluye la definición de la actividad de tratamiento relativa a la gestión del SDA, señala que estas cesiones se harían en el marco de una “obligación legal” del responsable. Por último, Mercadona señala que en el marco de este proyecto no se llevan a cabo transferencias internacionales de datos personales. 3. Aportación de la imagen al procedimiento judicial e inclusión en el SDA En relación con las imágenes “indubitadas” contra las que se efectúa la comparación, señala Mercadona que “ha tenido en cuenta que, sin unas imágenes fiables y nítidas, que cumplan determinadas exigencias técnicas explicadas más adelante, no sería posible llevar a cabo la actividad pretendida”. Señala que, “por ello con carácter previo a la implementación del Sistema se han hecho numerosas pruebas (…) verificando que el sistema funciona de forma correcta”. Añade que, “todo ello, tendente a evitar errores en los sistemas biométricos que, en su caso, pudieran derivar en graves consecuencias para la persona y, en particular, la denegación errónea a personas autorizadas y la aceptación errónea de personas no autorizadas que podrían llegar a ocasionar serios problemas a muy diferentes niveles, tal y como ha puesto de manifiesto la Agencia en su Informe 010308/2019” (referencia número 4). Sobre este particular Mercadona adjunta un documento (documento número 3 del escrito 026457/2020) que detalla “los requisitos técnicos para las imágenes del Sistema”. De este documento, redactado en inglés y titulado “Face Enrollment Best Practices”, se subraya el siguiente contenido: - (…) Sobre la fuente de la que se obtendrían estas imágenes, primeramente manifiesta Mercadona que “respecto a las condenas firmes que son resultado de procedimientos penales en los que MERCADONA es parte del procedimiento, las imágenes se obtienen de las cámaras de videovigilancia con las que cuenta en sus instalaciones y que fueron aportadas en el procedimiento como prueba, siendo válidamente obtenidas y admitidas por el Juzgado o Tribunal competente”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/113 En concreto, indica Mercadona que cuando se produce una denuncia por hechos que guardan relación con las instalaciones, bienes o trabajadores de Mercadona, los abogados responsables de las tiendas solicitan vía correo electrónico al CAS las imágenes de los hechos y del autor o autores. A continuación, “(…)”. Apunta Mercadona que las personas encargadas de localizar y extraer las imágenes “tienen la clasificación de “Gerente” de visionado de imágenes, posición que requiere de una formación específica en materia de seguridad y videovigilancia, así como un entrenamiento específico sobre el funcionamiento de este sistema”. A continuación, expresa que las imágenes “(…)”. Indica Mercadona en este punto que dispone de un registro, que denomina “Petición imágenes DAM”, que consiste en “un listado propio de trabajo interno y exclusivo del CAS con los siguientes campos: - Zona: número de la zona de tiendas a la que pertenece el centro - Centro: número de la tienda. - Denominación: nombre del centro. - Población: municipio donde está ubicada. - Provincia: en la que se ubica. Fecha solicitud imágenes: fecha en la que el abogado solicita las imágenes al CAS. - Observaciones: anotaciones que se quieran registrar. - Entregado: a FCSE, Juzgado o en blanco si no se ha hecho. - Fecha juicio. Sentencia: prohibición de acceso, orden de alejamiento o en blanco si no se ha dictado. Liquidación de condena: al recibirla se rellena con un sí, en caso contrario se indica pendiente. Fecha inicio: en la liquidación de condena aparece desde que día la persona condenada no pueda entrar. Fecha fin: fecha de finalización de la condena de prohibición de acceso u orden de alejamiento. ***EXPEDIENTE.1: identificador procedimiento del Juzgado. C/ Jorge Juan, 6 28001 – Madrid único que coincide con el del www.aepd.es sedeagpd.gob.es 12/113 Fecha de identificación: día y hora en el que se ha identificado 100% a la persona condenada a no poder entrar a esa tienda. Tienda de identificación: centro donde se ha identificado 100% a esa persona. Gerentes CAS: nombres de los Gerentes de visionado presentes en la confirmación de identificación de esa persona.” Según explica, en este momento se registra la petición en el listado y los distintos campos se van completando según corresponde a lo largo de las diferentes fases. Mercadona adjunta (documento número 2 del escrito 026457/2020) el documento “Petición imágenes DAM”. Añade que “en el supuesto de que la resolución judicial determine la orden de alejamiento, las imágenes aportadas al procedimiento se convertirían en muestra biométrica indubitada y, consecuentemente, serían transformadas en plantilla”. En cuanto al alcance territorial, expresa que “vendrá definido por la resolución judicial firme, pudiendo limitarse a una tienda, a varias o al territorio determinado por el Juzgado pertinente”. En segundo lugar, “en relación con aquellas condenas en las que MERCADONA no es parte en el procedimiento (en caso de órdenes de alejamiento por delitos cometidos contra empleados de MERCADONA -supuestos de violencia de género, por ejemplo-) y los Juzgados y Tribunales soliciten directamente la colaboración a MERCADONA, en relación con el alcance de la orden de alejamiento al centro de trabajo de la víctima, para hacer efectivas las órdenes de alejamiento, serán los propios Juzgados y Tribunales quienes comunicarán, a través de la oportuna resolución judicial, a MERCADONA la necesidad de su colaboración para garantizar dicha efectividad, así como los términos de dicha medida, en relación con aspectos tales como la duración de la misma y tiendas sobre las que sería aplicable”. Según expone, “en estos casos, estas imágenes habrán sido aportadas