PS-00141-2025

1/87  Expediente N.º: EXP202314029 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR RECONOCIMIENTO DE RESPONSABILIDAD Y PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 29 de mayo de 2025, la Presidencia de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a RIVER MADOS, S.L. (en adelante, RIVER MADOS), mediante el acuerdo que se transcribe: << Expediente N.º: EXP202314029 Procedimiento Sancionador Nº. PS/00141/2025 ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR HECHOS....................................................................................................................... 1 FUNDAMENTOS DE DERECHO.................................................................................14 I.Competencia.......................................................................................................15 II.Procedimiento....................................................................................................15 III.Cuestiones previas...........................................................................................15 IV. Obligación incumplida. Sobre el incumplimiento de disponer de una excepción del artículo 9.2 del RGPD que habilite a tratar datos de categoría especial..........36 V.Tipificación de la infracción del artículo 9 del RGPD y calificación a efectos de prescripción.......................................................................................................... 51 VI.Sanción por incumplimiento del artículo 9 del RGPD.......................................51 VII.Obligación incumplida. Sobre la obligación de realizar una EIPD previa que cumpla con los requisitos previstos en el artículo 35 del RGPD...........................56 VIII. Tipificación y calificación de la infracción del artículo 35 del RGPD..............77 IX. Sanción por la infracción del artículo 35 del RGPD.........................................77 X. Medidas correctivas.........................................................................................80 SE ACUERDA:º........................................................................................................... 81 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/87 De las actuaciones practicadas por la Agencia Española de Protección de Datos y en base a los siguientes HECHOS PRIMERO: Con fecha 31 de agosto de 2023 se interpuso reclamación por A.A.A. ante la Agencia Española de Protección de Datos por una posible infracción imputable a RIVER MADOS, S.L con NIF B16812729 (en adelante, RIVER MADOS). La parte reclamante manifiesta que en julio de 2023 inició su relación con cliente de un establecimiento deportivo gestionado por la entidad reclamada y que, al registrarse como usuario, uno de los trabajadores de la entidad reclamada le indicó que debía registrar su huella dactilar para acceder a las instalaciones, si bien la parte reclamante señala que nunca fue informado sobre dicho tratamiento de datos y considera que no es adecuado el uso de dichos datos para el acceso a las instalaciones. Señala que en fecha 31 de julio de 2023 remitió un correo electrónico a la entidad reclamada reclamándoles información sobre dicha petición y sobre el tratamiento de datos y su finalidad, sin haber obtenido debida contestación. Junto con su reclamación, aporta copia del correo electrónico dirigido por el reclamante a ***EMAIL.1 con fecha de 31 de julio de 2023. SEGUNDO: Con fecha de 9 de octubre de 2023 se obtiene por esta Agencia y se une al procedimiento la política de privacidad que consta en el sitio web ”www.xfitness.es” XFITNESS CENTRAL OPERATIVA S.L, en cuyo punto tercero se indica que: “El responsable del tratamiento de la información (en adelante XFITNESS) dependerá del centro a quien vaya dirigida dicha información y que será el encargado de su gestión y custodia”, siendo el correspondiente al centro de Valdemoro la empresa RIVER MADOS S.L, frente a la que se dirige el presente procedimiento. TERCERO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a RIVER MADOS, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. La actuación de traslado y solicitud de información se notificó a la parte reclamada en fecha 13 de octubre de 2023, a través de medios electrónicos, conforme a lo dispuesto en el artículo 43 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, según certificado del Servicio de Notificaciones Electrónicas y Dirección Electrónica Habilitada que consta en el expediente. La parte reclamada no ha dado repuesta a la actuación de traslado y solicitud de información notificada. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/87 De los hechos expuestos, se infiere una posible vulneración de la normativa en materia de protección de datos. CUARTO: Con fecha 30 de noviembre de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación. QUINTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VIII, de la LOPDGDD. Durante la misma, se remitieron 3 requerimientos de información a la reclamada por la inspección, que se contestaron mediante los siguientes escritos: - Para contestar al primer requerimiento de información de 30/11/203: RIVER MADOS presenta escrito el 01/03/2024, con fecha registro 04/03/2024. Para contestar al segundo requerimiento de información: RIVER MADOS presenta escrito de 28/11/2024, con fecha registro 29/11/2024. Para contestar al segundo requerimiento de información: RIVER MADOS presenta escrito de 17/02/2025, con fecha registro 18/2/2025. Concluidas las actuaciones previas de investigación, con fecha de 26/02/2025, se emite informe de actuaciones previas de investigación por el inspector , que valora el resultado de las actuaciones realizadas hasta el momento. El informe señala que, como consecuencia de los requerimientos de información efectuados por la inspección, con fecha 01/03/2024, 28/11/2024 y 17/02/2025 la parte reclamada remite a esta Agencia la siguiente información y manifestaciones: - Cuestiones generales. 1. Aporta un registro de actividades del tratamiento donde consta, entre otros datos, que el responsable del tratamiento del gimnasio ubicado en ***DIRECCIÓN.1 es RIVER MADOS, S.L., que se tratan las minucias de huella dactilar, entre otros datos, que existe un encargado del tratamiento con acceso a datos, que es SPORT & CONSULTING INVESTIGACIÓN Y DESARROLLO S.L. (en adelante DEPORWEB), que el periodo de conservación son 3 meses desde que el socio cursa su baja y que las medidas de seguridad aplicadas son las contenidas en el documento de seguridad. 2. Manifiesta que el tratamiento de huellas dactilares comenzó en fecha 01/09/2021 y finalizó en el mes de febrero de 2024. Que los hashes de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/87 las plantillas de las huellas fueron definitivamente borrados. Aporta capturas de pantalla en la respuesta de fecha 28/11/2024 donde consta que la opción “Leer Huella” de la aplicación del control de accesos está deshabilitada. Aporta log de entrada y salida de socios al gimnasio donde la última fecha es el 15/01/2024. - En relación a la Evaluación de Impacto. Con fecha 01/03/2024 la parte reclamada aporta una evaluación de impacto (EIPD) del tratamiento, fechada a 04/12/2023 y firmada por el Delegado de Protección de Datos, en la que el inspector destaca los siguientes aspectos que serán analizados con mayor detalle en los Fundamentos de Derecho:  En la descripción del tratamiento consta que: “La aplicación usa biometría parcial de la huella dactilar para poder individualizar a las personas y poder controlar el acceso a las instalaciones en los periodos nocturno en los que no hay personal trabajador en recepción.”  La finalidad del tratamiento: “En el caso que nos ocupa, la finalidad perseguida es identificar a los socios que acceden al dentro deportivo fuera del horario de atención presencial requiere que el sistema supere el examen de los juicios de idoneidad, necesidad y proporcionalidad estricta.  La EIPD contiene un análisis de idoneidad, necesidad y proporcionalidad al que se hará referencia en el Fundamento de Derecho relativo al incumplimiento del artículo 35 del RGPD, dada su extensión y relevancia. Dicho triple análisis describe los métodos de acceso empleados cuyo fundamento es dotar al gimnasio de un método de control de acceso durante las horas nocturnas en las que no se cuenta con empleados en recepción que controlen el acceso, dado que “las instalaciones deportivas del responsable del tratamiento permanecen abiertas en amplio horario (06:00-00:00)”, indicando que: “El gimnasio ofrece a sus socios la posibilidad de acceder a sus instalaciones, fuera del periodo de apertura usual en las que no dispondría de medios humanos para intervenir en el control de acceso in situ. Durante dichos periodos, el acceso de los usuarios es posible mediante la combinación de un token físico personal e intransferible en poder del usuario, y la captura de la minucia de la huella dactilar parcial (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/87 Así pues, cabe destacar que “Durante el periodo con presencia de empleados en la recepción, se utiliza la identificación mediante el Token físico o documento equivalente sin requerir el uso del sensor de huella dactilar”. Y en el horario nocturno, se combina el uso del token con la detección de huella dactilar. Y se mantiene que “La superación del juicio de necesidad encuentra su fundamento en que las instalaciones estén disponibles fuera del horario con presencia de personal de la organización, las operaciones de tratamiento alternativas en dichos periodos no permitirían al responsable del tratamiento velar por el cumplimiento de sus obligaciones en materia de seguridad y responsabilidad de sus instalaciones, así como para prevenir la utilización obligaciones en materia de seguridad y responsabilidad de sus instalaciones, así como para prevenir la utilización fraudulenta de otros medios menos eficaces o el acceso fraudulento de personas que no sean clientes o socios con membresía en vigor(…)”.  Consta un análisis de riesgos con riesgos residuales de carácter “Alto”, “Medio” y “Bajo”. El informe de inspección hace referencia a que no constan los riesgos inherentes, a que no se justifica porque se considera que el riesgo residual es aceptable, y a determinados riesgos y medidas que se analizarán en el Fundamento de Derecho correspondiente. Por otra parte, en su contestación de fecha 28/11/2024, la parte reclamada manifiesta que “ha paralizado el acceso mediante huella dactilar por simplemente un accesoria RFID, lo que ha reportado que un porcentaje del 20% de los socios han realizado un uso irregular de los sistemas de acceso contraviniendo las políticas de uso de las instalaciones. Esta circunstancia no hace sino que evidenciar que el sistema alternativo implantado no supera el juicio de idoneidad del tratamiento analizado que reemplaza, y ha generado a esta mercantil cuantiosos perjuicios económicos y supone un riesgo para la viabilidad del modelo de negocio que basa su valor en ofrecer un amplio horario de apertura que no puede ni podría sustentarse en la contratación de personal de control de acceso a las instalaciones durante todo el rango horario debido al coste salarial.” - En relación a la información sobre protección de datos proporcionada. Con fecha 01/032024 la parte reclamada aporta la siguiente documentación y manifestaciones, en respuesta a la solicitud de acreditación de haber proporcionado al reclamante la información sobre protección de datos en relación al tratamiento de sus datos de huella dactilar, aporta un Anexo I con el siguiente contenido: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/87 a. Aporta copia de un documento con membrete “CONSENTIMIENTO PARA EL TRATAMIENTO DE DATOS PERSONALES” firmado en fecha 24/07/2023 con una firma manuscrita. En dicho documento consta el nombre, apellidos, email y teléfono móvil del reclamante. Asimismo, consta asociado al reclamante, el número de socio ***REFERENCIA.1 y una dirección postal. Y consta el siguiente texto:. “De conformidad con lo dispuesto en el art. 9 del Reglamento (UE) 2016/679, de 27 de abril de 2016, o Reglamento General de Protección de Datos (RGPD), en lo relativo al tratamiento de categorías especiales de datos, RIVER MADOS, SL con CIF B16812729 y domicilio a efectos de notificaciones en C/ Doctor Fleming 19 y 21, código postal 28342 de Valdemoro (Madrid), le informa que recabará una minucia de su huella dactilar con la finalidad de que pueda acceder al centro deportivo fuera del horario de recepción. El escaneo de la huella dactilar se logra gracias a la captación de ciertos puntos característicos que posee cada individuo. Para esto el sistema necesita primero la imagen del dedo. La lectura incluye la captación de minucias que conforman la huella para ser transformadas en algoritmos por el dispositivo. Por lo tanto, lo que finalmente queda registrado en el sistema es una representación matemática de las características de la huella, en palabras sencillas, cadenas alfanuméricas que se convierten en claves únicas, y no una imagen digital del dedo cómo se puede pensar. La base jurídica que legitima este tratamiento es el consentimiento prestado en el presente documento. Sus datos no serán comunicados a terceros, a excepción del acceso que pueda tener la empresa de mantenimiento informático en su calidad de encargado de tratamiento. Sus datos serán conservados mientras siga siendo socio del centro deportivo y durante los siguientes 3 meses a que curse la baja, así como mientras usted no solicite su supresión. Podrá ejercer los derechos de acceso, rectificación, supresión, limitación y oposición del tratamiento y portabilidad de los datos que le conciernen dirigiéndose mediante comunicación fehaciente por escrito, acreditando su identidad, en nuestro domicilio social o bien dirigiendo su solicitud a nuestro delegado de protección de datos a la siguiente dirección de correo electrónico ***EMAIL.1 adjuntando fotocopia del DNI. Y en el caso de que lo considere oportuno, podrá presentar una reclamación ante la Agencia Española de Protección de Datos para ejercer la tutela de sus derechos. Acepto, el tratamiento de mis datos conforme a las manifestaciones indicadas anteriormente:” b. Aporta copia de un documento con membrete “CONTRATO DE INSCRIPCIÓN DE ABONADO DATOS DEL TITULAR” firmado en fecha 24/07/2023 con una rúbrica manuscrita, en apariencia, idéntica a la anterior. En dicho documento consta el nombre, apellidos, email y teléfono móvil del reclamante. Asimismo, consta asociado al reclamante, el número de socio ***REFERENCIA.1, un número de DNI y la fecha de alta 24/07/2023 así como una dirección postal Y consta el siguiente texto: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/87 “Términos y condiciones de contratación […] El CENTRO ofrecerá en horarios limitados únicamente atención comercial y administrativa. El resto del horario de apertura las instalaciones será sin personal de supervisión. […] DISPOSITIVO DE IDENTIFICACIÓN Al inscribirse como SOCIO del centro se le entrega un dispositivo que acredita su condición (llavero magnético