en el procedimiento del que la resolución judicial trae causa y la justificación para su uso vendrá determinada por el requerimiento de utilización de medios tecnológicos para la orden de alejamiento concreta”. Y añade que en estos supuestos necesitaría que “los Juzgados y Tribunales directamente, o a través de la FCSE, le entregasen imágenes válidas, que cumplan con los requisitos expuestos que el sistema de reconocimiento facial necesita para establecer una muestra indubitada previa”. Expone además el caso en que “el requerimiento provenga directamente de FCSE o ***ORGANISMO.1, con base en una investigación que se encuentren llevando a cabo o cuestiones relacionas con ***ASUNTO.1”. Al respecto, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/113 expresa que “para poder emplear el sistema analizado, deberá proveerse, igualmente, de las garantías expuestas (concretamente, cuando procedan, las establecidas por la normativa en materia de protección de datos), a saber, orden judicial fundamentada en Derecho, fotografía sobre la que pueda obtenerse el patrón biométrico, delimitación temporal de la medida y tiendas sobre las que sería aplicable”. En relación con la inclusión de las imágenes en el SDA, señala Mercadona que, “una vez que MERCADONA cuenta con una resolución judicial firme que determine la imposición de una orden de alejamiento o medida judicial análoga respecto a una o varias tiendas MERCADONA, el abogado responsable del expediente, envía un correo electrónico al CAS” en el que se indica el número de sentencia, los centros a los que afecta, y el período de vigencia, y se adjunta el “documento pdf. con liquidación de condena/medida cautelar”. Así, detalla Mercadona que “la imagen se incorpora al sistema con la limitación territorial del área o tiendas determinadas en la resolución judicial, indicando la limitación temporal del plazo o caducidad de la orden de alejamiento, el cual viene determinado en la resolución judicial”. Según señala Mercadona, este proceso implica completar la información correspondiente del registro “Petición imágenes DAM”. Tras ello el Departamento de Seguridad, al objeto de realizar una nueva alta en el sistema, utiliza una “ficha” con la siguiente información: - Número de procedimiento judicial. Descripción, incluyendo teléfonos de las FCSE a los que llamar y del servicio de vigilancia en caso de disponer de él en el centro, fecha de inicio y fecha de fin de detección, y una breve descripción de la medida judicial. El documento número 4 del escrito 026457/2020 contiene el listado de teléfonos asociados a los distintos centros de Mercadona. - Grupo: (…). En caso de que la resolución judicial fuese absolutoria o se denegase la medida cautelar, señala Mercadona que “el abogado responsable del caso enviaría un correo electrónico al CAS, para la eliminación de las imágenes bloqueadas”. Ello provocaría la supresión de las imágenes y la actualización del listado “Petición imágenes DAM”. 4. Activación del SDA, detección y alerta Según describe Mercadona, (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/113 Para hacer el seguimiento de las fechas de finalización de la medida judicial, se utiliza la aplicación “***APLICACION.1”. (…). Añade que el acceso al sistema requiere de usuario y contraseña individuales que son facilitados por el Departamento de Informática. Una vez activado el sistema, “a través de las cámaras de reconocimiento facial, se realizará la comprobación de las imágenes captadas a tiempo real con la imagen o imágenes indubitadas que se hayan incluido. Este proceso de comprobación dura décimas de segundo (0.3 segundos en la actualidad) entre que una imagen es captada y se realiza la verificación frente a la imagen indubitada incluida en el Sistema”. En relación con las cámaras instaladas en cada centro, se subraya la siguiente información contenida en el escrito: - (…) Mercadona “ha procedido y procederá a cumplir con el deber de información (…) en aquellos centros en los que se haya procedido a la instalación de dichas cámaras, incluso aunque las mismas no estén activadas para cumplir con la expectativa de privacidad de los clientes y empleados”. En relación con la captación de la imagen por la cámara, Mercadona aporta los siguientes documentos: Documento número 5 del escrito 026457/2020, (…), calificado como confidencial. Este documento redactado por “***EMPRESA.2” en inglés y titulado “***TITULO.1” presenta los resultados obtenidos tras analizar el potencial sesgo de género y color de piel en el sistema de reconocimiento facial “***APLICACION.2” de ***EMPRESA.2. El documento concluye que el sistema no se encuentra sesgado en base a estos atributos. Documento número 6 del escrito 026459/2020, “descripción del sistema utilizado por ***APLICACION.2, en la extracción del patrón biométrico y su comparación en relación con el proceso de anonimización empleado”. El documento, redactado en inglés por ***EMPRESA.2, se titula “***TITULO.2”. Algunas de las características del sistema descritas en el documento son: o (…) Documento número 7 del escrito 026459/2020, “***DOCUMENTO.1”. El documento, redactado en inglés por ***EMPRESA.2, se titula “***TITULO.3” e incluye una explicación del proceso de reconocimiento facial, que sigue las siguientes fases: detección, extracción de características, ajuste, y reconocimiento. Define resultado como la distancia entre el patrón analizado y el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/113 patrón de comparación inscrito. Añade que las probabilidades de que esta distancia sean mayores entre sujetos diferentes aumentan si se mejora la calidad de las imágenes. Asimismo, Mercadona describe en su escrito (págs 24-33) la evaluación que ha realizado al objeto de valorar la eficacia del sistema de detección. Según explica, las pruebas se han realizado con un umbral de detección de X,XX ya que sería el recomendado por el fabricante ***EMPRESA.2. para optimizar la relación entre detecciones y falsos positivos. Así, expresa que “una persona detectada con score X,XX significa que tiene una semejanza como mínimo en un YY% a la imagen de referencia del sistema.” Añade además que las pruebas se han realizado utilizando la solución “***APLICACION.2 versión 2.2 del fabricante ***EMPRESA.2” sobre distintos tipos de cámaras, configuraciones, imágenes de referencia (…) y escenarios (…) que le han permitido seleccionar la combinación que ofrece mejores resultados. Según manifiesta en el escrito, en las pruebas realizadas no se habría producido ningún falso positivo. Además, señala en relación con el proceso de detección de una persona con mascarilla que: “el proveedor de la solución informática ha desarrollado una mejora con el fin de identificar personas con la cara semi-oculta por estas mascarillas, tal y como se puede visualizar en las imágenes aportadas a lo largo del escrito. En este sentido, es importante señalar que los sistemas de reconocimiento facial basan la identificación recogiendo la información de la zona periocular de la cara (…). El sistema pierde información ya que parte de esta zona está oculta, por lo que se ha optimizado la lectura de la parte visible sin bajar el umbral (treshold [sic]) de identificación.” Hechas estas precisiones respecto a las pruebas de eficacia del sistema, se describe el proceso de generación de la alerta: “Una vez activado el Sistema de Detección Anticipada en la/las tienda/s objeto de la sentencia firme y en el caso de que alguna de las cámaras de reconocimiento facial instaladas en las tiendas detectase el acceso de una persona cuya imagen está incluida en el sistema ***APLICACION.2, se generaría una alerta que iniciaría el proceso de confirmación y aviso a las FCSE. Esta alerta que detecta la coincidencia en las cámaras de la tienda se envía por correo electrónico a una dirección específica elaborada a tal efecto […] C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/113 A esta cuenta de correo tienen acceso las [sic] únicamente los siguientes perfiles: - El Responsable de Proyecto. - Coordinador del CAS. - Gerentes, responsables de turno en el CAS. - Gerentes de visionado de imágenes. […] Si alguna otra persona necesitara acceder a esta cuenta tendría que solicitar expresamente al responsable del Proyecto, la necesidad de este nuevo acceso. Este correo de alarma indicando la coincidencia de las imágenes en una tienda concreta, es generado por cada uno de los equipos de las tiendas” Mercadona facilita en su escrito (pg. 21) un ejemplo de correo enviado. Según se indica, en el correo se envía la siguiente información: - “Título: (…) - Nombre: (…) - Grupo: (…) - Centro: (…) - Cámara: (…) - Fecha y hora de la detección. - Coincidencia: (…) - Descripción: (…) - Imagen de referencia: (…) - Imagen de detección: (…) 5. Recepción y validación de la alerta, y comunicación a las FCSE Tal y como describe Mercadona, el proceso involucra “un doble factor de verificación de los positivos para evitar los riesgos derivados de un tratamiento C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/113 exclusivamente automatizado”. Así, incide en que “una vez recibida la alerta, la misma será contrastada por los Gerentes de visionado del Centro de Atención a la Seguridad presentes en ese momento, siendo confirmada (sólo en el caso de que todos los Gerentes de visionado confirmen que se trata de la misma persona) o no confirmada (si alguno de ellos presenta dudas a la hora de confirmar que se trata de la misma persona). En el caso de que no sea confirmada, la imagen se destruirá, estudiando las razones técnicas de la alarma y se terminará el proceso”. Según señala, “los Gerentes de visionado del CAS tienen la experiencia y formación suficientes para realizar esta comprobación”. Mercadona incide en su escrito en que “esta comprobación por parte de los responsables del Departamento de Seguridad es totalmente obligatoria en el proceso”. Así, entiende que “debido al proceso de comprobación posterior, no existiría en ningún caso un tratamiento a través de una decisión automatizada”. Para realizar esta afirmación se apoya en la “Guía del Grupo de Trabajo del Artículo 29 sobre las decisiones automatizadas publicada el 3 de octubre de 2017” (referencia número 5). Tras la confirmación de la alarma, según describe Mercadona, un Gerente de visionado se encargará de: (…) Una vez cerrado este proceso, se procederá a la extracción de la imagen objeto de detección, para evitar tratamientos no necesarios sobre la misma más allá de su aportación a las autoridades competentes.” 6. Plazos de conservación de los datos personales Manifiesta Mercadona en su escrito que “(…)” Seguidamente, Mercadona diferencia dos supuestos. Así, en primer lugar, describe el comportamiento del sistema durante la fase de detección en relación con las personas cuya imagen no coincide con ninguna de las imágenes almacenadas en el sistema: “se han adoptado todas las medidas técnicas y organizativas necesarias al objeto de minimizar al máximo cualquier potencial tratamiento de datos y limitarlo a meros almacenamientos residuales técnicos (estrictamente necesarios para el propio funcionamiento del sistema).” “el sistema de reconocimiento facial detectará (de manera automática y durante un lapso no apreciable) y analizará las imágenes individualmente que reciba de cada centro. (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/113 Con respecto al supuesto de detección de un positivo (coincidencia con una imagen de la base de datos), Mercadona expresa lo siguiente: (…) Todo lo anterior figura