o pulsera identificativa), cuyo uso es necesario para el acceso al centro por los tornos. En caso de pérdida o extravío se emitirá uno nuevo previo pago del coste del mismo. Los trámites de gestión para el dispositivo de identificación sólo se realizarán en horario de atención al público. No se autoriza el acceso al centro sin dicho dispositivo. El dispositivo es personal e intransferible, no se puede ceder, o prestar a otra persona bajo ninguna circunstancia. En caso de uso fraudulento implicará su inmediata retirada, y la baja definitiva del SOCIO, sin derecho a reembolso del importe de la cuota correspondiente al periodo restante, y sin posibilidad de volver a inscribirse en el CENTRO. […] HORARIO Y CALENDARIO El CENTRO permanecerá abierto los 365 días del año salvo razones de fuerza mayor. El CENTRO establecerá un mínimo horario de atención al público el cual será publicado mediante comunicaciones internas en el CENTRO. La dirección se reserva el derecho de modificar puntualmente el horario de apertura o de atención al público por motivos extraordinarios de limpieza, reparaciones, eventos, vacaciones, etc. Cualquier alteración del horario será notificada, mediante comunicaciones internas. […] POLÍTICA DE TRATAMIENTO DE DATOS PERSONALES Los datos de carácter personal que se faciliten durante la contratación de los servicios descritos anteriormente serán tratados por RIVER MADOS, SL en calidad de responsable del tratamiento con la finalidad de gestionar su condición de socio, perfeccionar los servicios contratados, cobrar las cuotas pertinentes, darle acceso a las instalaciones del centro, así como remitirle información comercial a través de medios electrónicos sobre nuevos servicios y promociones. La base jurídica que legitima este tratamiento es la ejecución de las medidas contractuales de nuestra relación comercial. Podrá ejercer los derechos de acceso, rectificación, supresión, limitación y oposición del tratamiento y portabilidad de los datos que le conciernen dirigiéndose mediante comunicación fehaciente por escrito, acreditando su identidad, en nuestro domicilio social o bien dirigiendo su solicitud a nuestro delegado de protección de datos a la siguiente dirección de correo electrónico ***EMAIL.1 adjuntando fotocopia del DNI. Y en el caso de que lo considere oportuno, podrá presentar una reclamación ante la Agencia Española de Protección de Datos para ejercer la tutela de sus derechos.” - En relación al proceso de acceso de un socio al gimnasio. Con fecha 01/032024 la parte reclamada aporta la siguiente documentación y manifestaciones: o Manifiesta que el proceso de acceso de un socio al gimnasio es acercando su dispositivo de acceso primero en la parte superior de un lector. Que a continuación, el socio tendrá que apoyar su dedo en un lector de huella dactilar para habilitar el acceso. Que para salir del gimnasio, el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/87 socio deberá poner el dispositivo de acceso en un lector, tras lo cual se habilita la salida. o Manifiesta que en el gimnasio existe la posibilidad de acceder sin huella si el usuario accede dentro del horario de atención presencial. Que el horario de apertura del gimnasio es de 6AM a 12 AM (de 6 de la mañana a 12 de la noche), siendo posible acceder al gimnasio en cualquier momento dentro de ese horario. Que la huella dactilar se emplea para el acceso al gimnasio fuera del horario de atención presencial, donde no hay personal contratado para recepción que pueda encargarse de verificar la identidad de los socios por otros métodos, siendo dicho horario fuera de atención presencial de 6AM a 9AM y de 8PM a 12 AM. - En relación con la posible concurrencia de una base de licitud del tratamiento del artículo 6 del RGPD y de una excepción del artículo 9.2 del RGPD que habilite al tratamiento de datos biométricos de categoría especial. En el apartado de “procedimiento de control de acceso” del informe, la inspección hace referencia a que la respuesta de 4/3/24 señala que cual es la base de licitud y excepción en las que dice ampararse la reclamada: o Tras realizar una precisión preliminar: “[…] Asimismo, antes de realizar el análisis de los artículos 6 y 9 del RGPD y confirmar que nuestra entidad cumple con las excepciones previstas por la normativa para el tratamiento de datos biométricos. La decisión de optar por la lectura de la huella dactilar para permitir el acceso, resulta de ser, hasta día de hoy, la manera más efectiva de confirmar la identidad del socio que accede cuando no hay personal en recepción y evitar el uso fraudulento de las instalaciones por personas distintas al socio (argumento que puede apreciarse en la Evaluación de Impacto). o Dicen acogerse a la excepción del consentimiento del artículo 9.2.

1. a)del RGPD, señalando que se recaba un consentimiento del socio que cumple con los requerimientos señalados por esta Agencia y el Comité Europeo de Protección de Datos, puesto que se establece una alternativa al método de acceso mediante huella, señalando que: “En el presente caso, el sistema de entrada mediante la huella dactilar en el horario en que no hay recepcionistas ha sido y es informado a cada nuevo socio del centro antes de apuntarse. Asimismo, antes de rellenar el formulario de suscripción no solo se informa del mecanismo de entrada, sino que también se indica que, en caso de que no querer emplear la huella dactilar, el socio únicamente podrá acceder a las instalaciones dentro del horario en que haya un recepcionista en la entrada, debiendo emplear su llavero de socio y acreditando su identidad. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/87 o Y respecto a la licitud del tratamiento, se señala que: “ el artículo 6 del RGPD establece aquellos supuestos en los que el tratamiento de los datos se presupone como lícito y, por tanto, válido. En el caso que nos atañe, aquellos supuestos en los que se puede encuadrar la licitud del tratamiento de los datos por parte de nuestra entidad son los apartados
2. a)y
3. b)del mencionado artículo.” - En relación al proceso de alta de un nuevo socio en el gimnasio. Tras el requerimiento de información donde se solicita el proceso de Alta de nuevo socio, a fecha 24/07/2023, paso a paso y en detalle, con fecha 28/11/2024, la parte reclamada aporta capturas de pantalla del proceso que se sigue de forma general para dar de alta a un nuevo socio, que consta realizado por medio del navegador web y en una url del dominio basic.deporweb.net . o El informe expone paso a paso el proceso de alta y firma que se acredita respecto al reclamante, señalando, entre otras cosas que aparece en la ventana de “Gestión de contratos” el “Alta”, la “Baja” y “RGPD”, y que a continuación se abre una única ventana para la realización de una única firma manuscrita digitalizada donde consta el texto “Realizando la firma de contrato para el Socio”, en la que constan 2 firmas realizadas, una en “Alta” y otra en “RGPD”, ambas con la misma fecha 27/11/2024 y con la misma hora y minuto de firma, pero: (
4. i)no aparecen los documentos firmados; (