consignado, de manera resumida, en la evaluación de impacto de la privacidad (documento 30 del escrito 026463/2020). Así, ésta expresa que: “Los datos se conservarán: (…) Por último, se hace constar que, según se observa en el registro de actividades de tratamiento (extracto adjunto como documento número 29 del escrito 026463/2020), la gestión del SDA y la videovigilancia son actividades de tratamiento independientes. En el caso del tratamiento de datos personales relativo a la actividad de videovigilancia el plazo de conservación consignado es de treinta días. 7. Arquitectura del sistema, evaluación de impacto, y medidas de seguridad El documento número 29 del escrito 026463/2020 incluye el análisis de riesgos relativo a la gestión del SDA. Éste, otorga a esta actividad de tratamiento un riesgo inherente medio y un riesgo residual bajo tras la implantación de medidas mitigadoras. Entre otras cuestiones, el análisis señala que la actividad implica: “(…)”. Esto le lleva a determinar la necesidad de ejecutar una “PIA”. El documento número 30 del escrito 026463/2020 se corresponde con la evaluación de impacto de la privacidad del proyecto. Ésta incluye la evaluación del riesgo inherente al tratamiento a través del análisis de ***NÚM.6 amenazas. El resultado que obtiene es que el nivel de riesgo es “tolerable”. Se subraya el contenido relativo a las siguientes amenazas:  (…) Asimismo, se señala en la evaluación de impacto que “se ha procedido a examinar el Proyecto, una vez operativo, para verificar que los riesgos detectados se han abordado correctamente y que no se han detectado otros nuevos”. La evaluación de impacto de la privacidad incluye, asimismo, el contenido siguiente en el apartado quinto dedicado a las conclusiones: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/113 “(…)” Por otro lado, Mercadona describe en su escrito (págs. 35-49) la arquitectura del SDA y las medidas de seguridad implantadas. Según dispone, los elementos que componen la arquitectura son: - Equipos de las tiendas. (…) - Cámaras de las tiendas. (…) - Equipos del CAS. (…) - Sistema ***APLICACION.2 versión 2.2.0. de ***EMPRESA.2. (…) - Sobre las tiendas: o (…) - Sobre el CAS: o (…) de la División de Seguridad de Mercadona o tener una autorización de ésta. - Sobre el programa de reconocimiento facial: (…) - Sobre los sistemas propios de Mercadona en que se apoya el SDA: o (…) 7. Finalidad, licitud y proporcionalidad Señala Mercadona que “puede concluirse que la finalidad a la que atiende la instalación del Sistema de Detección Anticipada es la de dar cumplimiento a las resoluciones judiciales en las que se haya condenado al denunciado con una orden de alejamiento, como consecuencia de hechos que tengan relación con C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/113 las instalaciones, bienes o trabajadores de MERCADONA, en determinadas circunstancias especiales y siempre que así lo establezca una resolución judicial firme”. Con respecto a la base de legitimación manifiesta Mercadona que “el tratamiento de datos llevado a cabo por parte de MERCADONA al objeto de preservar la seguridad de las personas y bienes, así como de sus instalaciones encuentra cabida en el interés público.” Así, cita igualmente en su escrito Mercadona el siguiente contenido del Informe 010308/2019 de la AEPD (referencia número 4): “En el presente caso, ya hemos citado cómo el artículo 22 de la LPDGDD regula los tratamientos con fines de videovigilancia cuya legitimación se encuentra, tal y como señaló en su Dictamen el Consejo de Estado y ha recogido la Ley en su Exposición de Motivos, en la existencia de una finalidad de interés público incardinable en el artículo 6.1.

1. e)del Reglamento general, al tener por finalidad "preservar la seguridad de las personas y bienes, así como de sus instalaciones". A tal efecto expone Mercadona que “el tratamiento realizado para preservar la seguridad de las personas y bienes, así como de sus instalaciones (el mencionado por la AEPD en el Informe mencionado, como ejemplo de tratamiento amparado en interés público) es el fin principal del tratamiento de datos llevado a cabo por MERCADONA”. Por otra parte, trae a colación Mercadona que “el artículo 8 de la Ley Orgánica 3/2018 […] recoge lo siguiente: “El tratamiento de datos personales solo podrá considerarse fundado en el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable, en los términos previstos en el artículo 6.1
2. e)del Reglamento (UE) 2016/679, cuando derive de una competencia atribuida por una norma con rango de ley”. En base a lo expuesto, es interés de esta parte mencionar que la norma con rango de ley que habilita a MERCADONA para la adopción de mecanismos que detecten y mitiguen la comisión de conductas fraudulentas respecto al tratamiento realizado para preservar la seguridad de las personas y bienes, así como sus instalaciones, es la Ley 5/2014, de 4 de abril, de Seguridad Privada (como por ejemplo el artículo 4 sobre los fines de la norma o el artículo 8 sobre sus principios rectores).” Se incluye en el expediente, referencia número 6, un extracto de la citada Ley 5/2014 en el que figura la redacción de los artículos 4 y 8. Por otra parte, manifiesta Mercadona que “no cabe duda de que el tratamiento de datos llevado a cabo por un sistema de reconocimiento facial entraría dentro de la categoría de dato especial”. Sobre esto, expone que “solamente va a utilizar el Sistema en el supuesto de que sea parte dentro de un procedimiento C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/113 judicial en el que mediante resolución firme se determine el uso de reconocimiento facial para hacer efectivas órdenes de alejamiento. Por ello, mi representada considera que tratamiento analizado tiene cabida en el artículo 9.2.
3. f)en virtud del cual podrían tratarse datos sensibles cuando “el tratamiento es necesario para la formulación, el ejercicio o la defensa de reclamaciones”. En relación con lo anterior, añade lo siguiente: “(…)”. Este argumento, es el defendido por los Juzgados y Tribunales, cuando se posicionan a favor de la opción defendida MERCADONA, autorizando a que dicha condena se controle a través de medios electrónicos, en orden al reconocimiento facial, en virtud de lo previsto en el artículo 48.4 del CP.” Se ha incorporado al expediente (referencia número 7) un extracto de la Ley Orgánica 10/1995, de 23 de noviembre, del Código Penal que contiene la redacción del artículo 48. Al hilo de lo anterior añade además que: “cabe traer a colación el artículo 1 del CC en el que se recoge lo siguiente: “1. Las fuentes del ordenamiento jurídico español son la ley, la costumbre y los principios generales del derecho. 2. Carecerán de validez las disposiciones que contradigan otra de rango superior. (…) 6. La jurisprudencia complementará el ordenamiento jurídico con la doctrina que, de modo reiterado, establezca el Tribunal Supremo al interpretar y aplicar la ley, la costumbre y los principios generales del derecho. 7. Los Jueces y Tribunales tienen el deber inexcusable de resolver en todo caso los asuntos de que conozcan, ateniéndose al sistema de fuentes establecido.” Por tanto, cabría concluir que, puesto que los Jueces y Tribunales tienen el deber inexcusable de resolver en todo caso los asuntos que conozcan, atendiéndose al sistema de fuentes establecido, el que un Juez haya considerado adecuado utilizar un sistema de reconocimiento facial para garantizar el cumplimiento de órdenes de alejamiento en las instalaciones de MERCADONA, tendría suficiente peso para legitimar el tratamiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/113 Es más, cabe traer a colación el artículo 24 de la CE, que se eleva a la categoría de derecho fundamental y que regula el derecho de defensa dentro del cual se incardina el derecho a la tutela judicial efectiva, según el cual todas las personas tienen derecho de acceso a la jurisdicción, es decir, han de tener la posibilidad de acudir a los órganos jurisdiccionales y de formular ante ellos peticiones de tutela. Asimismo, el derecho a la tutela judicial efectiva también comprende el derecho a que los órganos jurisdiccionales se pronuncien sobre la pretensión formulada y dicten así una resolución sobre el fondo del asunto, motivada y fundada en Derecho. Además, el Tribunal Constitucional viene entendiendo que dentro del derecho a la tutela judicial efectiva se encuentra, como una manifestación necesaria, el derecho que los justiciables tienen a que las sentencias que los tribunales ordinarios hayan dictado para la tutela de sus derechos e intereses legítimos se hagan cumplir forzosamente. Este derecho a la ejecución forzosa enlaza así con la potestad jurisdiccional que la CE reconoce a los tribunales en su artículo 117. […] Y, además, todos los sujetos jurídicos (de carácter público o privada) tiene la obligación de cumplir las resoluciones judiciales firmes y debe colaborar con los juzgados y tribunales en la ejecución de lo resuelto, tal y como dispone el artículo 118 de la CE. En cualquier caso, el beneficiado por una resolución judicial dispone de un auténtico derecho subjetivo, que tiene carácter de derecho fundamental, al entroncar directamente con el derecho a la tutela judicial efectiva del artículo 24.1 de la CE, y es calificable de derecho subjetivo público, pues se exige respecto de los órganos jurisdiccionales del Estado.” Se ha incorporado al expediente (referencia número 8) un extracto del Real Decreto de 24 de julio de 1889 por el que se publica el Código Civil que contiene la redacción de los artículos 1 y 3. Asimismo, también se ha incluido (referencia número 9) un extracto de la Constitución Española que incluye los artículos 24, 117 y 118. Con respecto a la licitud del tratamiento concluye Mercadona que “da cumplimiento a lo establecido por la AEPD en sus Informes 36/2020 y 010308/2019, en base a que “la existencia de un interés público no legitima cualquier tipo de tratamiento de datos personales, sino que deberá estarse, en primer lugar, a las condiciones que haya podido establecer el legislador, tal como prevé el artículo 6 RGPD, en sus apartados 2 y 3 […]. Y en el caso de que vayan a ser objeto de tratamiento alguno o algunos de los datos personales incluidos en las categorías especiales de datos a que se refiere el artículo 9.1 RGPD, que concurra alguna de las circunstancias contempladas en su apartado 2 que levante la prohibición de tratamiento de dichos datos, establecida con carácter C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/113 general en su apartado 1”, en tanto en cuanto el tratamiento quedaría legitimado por el artículo 6.1.
4. e)RGPD en base al interés público derivado de la necesidad de preservar la seguridad de los clientes, personal e instalaciones y por el artículo 9.2.