5. ii)se visualizan los datos de cobro/facturación donde consta el texto “Último contrato firmado el 27/11/2024” en el mismo espacio donde antes constaba “No existe firma para este tipo de contrato”. o A continuación, según manifiesta la parte reclamada, se presenta la información sobre protección de datos al nuevo socio para que, tras leerla, la firme en la tableta dedicada, pero este paso consta como un paso independiente y externo a la página web anterior en el que se ha realizado todo el proceso hasta este punto. En este paso se aporta una captura de pantalla donde consta un documento pdf abierto desde el PC en un directorio local, en el cual se muestra un documento de título “CONTRATO DE INSCRIPCIÓN DE ABONADO DATOS DEL TITULAR”. Asimismo, consta una tableta para digitalizar la firma manuscrita. No consta el documento mencionado anteriormente “CONSENTIMIENTO PARA EL TRATAMIENTO DE DATOS PERSONALES”. Manifiesta, por otra parte, la reclamada que el proceso de alta a fecha 24/07/2023 y el existente en la actualidad son idénticos a excepción de la captura de la minucia de la huella, que ha sido desechado a raíz del presente procedimiento y a la espera de su resolución, por lo que no puede aportarse la fotografía del paso en concreto. En una de las pantallas aparece “huella desactivada”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/87 Con fecha 18/02/2025, tras el nuevo requerimiento realizado por la inspección, la parte reclamada añade que: o o o - No es posible aportar el momento exacto en el que un nuevo socio firmaba el documento llamado “CONSENTIMIENTO PARA EL TRATAMIENTO DE DATOS PERSONALES” porque han modificado el proceso de alta de nuevo socio y ya no recaban el consentimiento para el tratamiento de la minucia de la huella dactilar. La casilla de firma “Alta” y “RGPD” son dos firmas que se realizan por separado y que el correspondiente a “RGPD” es el consentimiento para recabar la minucia de la huella dactilar. Que el apartado de firma “Alta” corresponde a los “Términos y Condiciones”. Pero la reclamada no aporta documentación acreditativa, tras habérsele requerido, que sustente dichas manifestaciones, ni con el contenido de dichos documentos “Alta” y “RGPD” ni con las capturas de pantalla de ambas firmas. NI tampoco, pese a que le fue requerido, los documentos “CONSENTIMIENTO PARA EL TRATAMIENTO DE DATOS PERSONALES” firmados por otros socios. En relación a la descripción de la arquitectura de sus sistemas. Con fecha 01/032024 la parte reclamada aporta la siguiente documentación y manifestaciones: o Que existen dos lectoras de huellas del fabricante ***EMPRESA.1 (marca ***MARCA.1). Una de las lectoras se usa para la captura inicial de la huella, modelo ***MODELO.1. La otra lectora se ubica en el molinete de acceso para la comparativa con la huella almacenada en la base de datos y es modelo ***MODELO.2. o Que existen dos servidores ubicados en Francia contratados a DEPORWEB y subcontratados por éste a OVH. Manifiesta que los códigos de las huellas dactilares no se almacenan en estos servidores. o Aporta una captura de pantalla con parte de los datos almacenados en dichos servidores. En la captura de pantalla proporcionada constan datos de acceso con únicamente el número de socio, nombre y apellidos, número de DNI, edad, sexo, resultado del acceso, fecha del acceso, si es entrada o salida y la zona del acceso. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/87 o Que existen un PC local conectado a una base de datos local, donde se almacenan los códigos de las huellas dactilares. Cada código son 800 caracteres hexadecimales. Dichos códigos se almacenan en una tabla que solo tiene dos campos; una es un número que identifica al cliente (el número de socio) y el otro es el código de la huella. Que los códigos de las huellas únicamente se relacionan con el resto de bases de datos a través del identificador del cliente (número de socio). o Que existe una aplicación del control de accesos que se ejecuta en modo local y una aplicación de gestión, de acceso web. o Aporta documentación de carácter técnico de sus lectoras de huellas donde consta, entre otro, el siguiente contenido para la lectora de huellas modelo FIM6060 consta “Encryption: AES” Por otra parte, con fecha 28/11/2024 la parte reclamada aporta la siguiente documentación y manifestaciones: o Aporta la descripción del contenido de las tablas de base de datos local. No se aporta el contenido de la base de datos en la nube de OVH, como se solicita en el requerimiento enviado. o Manifiesta, respecto de la base de datos local, que en la tabla USUARIOS se registran los distintos usuarios con los que se accede al programa del control de accesos. Según manifiesta, dicha tabla consta de un registro por cada usuario que haya accedido al programa del control de accesos. Aporta una captura de pantalla donde constas 4 columnas para la tabla USUARIOS, un campo “id”, un campo “Correo” conteniendo un código alfanumérico ininteligible, un campo “Clave” conteniendo un código alfanumérico ininteligible, un campo “Centros” conteniendo un código alfanumérico ininteligible. Y manifiesta que el campo “id” es un identificador numérico de cada usuario, el campo “Correo” es el correo electrónico encriptado de cada usuario, el campo “Clave” es el hash de la clave de acceso de cada usuario, el campo “Centros” es el centro, encriptado, al que pertenece el usuario. Con fecha 18/02/2025 la parte reclamada aporta la descripción de la base de datos localizada en el proveedor OVH en la nube, en la cual no constan datos de huellas dactilares. - En relación al proceso de captura y codificación de las huellas dactilares y a la aplicación que controla los accesos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/87 Con fecha 01/032024 la parte reclamada aporta la siguiente documentación y manifestaciones: o Aporta un diagrama con el proceso interno al lector de huella de captura y codificación de la huella dactilar, según manifiesta. En dicho diagrama del proceso consta un paso de encriptación y una clave de encriptación de 128 bits. El código de salida de dicho proceso es un código de 400 bytes y 800 caracteres hexadecimales que representa a la huella dactilar. o Manifiesta que el código resultante que representa a la huella dactilar en ningún momento sale a ninguna red pública, fuera de la intranet local del gimnasio. Que todo el proceso de recogida y almacenamiento de la huella es íntegramente local y siempre dentro de la red privada del gimnasio. o Manifiesta que tienen una aplicación que controla la captura de las huellas dactilares. Dicha aplicación (en adelante, aplicación del control de accesos) se comunica con los lectores de huellas y está instalada en el PC local y se basa en una base de datos local donde se guardan todos los datos utilizados por el control de accesos. Que el sistema de control de accesos no permite solo la captura de la huella sino que previamente se debe asignar al cliente una tarjeta o dispositivo RFID. Que por tanto se trata de un sistema 1:1. o Manifiesta que la aplicación del control de accesos no obliga a que se haga una captura de huella dactilar, sino que ofrece 3 opciones: a. Solo Tarjeta. No se pedirá huella, sino que el usuario accederá solo con su tarjeta RFID. En este caso no se realiza captura de la huella ni el socio tendrá que poner su huella en el lector de huellas de la entrada. b. Sin huella. En este caso no se realiza captura de la huella pero el socio tendrá que poner su huella en el lector de huellas de la entrada. Con esta opción se valida cualquier huella que se ponga en el lector ya que no hay nada con qué compararla. Está opción se utiliza con personas mayores y trabajadores manuales en los cuales las huellas dactilares suelen estar borradas o deterioradas. En este caso tampoco se hace la captura inicial de la huella. c. Leer huella. Es la opción de captura real. Cuando se elige esta opción se activa el programa de captura del fabricante del lector de huellas. Este programa es facilitado con el dispositivo