5. f)para poder responder a los procesos en los que es parte y en los que se ha determinado como medida el uso de dicha tecnología para reconocer a los sujetos objetos de una orden de alejamiento.” Se ha incorporado al expediente (referencia número 10) el informe 36/2020 emitido por el gabinete jurídico de la AEPD. Por otro lado, manifiesta Mercadona que la finalidad del sistema implica el tratamiento de datos relativos a condenas e infracciones penales. Explica, no obstante, que este tipo de datos ya se trataban con anterioridad a la implantación del sistema ya que se trata de una práctica habitual del sector identificar aquellas personas que puedan suponer un riesgo para garantizar la seguridad de los trabajadores y clientes. Consecuentemente expone que “el sistema estudiado en este escrito viene a realizar este mismo tratamiento, no suponiendo una actividad diferente en lo referido al tratamiento de datos personales relativos a sanciones o condenas penales”. Para apoyar la legitimidad del tratamiento de esta tipología de datos, en su escrito Mercadona (referenciando los artículos diez del RGPD y de la LOPDGDD) manifiesta que “trata datos relativos a condenas e infracciones penales bajo la supervisión de las autoridades públicas, puesto que el tratamiento llevado a cabo por MERCADONA se encuentra plenamente legitimado, debido a que solo se lleva a cabo respaldado por la Administración de Justicia o las FCSE.[…] el tratamiento se efectuará solamente sobre aquellas resoluciones judiciales en las que MERCADONA sea parte, por lo que no se generaría una base de datos de condenas penales, siendo la utilización de datos biométricos una especialización dentro del tratamiento ya existente y necesario, al ser MERCADONA parte del procedimiento o haya sido requerida por los propios Juzgados y Tribunales”. En relación con la idoneidad, necesidad y proporcionalidad de implantación del sistema, manifiesta Mercadona que: “el cumplimiento de una orden de alejamiento en una tienda sólo puede garantizarse de forma eficaz a través de medios electrónicos, dado que MERCADONA tiene 1.636 tiendas y aproximadamente 95.000 trabajadores en territorio español y cada año, la Compañía cuenta aproximadamente con ***NÚM.2 procesos judiciales que pueden terminar en más de ***NÚM.3 resoluciones judiciales a su favor en las que se condena en firme al denunciado con órdenes de alejamiento sobre las instalaciones de MERCADONA”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 24/113 “gran parte de dichas resoluciones judiciales son contra personas que actúan en el seno de bandas organizadas o resultan de especial peligrosidad para los jefes y los trabajadores, sobre las que resulta inviable dar cumplimiento a las resoluciones judiciales y hacer efectivas las condenas sin la utilización de mecanismos tecnológicos, puesto que los condenados se dirigen a las tiendas MERCADONA con un aspecto físico muy diferente (disfraces, pelucas, etc.), lo que dificulta el reconocimiento de forma visual por parte del personal de seguridad a aquellas personas que cuentan con una prohibición de acceso, más aun teniendo en cuenta que, aproximadamente, entran ***NÚM.1 personas al día en una tienda MERCADONA”. “si bien el fin perseguido podría ser alcanzado por otros medios (mediante vigilantes de seguridad que controlen los accesos a las tiendas, por ejemplo) estos no garantizan la fiabilidad de las soluciones tecnológicas basadas en biometría, las cuales permiten alcanzar el fin perseguido por MERCADONA con mayores garantías y fiabilidad y, por tanto, mayor seguridad jurídica”. “el requerimiento de que el tratamiento de datos sea "estrictamente" necesario, igualmente, se ve justificado en tanto en cuanto la medida de intervención inmediata sea necesaria en casos de flagrante delito, como es el incumplimiento de una pena que precisamente trata de prevenir la reincidencia y, sobre todo, la seguridad de los clientes y trabajadores de MERCADONA”. Sobre este punto añade Mercadona que “esta argumentación se ve reforzada por la Autoridad de Protección de Datos Británica, Information Commissioner’s Office, en el documento “The use of live facial recognition technology by law enforcement in public places 31”[sic] de Octubre de 2019, al indicar que “el propósito para el que se despliega el sistema de reconocimiento facial es de gran importancia puesto que hay una diferencia considerable entre el uso del reconocimiento facial para mitigar determinados delitos graves o violentos y los despliegues generalizados de la tecnología de reconocimiento facial para identificar a los ladrones conocidos”.” Se ha incorporado al expediente (referencia número 11) el documento titulado “The use of live facial recognition technology by law enforcement in public places” publicado por el ICO (Information Commissioner´s Office) “el tratamiento en cuestión solo genera beneficios y ventajas para el interés general, tanto como para los clientes y trabajadores de MERCADONA, como para los propios Juzgados y Tribunales, puesto que es la única manera eficaz de hacer efectivas las medidas decretadas por los mismos y; para las FCSE, al garantizar el Sistema una colaboración con las mismas, facilitándoles el desempeño de sus funciones”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 25/113 Concluye que el sistema “cumple los requisitos de proporcionalidad y es estrictamente necesario para cumplir con la finalidad perseguida, puesto que no existen unos medios menos intrusivos para la privacidad del usuario que permitan obtener el objetivo perseguido, al resultar técnicamente imposible controlar de forma eficaz la entrada de personas condenadas con una prohibición de acceso a las instalaciones sin la utilización de un mecanismo tecnológico”. Así, expresa que “optar por un mecanismo alternativo, implicaría, sin duda alguna, una alteración de la finalidad del tratamiento perseguida”. De esta forma, añade que “debido al interés de MERCADONA en la implementación del sistema de reconocimiento facial, desde marzo de 2019, en los procedimientos judiciales en los que ésta ha sido parte, se ha solicitado a la Administración de Justicia el establecimiento de medidas frente a los denunciados en relación con el acceso a los establecimientos de MERCADONA de una determinada área territorial, de acuerdo con los hechos denunciados, durante un período de tiempo determinado, haciendo efectivo el control de dicha medida a través de medios electrónicos en orden al reconocimiento facial” obteniendo como resultado que “todos y cada uno de los Juzgados a los que se ha hecho la petición, han considerado el sistema de reconocimiento facial un medio adecuado para garantizar el cumplimiento de las órdenes de alejamiento (…) en virtud de lo previsto en el artículo 48.4 del Código Penal”. 8. Cumplimiento del deber de información En su escrito Mercadona lista los siguientes mecanismos utilizados para cumplir con el deber de información: Carteles informativos sobre el sistema de reconocimiento facial colocados de forma visible en los accesos a cada una de las tiendas. Adjunta, documento número 18 del escrito 026461/2020 y documento 18 del escrito 026463/2020, copia de la cartelería que se ha instalado en “los accesos a sala de ventas” en los que se ha implantado el SDA. El cartel incluye, bajo el título “ZONA DETECCIÓN ANTICIPADA”, información sobre el responsable del tratamiento, el funcionamiento del sistema, el destinatario de la información (FCSE), la base jurídica del tratamiento, y la posibilidad de ejercer los derechos de protección de datos y de presentar una reclamación ante la AEPD. Además, se facilitan diversas vías para consultar información adicional sobre el tratamiento (interior de la tienda, teléfono, página de internet). Expresa al respecto además que “los distintivos informativos tienen un tamaño suficiente como para que cualquier usuario pueda leer su contenido y están ubicados en lugar suficientemente visible, en la entrada de la tienda, teniendo en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 26/113 cuenta que, el deber de información debe ser previo al tratamiento de los datos, en aras del riguroso respeto de esta parte con el principio de transparencia y el propio deber de información.” - La Política de Privacidad de la web de Mercadona Adjunta, documento número 19 del escrito 026461/2020, copia de la política de privacidad de Mercadona publicada internet cuya última actualización, según se hace constar en el propio documento, se produjo el 1 de julio de 2020. En el apartado de categorías de datos tratados se mencionan los “datos biométricos (en aquellas tiendas de España donde esté implandtado [sic] el sistema de detección anticipada)”. En el apartado correspondiente a las finalidades cita: “llevar a cabo las actuaciones precisas para proteger los intereses vitales de los clientes cuando así sea necesario, o el cumplimiento de las resoluciones judiciales y las medidas en ellas acordadas.” En el epígrafe dedicado a los plazos de conservación expresa lo siguiente: “En relación con la protección del interés vital de las personas y la ejecución de las sentencias o resoluciones que conlleven órdenes de alejamiento sobre los centros de trabajo y/o personas, los datos serán tratados y custodiados el tiempo imprescindible para dar cumplimiento a las medidas judicialmente [sic] de aquellas personas condenadas a dicha orden de alejamiento (en aquellas tiendas de España donde está implantado el sistema de detección anticipada). No obstante, los datos recogidos accesoriamente para cumplir con dicha finalidad permanecerán en el servidor únicamente en el proceso de comprobación (esta comprobación dura décimas de segundo). Una vez realizada esta comprobación procederá a ser destruida definitivamente (en aquellas tiendas de España donde está implantado el sistema de detección anticipada).” En cuanto a la legitimación, la política de privacidad consigna que “en el caso del tratamiento de los datos de carácter sensible serán tratados por razones de interés público con las consiguientes consideraciones previstas por la normativa de protección de datos, que debe ser proporcional al objetivo perseguido, que es hacer cumplir la ley, respetando los restantes principios de la normativa de protección de datos y estableciendo las medidas adecuadas y específicas para proteger los intereses y derechos de los interesados, sobre la base del Derecho de la Unión o de los Estados miembros (en aquellas tiendas de España donde está implantado el sistema de detección anticipada).” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 27/113 Asimismo, el apartado titulado “Otros datos que tratamos en Mercadona” contiene los siguientes párrafos: “De igual modo te informamos que, con el fin de mejorar la seguridad de clientes y empleados, MERCADONA, en base al interés público puede tratar su imagen o su perfil facial biométrico para identificar a sujetos con una orden de alejamiento (o medida judicial análoga) en vigor contra MERCADONA o contra cualquiera de sus trabajadores (en aquellas tiendas de España donde está implantado el sistema de detección anticipada). Dicha imagen únicamente se utilizará con esta finalidad y permanecerá en el servidor central únicamente en el proceso de comprobación (esta comprobación dura décimas de segundo). Una vez realizada esta comprobación procederá a ser destruida definitivamente (en aquellas tiendas de España donde está implantado el sistema de detección anticipada). Estas imágenes únicamente se tratarán internamente por MERCADONA, siendo exclusivamente comunicadas a las Fuerzas y Cuerpos de Seguridad para proteger la seguridad de los clientes y trabajadores de MERCADONA y el cumplimiento de las medidas decretadas judicialmente (en aquellas tiendas de España donde está implantado el sistema de detección anticipada)”. Se ha incorporado (referencia número 12) la política de privacidad publicada en el sitio de internet de Mercadona cuya última actualización, según se consigna en la misma, se produjo el 5 de octubre de 2020. - El teléfono de atención al cliente. Adjunta, documento número 20 del escrito 026461/2020, copia del argumentario telefónico utilizado en relación con el SDA en el que se describe el funcionamiento del sistema. Impresos informativos puestos a disposición de los interesados en las tiendas para entregárselos en caso de que lo soliciten. Adjunta, documento número 21 del escrito 026461/2020, copia del impreso en el que se describe el funcionamiento del sistema, expone la base jurídica del tratamiento, informa de la posibilidad de ejercer los derechos de protección de datos personales y de interponer reclamaciones ante la AEPD, y refiere la política de privacidad al efecto de obtener más información. Igualmente, adjunta Mercadona (documento número 28 del escrito 026464/2020), la copia del correo electrónico que, según manifiesta, dirige en “Responsable de Seguridad” a los “Responsables de Tienda”. En éste se informa sobre los documentos que habría que imprimir y facilitar a los clientes y trabajadores que soliciten más información sobre el SDA. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 28/113 - El plan de comunicación de Mercadona. Adjunta, documento número 22 del escrito 026462/2020, un extracto del documento “Plan de Comunicación Detección Anticipada” cuya fecha de creación, según figura en el mismo, es 1 de junio de 2020. Además de lo anterior, Mercadona manifiesta en su escrito que, con carácter previo a la puesta en marcha del proyecto piloto, dirigió una nota de prensa (adjunta copia como documento número 23 del escrito 026462/2020) a las agencias de noticias de las ciudades afectadas al objeto de que fuera publicada en los medios de comunicación y así dar a conocer el proyecto a los residentes de estas zonas. Asimismo, señala que el día 3 de julio de 2020 envío a estas mismas agencias “unas FAQs sobre el proyecto” (aporta copia como documento número 24 del escrito 026462/2020). Entre otras cuestiones, se incide en esta lista de preguntas y respuestas en que “en las tiendas conviven dos sistemas independientes uno del otro. Por un lado, videovigilancia convencional, y por el otro, detección anticipada”. Esta cuestión se observa igualmente plasmada en el registro de actividades de tratamiento (extracto adjunto como documento número 29 del escrito 026463/2020), en el que la gestión del SDA y la videovigilancia figuran como actividades de tratamiento independientes. Igualmente, Mercadona señala que ha informado a sus trabajadores acerca del tratamiento realizado por el SDA a través de diversas acciones. Así, facilita como documento número 25 del escrito 026462/2020, el texto que, según expone, estaría disponible a través “portal del empleado”. Este texto incluye información sobre el responsable, la finalidad, la base jurídica, y la posibilidad de ejercer los derechos de protección de datos personales así como de interponer una reclamación ante la AEPD. El documento número 26 del escrito 026462/2020 se corresponde con la información dirigida al “Comité Intercentros”. En este escrito, fechado el 30 de junio de 2020, se informa de la puesta en marcha con fecha de 1 de julio de 2020 del sistema en varias tiendas. Por último, expresa que el Departamento de Comunicación habría elaborado un video “para que sus trabajadores comprendiesen el Proyecto a la perfección”. Aporta (documento número 27 del escrito 026463/2020) el argumentario del mismo. Para concluir, Mercadona menciona que “desde que se ha instalado el Sistema, MERCADONA, únicamente, ha recibido una solicitud de ejercicio de derechos que ha sido atendida correspondientemente.” Y a continuación expresa que “este hecho permite concluir que los interesados consideran que la información que MERCADONA les proporciona a través de los canales mencionados da estrictamente cumplimiento a las disposiciones de la normativa de protección de datos y que el propósito seguido por MERCADONA al objeto del Proyecto es proporcional y adecuado.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 29/113 El día 28 de mayo de 2020 la AEPD publicó una nota de prensa titulada: “La AEPD analiza en un informe el uso de sistemas de reconocimiento facial por parte de las empresas de seguridad privada”. Este comunicado ha sido asimismo incorporado al presente expediente a través de la correspondiente diligencia. TERCERO: Con fecha 5 de mayo de 2021, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al reclamado, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del Artículo 5.1.
6. c)del RGPD, Artículo 6 del RGPD, Artículo 9 del RGPD, Artículo 12 del RGPD, Artículo 35 del RGPD, Artículo 13 del RGPD, Artículo 25 del RGPD, tipificada en el Artículo 83.5 del RGPD, y la medida cautelar consistente en la suspensión de todo el tratamiento de datos personales relativo al reconocimiento facial en sus establecimientos. CUARTO: Notificado el acuerdo de inicio, el reclamado solicitó copia del expediente y ampliación de plazo para presentar alegaciones, lo que se concedió en los términos legalmente establecidos. Posteriormente, el reclamado presentó en plazo y forma escrito de alegaciones en el que manifiesta, en resumen, lo siguiente respecto a aspectos sustantivos: 1. Que su legitimación se residencia en el interés público (art. 6.1.
7. e)del RGPD) para asegurar el cumplimiento de resoluciones judiciales. 2. Que el RGPD permite la utilización de datos biométricos siempre que se adopten las medidas de seguridad adecuadas, focalizando no tanto en la legitimación, que da por hecho, sino en que lo importante son las medidas de seguridad. Añade que, con medidas de seguridad adecuadas, el tratamiento puede llevarse a cabo, aunque se trate de categorías especiales de datos personales. 3. Alega y afirma que el tratamiento ahora analizado es la única medida capaz de solucionar este problema e indica que es necesaria, idónea, eficaz y proporcional. 4. Alega y afirma que no se lesionan los derechos de otros sujetos que entren en el supermercado puesto que no hay tratamiento de datos porque se produce en 0.3 segundos. Así, considera que sólo se tratarían los datos biométricos identificables de los condenados por resolución judicial firme, siendo imposible que pueda identificar a aquellas personas que no están en la base de datos indubitada. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 30/113 5. El tratamiento ahora analizado ha sido previamente validado por diversas sentencias judiciales. 6. La AEPD no ha realizado un análisis pormenorizado del sistema implantado, y ha incluido innumerables remisiones a “guías, artículos y directrices” que no resultan vinculantes. En consecuencia, existe una vulneración a los principios de tipicidad y legalidad vulnerando el principio de interdicción de la arbitrariedad de los poderes públicos (art 9.3 de la C.E.). 7. Se ha informado de manera diligente, suficiente y adecuada de la puesta en funcionamiento del Sistema e implicaciones de éste, así como el medio para ejercitar los derechos reconocidos a los afectados. 8. El sistema implantado ahora analizado tuvo en consideración desde el diseño la potencial afectación a la privacidad de las personas. En cuanto a aspectos no sustantivos o formales, realiza las siguientes alegaciones: A. Desconocimiento de las dos reclamaciones (Facua y Apedanica), lo que es contrario a la práctica habitual de la AEPD. B. El patrón de una persona no constituye un dato de carácter personal, por lo que no se necesita base legal para su tratamiento. C. El sistema implantado no recoge información adicional a la condición de condenado incluido en su base de datos. D. La propuesta de Reglamento sobre inteligencia artificial (COM