físico, por el propio fabricante, y es quien realiza de forma interna y sin C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/87 posibilidad de manipulación, todo el proceso de captura. Una vez finalizado el proceso de captura, el programa devuelve un vector de 400 bytes cifrados. o Aporta capturas de pantalla de dicho programa del fabricante y de la aplicación del control de accesos. En las capturas del programa del fabricante, durante el proceso de captura, se puede visualizar la imagen de la huella dactilar que está siendo escaneada, como una imagen de dicha huella. En las capturas de pantalla de la aplicación del control de accesos se puede ver el código de la tarjeta del socio pero no así el código asociado a la huella dactilar. o Que el funcionamiento del acceso de un socio por huella dactilar, es que primero se lee su dispositivo RFID. El programa del control de accesos busca a qué socio corresponde ese dispositivo RFID y obtiene el número de socio y se obtiene el código de la huella, la cual se envía al lector de huellas. Seguidamente, el lector de huella, internamente, compara el hash de plantilla de la huella enviada con el hash de plantilla de la huella que obtiene en tiempo real sobre el lector, y determina si son o no coincidentes. o Aporta un certificado firmado y sellado por ***EMPRESA.1 donde consta: “El presente documento es para certificar que los datos de la huella extraídas por los lectores de huella de ***EMPRESA.1. (***MODELO.3) (...) no pueden ser desencriptados ni desmontados por ninguna entidad no autorizada. Las claves de los algoritmos pertenecen únicamente a ***MARCA.1 y no son accesibles para los organismos que suministran o compran los equipos. Protección de identidad Ningún sistema de seguridad puede alcanzar una total seguridad mientras los datos del usuario puedan ser robados o duplicados. Mientras que la ID de un usuario, la contraseña, o incluso la imagen de una huella pueden ser robados, con ***MODELO.4, no es posible de hacer lo mismo gracias a su seguridad avanzada. Una vez el dedo haya sido escaneado y convertido a un ***MODELO.4, la imagen escaneada se destruye. Todo lo que queda es un modelo matemático que no puede ser decodificado para obtener la imagen de huella original. Fecha : Apr., 28, 2022” Por otra parte, con fecha 28/11/2024 la parte reclamada aporta la siguiente documentación y manifestaciones: o C/ Jorge Juan, 6 28001 – Madrid Se aporta una captura de pantalla de una búsqueda SQL de base de datos ejecutada, según manifiesta la parte reclamada, en fecha www.aepd.es sedeaepd.gob.es 14/87 12/11/2024, donde consta que no hay socios que no tengan tarjeta asignada. o En relación a cómo se extraen las características de las huellas dactilares y a cómo se obtiene el código de 400 bytes que se almacena en la base de datos y que representa a una huella dactilar, manifiesta: “[…] Paso 2. Extracción de características. Si la imagen en bruto obtenida ha superado los dos primeros test, de calidad y falsificación, se procede con la extracción de características. En primer lugar, se hace una segmentación de la imagen, para proceder a su mejora y limpieza. En segundo lugar, se hace una corrección del ángulo de orientación, puesto que la imagen escaneada nunca tiene el mismo ángulo de orientación. En tercer lugar, se calculan o definen los límites de la imagen, para su posterior procesado. Por último, se procede a la obtención de los tríos de minucias, que intentaremos explicar a continuación. Las huellas dactilares de una persona se basan en los patrones de las crestas de la piel (llamadas dermatoglifos) en las yemas de los dedos. Las minucias, son los puntos donde la continuidad de las crestas se rompe. Cada minucia está determinada por dos coordenadas espaciales x e y, y un ángulo que es la dirección de la cresta en ese punto. En una huella dactilar, se pueden encontrar varias decenas de minucias. Se escogen tríos (grupos de 3) de minucias adyacentes, y se calculan sus distancias, ángulos, y triángulos que forman, y se hacen complejos cálculos matemáticos con todos esos datos, obteniendo un vector de datos matemáticos, que llamamos plantilla de la huella. En este punto, una vez obtenido el vector de datos o plantilla, la imagen en bruto de la huella se destruye (se vacía de la memoria) puesto que ya no es útil para nada más, ni se va a utilizar para nada más. Estadística y computacionalmente hablando, en este punto, las posibilidades de reconstruir la imagen de la huella a partir de la plantilla son prácticamente inexistentes, ya que la cantidad de combinaciones posibles, que se pueden dar con los datos de la plantilla, es astronómica. Pero es que aún falta otro paso más, que es el cálculo del Hash de la plantilla. Esto asegura la irreversibilidad del proceso. Paso 3. Cálculo del Hash de la Plantilla de la Huella. Criptográficamente hablando, existen sistemas de encriptación bidireccional, y sistemas de encriptación unidireccional. Los sistemas bidireccionales, pueden ser simétricos (usan la misma clave para encriptar y para desencriptar) o asimétricos (usan distintas claves para encriptar y para desencriptar) pero, en cualquier caso, son reversibles, es decir, todo lo encriptado, se puede desencriptar, para obtener de nuevo el dato original. Los sistemas unidireccionales, al contrario que los bidireccionales, sirven para encriptar, pero no sirven para desencriptar, precisamente por eso, se llaman unidireccionales. Estos sistemas, tienen utilidades C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/87 más reducidas que los sistemas bidireccionales, precisamente por eso, porque una vez encriptado el dato, no es posible desencriptarlo, sino simplemente compararlo, con otro dato codificado de la misma manera, y ver si el resultado coincide o no. Estos sistemas se conocen habitualmente como funciones criptográficas hash, o simplemente “HASH”. Hay varias funciones hash sobradamente conocidas, entre las cuales tenemos la SHA-1, SHA-2, MD5, e infinidad de variantes de cada una de estas. Además, estas funciones de HASH pueden operar con distinto número de bits. Las funciones de hash son ampliamente utilizadas para el almacenamiento de contraseñas y claves, puesto que no pueden ser desencriptadas, sino simplemente comparadas con la nueva contraseña “hasheada”. Cuando accedemos a un sistema, e introducimos nuestras credenciales, la contraseña que nosotros introducimos, se pasa por la función hash, y el resultado se compara con el almacenado en las bases de datos. Si ambas cadenas de hash coinciden, la contraseña es válida, si no coinciden la contraseña no es válida. Estas funciones garantizan la irreversibilidad del proceso, de modo que la imposibilidad de reconstruir la imagen de la huella original, a partir del hash de la plantilla de la huella, queda sobradamente acreditada. Una vez ejecutada la función hash, sobre la plantilla de la huella, se obtiene una cadena binaria de 400 bytes. Esta cadena binaria, es lo que el lector de huellas devuelve al final del proceso. Los 3 pasos anteriores tienen lugar físicamente en el interior del lector de huellas, y no es posible obtener otro dato que no sea esta cadena hasheada, ni manipular en modo alguno el proceso, ya que todo se realiza internamente en el lector, y en cuestión de segundos. Los lectores no guardan ninguna imagen de las huellas escaneadas. La imagen se elimina de la memoria volátil, tan pronto se obtiene el vector de la plantilla, que es el dato que realmente se necesita y se usa tanto para el almacenamiento como para la posterior comparación. Todos estos procesos que se han explicado en estos 3 pasos involucran el uso de un gran número de algoritmos matemáticos e informáticos, que son secretos y patentados por las compañías fabricantes de los dispositivos, en este caso ***MARCA.1. Desde cómo se segmenta la imagen, cómo se mejora, cómo se rota, cómo se delimita, cómo se eligen los tríos de minucias, los cálculos exactos que se hacen con los tríos de minucias, hasta la función exacta de hash utilizada por el lector, todos estos algoritmos son secretos y exclusivos de cada fabricante, y están protegidos por derechos de patente y de propiedad, con lo cual, no es posible concretar más, puesto que no se conocen más detalles.” - En relación a los datos almacenados. Con fecha 01/032024 y 12/03/2024 la parte reclamada aporta la siguiente documentación y manifestaciones: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/87 o Aporta extractos de base de datos donde constan: a. 1467 códigos de huellas dactilares almacenadas, manifestando que son todas las huellas almacenadas actualmente. b. 1742 socios, manifestando que son todos los socios dados de alta en el sistema de acceso por cualquier método. De esos, constan los 1224 socios con huella, 25 socios de tipo “Solo Tarjeta” y 487 son “Sin huella” y 6 socios sin ninguna tipología, manifestando que porque aún no se les ha registrado la huella. - o Manifiesta que la diferencia entre los 1467 códigos de huella almacenadas en total y los 1224 códigos de huella dados de alta en el sistema de control de acceso corresponde a los socios dados de baja en los últimos 3 meses y que aún no se han borrado sus huellas. o Se comprueba, en dichos extractos de base de datos aportados, que no existen códigos de huella almacenados en base de datos correspondientes a socios con fecha de baja anterior a 01/12/2023. En relación a las medidas de seguridad implantadas. El inspector hace referencia a la documentación y manifestaciones aportadas por la reclamada con fechas de 01/03/2024 y 28/11/24, que serán objeto de exposición en el Fundamento de Derecho VII. OCTAVO: De acuerdo con el informe recogido de la herramienta AXESOR con fecha de 12/03/2025, la entidad RIVER MADOS, S.L es una empresa constituida en el año dedicada a la gestión de instalaciones deportivas, y con un volumen de negocios de 408.479 € euros en el año 2023. FUNDAMENTOS DE DERECHO I. Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/87 iniciar y resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. II. Procedimiento Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos”. De acuerdo con el artículo 64 de la LOPDGDD, y teniendo en cuenta las características de las presuntas infracciones cometida, se inicia un procedimiento sancionador. El procedimiento tendrá una duración máxima de doce meses a contar desde la fecha del acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones, de conformidad con lo establecido en el artículo 64 de la LOPDGDD. Si en el plazo estipulado no efectuara alegaciones a este acuerdo de inicio, el mismo podrá ser considerado propuesta de resolución, según lo establecido en el artículo 64.2.
6. f)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP). III. Cuestiones previas. 3.1. Datos personales objeto de tratamiento. Definición de los datos biométricos de carácter personal. Los sistemas de procesamiento de datos biométricos son métodos automáticos que se basan en recoger y procesar datos personales relativos a las características físicas, fisiológicas o conductuales de las personas físicas, entre las que cabe incluir las características neuronales de estas, mediante dispositivos o sensores, creando plantillas biométricas (también denominadas firmas o patrones) que posibilitan la identificación, seguimiento o perfilado de dichas personas. Como ya señaló el Dictamen 4/2007 del grupo de trabajo del artículo 29 (ART. 29 de la Directiva 95/46 CE, como organismo de la UE, de carácter consultivo e independiente), sobre el concepto de datos personales (WP136), de 20/06/2007, los datos biométricos pueden definirse como: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 18/87 “… propiedades biológicas, características fisiológicas, rasgos de la personalidad o tics, que son, al mismo tiempo, atribuibles a una sola persona y mensurables, incluso si los modelos utilizados en la práctica para medirlos técnicamente implican un cierto grado de probabilidad. Ejemplos típicos de datos biométricos son los que proporcionan las huellas dactilares, los modelos retinales, la estructura facial, las voces, pero también la geometría de la mano, las estructuras venosas e incluso determinada habilidad profundamente arraigada u otra característica del comportamiento (como la caligrafía, las pulsaciones, una manera particular de caminar o de hablar, etc.). Una particularidad de los datos biométricos es que se les puede considerar tanto como contenido de la información sobre una determinada persona (Fulano tiene estas huellas dactilares) como un elemento para vincular una información a una determinada persona (este objeto lo ha tocado alguien que tiene estas huellas dactilares y estas huellas dactilares corresponden a Fulano; por lo tanto, Fulano ha tocado este objeto). Como tales, pueden servir de «identificadores». En efecto, al corresponder a una única persona, los datos biométricos pueden utilizarse para identificar a esa persona. Este carácter dual también se da en el caso de los datos sobre el ADN, que proporcionan información sobre el cuerpo humano y permiten la identificación inequívoca de una, y sólo una, persona.” El RGPD define el art.4.14 datos biométricos como una categoría de datos personales, señalando que son: “datos personales obtenidos a partir de un tratamiento técnico específico, relativos a las características físicas, fisiológicas o conductuales de una persona física que permitan o confirmen la identificación única de dicha persona, como imágenes faciales o datos dactiloscópicos”. (el subrayado es nuestro). Por su parte, el artículo 4.1 del RGPD, al definir los datos de carácter personal incide en esta misma finalidad de identificación única de la persona, señalando que ““1. Datos personales: toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona”. 83 Así pues, de acuerdo con lo previsto en el RGPD, para poder determinar si estamos en presencia de datos biométricos de carácter personal, deben concurrir los siguientes requisitos que se deducen de la interpretación conjunta del artículo 4.14 (definición de datos biométricos) y el artículo 4.1 del RGPD (definición de datos personales): (
7. i)La naturaleza de los datos: deben ser relativos a las características físicas, fisiológicas o conductuales de una persona física. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 19/87 Si el tratamiento requiere el registro previo de la imagen, huella dactilar, voz, iris,..etc; tiene en cuenta comportamientos, o diferencia características como la raza, sexo…etc, cumple con esta característica inicial, aunque no las almacene y solo las emplee para generar el patrón biométrico. (
8. ii)La finalidad del tratamiento: los datos biométricos deben permitir o confirmar la identificación única de dicha persona. No todos los datos biométricos sirven para la identificación de personas físicas. Pero los sistemas biométricos dirigidos a permitir o confirmar la identificación única de una persona sí tratan datos biométricos de carácter personal. Las tecnologías biométricas permiten utilizar dos grandes tipos de sistemas biométricos que se dirigen a identificar de manera única a las personas, según señaló el Dictamen 3/2012 sobre la evolución de las tecnologías biométricas de 27/04/2012 del Grupo de Trabajo del Artículo 29, -órgano consultivo independiente europeo en materia de protección de datos, precedente del actual Comité Europeo de Protección de Datos- (en adelante, Dictamen 3/2012): “-Identificación biométrica: la identificación de un individuo por un sistema biométrico es normalmente el proceso de comparar sus datos biométricos (adquiridos en el momento de la identificación) con una serie de plantillas biométricas almacenadas en una base de datos (es decir, un proceso de búsqueda de correspondencias uno-a-varios). (En adelante, 1:N) -Verificación/autenticación biométrica: la verificación de un individuo por un sistema biométrico es normalmente el proceso de comparación entre sus datos biométricos (adquiridos en el momento de la verificación) con una única plantilla biométrica almacenada en un dispositivo (es decir, un proceso de búsqueda de correspondencias uno-a-uno).”( En adelante, 1:1). Si bien esta cuestión ha sido objeto de diversas directrices y dictámenes, lo cierto es que desde la aprobación del RGPD se entiende que las menciones a "permitan" pueden entenderse a la identificación, la de "confirmen" a la autenticación. En ambos casos, sea verificación-autenticación, o identificación las técnicas utilizadas se basan en una concordancia estimada entre plantillas: la que se compara y la(
9. s)de referencia. Desde este punto de vista, son técnicas probabilísticas: la comparación deduce una probabilidad mayor o menor de que la persona sea efectivamente quien se ha de autenticar o identificar; y si esta probabilidad supera un determinado umbral C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 20/87 en el sistema, definido por su usuario o su desarrollador, el sistema entenderá que existe una coincidencia. Pero, con independencia de las diferencias existentes entre ambos sistemas biométricos respecto a la probabilidad de errores, o desde el punto de vista de las medidas de seguridad, lo cierto es que la finalidad de ambas técnicas es la misma, toda vez que ambas se dirigen a identificar de forma unívoca a una persona, considerándose que ambas tratan datos biométricos de carácter personal. (iii) Los medios y las formas de tratamiento: datos “obtenidos a partir de un tratamiento técnico específico”; que “permitan o confirmen la identificación única de dicha persona”. Ya desde el Dictamen WP80 del Grupo de Trabajo del Artículo 29 se señalaba que los sistemas biométricos son: «aplicaciones de las tecnologías biométricas que permiten la identificación automática, y/o la autenticación/comprobación de una persona. Se suelen utilizar aplicaciones de autenticación/comprobación para diversas tareas en campos muy distintos y bajo la responsabilidad de una amplia gama de entidades diferentes.» Y todo sistema biométrico dirigido a permitir o confirmar la identificación unívoca de las personas, para poder ser usado, ha de registrar antes la identidad del usuario en el sistema por medio de la captura de una serie de parámetros biométricos en bruto. Es preciso aclarar que la información biométrica de las personas (sobre las características físicas, fisiológicas o conductuales) puede procesarse y almacenarse de diferentes formas:
10. a)A veces, la información biométrica capturada de una persona se almacena y se trata en bruto, lo que permite reconocer la fuente de la que procede sin conocimientos especiales; por ejemplo, la fotografía de una cara, la fotografía de una huella dactilar (muestra) o una grabación de voz. Estas serán un dato personal pero según el artículo 4.14 del RGPD no serán un dato biométrico de carácter personal puesto que no se cumple con el requisito de que el dato biométrico en bruto haya sido procesada mediante un tratamiento técnico que permita su identificación por una máquina a través de un tratamiento automatizado. Y de la misma forma, la imagen digital o muestras tomadas de una huella dactilar (sea de su totalidad o algunos de sus fragmentos), tampoco se considerarán datos biométricos de carácter personal si no C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 21/87 son procesadas para permitir la identificación de la persona a través de un tratamiento técnico específico ( que generalmente, es automatizado).
11. b)Otra opción -la que emplean los sistemas biométricos como el presentees que esta información biométrica se manifieste en forma de plantilla biométrica o patrón biométrico (código alfanumérico). En estos casos, la información biométrica bruta capturada es tratada técnicamente por un software de manera que solo se extraen de la misma ciertas características o rasgos (como fragmentos de la muestra de huella o puntos de la imagen de la cara…etc) y se salvan como una plantilla biométrica, llamado “vector” o “patrón biométrico” que permite la identificación de su titular de forma automatizada. Las Directrices sobre el uso de las tecnologías de reconocimiento facial dictadas por el Consejo de Europa el 28/04/2021 (Guidelines on Facial Recognition, Council of Europe), definen la plantilla biométrica como “una representación digital de las características únicas que se han extraído de una muestra biométrica y se almacenan en una base de datos biométrica”. Una plantilla biométrica o patrón biométrico es una forma de escritura de una característica biométrica humana, como un rostro o una huella dactilar, que se manifiesta en forma de código alfanumérico, de manera que sea interpretable por una máquina de forma eficiente y eficaz para un propósito o propósitos determinados. La plantilla biométrica no está orientada a ser interpretada por una persona, como una fotografía, sino que está orientada a ser tratada en un proceso automatizado, es decir, ser eficiente y eficazmente interpretable por una máquina. Esta forma de almacenamiento permitiría singularizar a un individuo y ejecutar acciones de forma automática, perfilar o inferir información sobre un sujeto como actitudes o patrones de comportamiento, etc. En otras palabras, la plantilla o patrón biométrico es la forma de medición de las características “físicas, fisiológicas o conductuales de una persona física” que son procesadas para asignar un código identificador único a cada individuo, de forma que éste pueda ser interpretado automáticamente al realizar cada lectura por el software y los dispositivos de hardware asociados a un sistema de verificación/identificación de la identidad biométrico, permitiendo la comparación de los datos y verificación de la identidad de forma automatizada. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 22/87 En definitiva, según el artículo 4.14 del RGPD, para que exista un tratamiento de datos biométricos de carácter personal se requiere, precisamente, que se aplique sobre la información biométrica tomada en bruto (imagen digital de la huella, cara, grabación de voz…etc) un procesamiento técnico (software o programa como el utilizado en el presente supuesto) del que se obtenga un “patrón biométrico” de las muestras recogidas. Por ello, el patrón biométrico o plantilla biométrica es verdaderamente el dato biométrico de carácter personal al que se refiere el artículo 4.14 del RGPD, puesto que la muestra en bruto de la huella dactilar o la cara, iris, voz…etc de una persona no permite identificar a la misma de forma automatizada. En consecuencia, siempre que se emplee un sistema biométrico que procese características físicas, fisiológicas o conductuales de las personas en bruto para convertirlas en un patrón o plantilla biométrica que pueda interpretar una máquina de forma automatizada para verificar la identidad de una persona de forma unívoca, no hay duda de que se estarán tratando datos biométricos de carácter personal que están sometidos a las obligaciones que el RGPD establece, siendo considerados de categoría especial, y requiriendo la previa elaboración y superación de una EIPD. - Características y riesgos del tratamiento de los datos biométricos de carácter personal. Los sistemas que tratan datos biométricos de carácter personal emplean una tecnología que puede ser realmente intrusiva y requiere de un debate ético y jurídico sosegado, toda vez que puede tener efectos muy adversos en los valores fundamentales y la integridad humana. Véanse solo alguna de sus características especiales y piénsese en el impacto significativo que producen cuando se comprometen estos datos-generando riesgos adicionales en los derechos y libertades de los interesados-, en comparación a cuando se tratan otro tipo de datos de carácter personal: - Los sistemas biométricos están estrechamente vinculados a una persona, dado que pueden utilizar una determinada propiedad única de un individuo para su identificación. Cada individuo tiene impresiones dactilares únicas que muestran características específicas que pueden medirse para decidir si una impresión dactilar corresponde con una muestra registrada. Por lo tanto, son únicos, permanentes o definitivos en el tiempo y la persona no puede liberarse de ellos, no se pueden cambiar nunca, ni con la edad, por lo que el daño C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 23/87 creado en caso de compromiso-pérdida o intrusión en el sistema es irreparable en este caso. A diferencia de una contraseña, en caso de pérdida, los datos de nuestra huella dactilar o cara no se pueden cambiar. - Además, debido a que los datos biométricos son propios de una persona y perpetuos, el usuario puede utilizar los mismos datos en diferentes sistemas. - Mientras que los métodos tradicionales de autenticación como las contraseñas requieren una coincidencia del 100% de carácter por carácter para permitir que el usuario acceda por ejemplo a una cuenta o aplicación (métodos deterministas), los métodos de biometría se denominan “probabilísticos”, porque se basan en la probabilidad de que el usuario que intenta acceder a un determinado dispositivo o aplicación sea la misma persona que el usuario registrado. Podemos medir el rendimiento de un sistema biométrico a partir de tres características principales. Estas son: tasa de falsos rechazos (FRR), tasa de falsas aceptaciones (FAR) y tasa de errores iguales (ERR). La tasa de falsos rechazos representa la probabilidad de errores de detección por parte de un sistema biométrico, lo que significa que no puede reconocer a un usuario cuyas características biométricas ya están en la base de datos. En caso de rechazo, la persona debe verificar su identidad de nuevo. Desde una perspectiva de seguridad y protección, esta tasa no significa que sea necesariamente un resultado negativo. Cada método biométrico, ya sea lectura de cara, de huella dactilar, huella palmar, iris, etc., tiene diferentes valores para diferentes tasas en función de las cuales un sistema rechaza o acepta las entradas. Por último, cabe señalar que el Dictamen 11/2024 de 23 de mayo de 2024 del CEPD sobre el uso del reconocimiento facial para racionalizar el flujo de pasajeros del aeropuerto recuerda y confirma la necesidad de considerar el elevado nivel de riesgo que conllevan este tipo de tratamientos biométricos y hace hincapié en la necesidad de evaluar sus riesgos e impacto, y en especial, en determinar si existen medios alternativos menos intrusivos para lograr la finalidad de que se trate (verificar la identidad de los alumnos que se presentan al examen en este caso), con menciones como las siguiente: “Como observación preliminar, el Comité recuerda que el uso de datos biométricos y, en particular, de tecnología de reconocimiento facial conlleva mayores riesgos para los derechos y libertades de los interesados. Se refiere al tratamiento de datos biométricos a los que se concede una protección especial en virtud del artículo 9 del RGPD. Antes de utilizar dichas tecnologías, incluso si se consideraran especialmente eficaces, los responsables del tratamiento deben evaluar el impacto en los derechos y libertades fundamentales de los interesados y considerar C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 24/87 si medios menos intrusivos pueden alcanzar su finalidad legítima del tratamiento”. 3.2. Los datos biométricos de carácter personal como de categoría especial y alto riesgo. Tal y como se ha señalado, de acuerdo con el artículo 4.14 del RGPD (en relación con el artículo 4.1 del RGPD) son datos biométricos de carácter personal todos aquellos que: (
12. i)sean relativos a las características físicas, fisiológicas o conductuales de una persona física; (
13. ii)su finalidad sea la de permitir o confirmar la identificación única de una persona física (incluyendo sistemas de autenticación 1-1 e identificación 1-N); (iii) y que se sometan a un tratamiento técnico específico dirigido a permitir o confirmar la identidad unívoca de las personas de forma automatizada (que de lugar a la generación, archivo, explotación y destrucción de plantillas biométricas obtenidas de las muestras del dato capturado en bruto). Tras la aprobación del actual RGPD, y a diferencia del régimen aplicable con anterioridad al mismo, siempre que se realice un tratamiento de datos que sean biométricos de carácter personal de acuerdo con la definición del artículo 4.14 del RGPD, estos serán: (
14. i)considerados como datos personales de categoría especial según el artículo 9 RGPD, cuyo tratamiento está prohibido de forma general si no se dispone de una de las excepciones reguladas en dicho precepto (
15. ii)y el tratamiento de los mismos será considerado de “alto riesgo” según el artículo 35 del RGPD. Hay que tener presente que la evolución tecnológica en esta materia está avanzado a un nivel agigantado e imparable, máxime en los últimos años en la que la tecnología biométrica puede combinarse con técnicas de inteligencia artificial. La regulación anterior al actual RGPD databa del año 1995, donde todavía no se aplicaban tecnologías biométricas en el ámbito de la identificación de las personas. Por ello, la anterior “Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respeta al tratamiento de datos personales y a la libre circulación de estos datos” no hacía referencia alguna al concepto de datos biométricos. Únicamente se contenía una definición de lo que se consideraba como dato personal en el artículo 2 de la Directiva. Y al no existir entonces los datos biométricos, tampoco se incluían entre las categorías especiales de datos personales cuyo tratamiento estaba prohibido -con excepcionespor el anterior artículo 8. En este sentido, hay que tener en cuenta que la aprobación del RGPD ha supuesto un cambio de paradigma en materia de protección de datos personales que pretende garantizar aún más a los ciudadanos el control de sus datos personales, estableciendo unos estándares de protección elevados y adaptados al entorno digital en que vivimos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 25/87 Esto es, siempre que se traten datos de carácter personal, de cualquier tipo que sean, el responsable deberá cumplir con los principios y obligaciones previstos en la normativa de protección de datos para todo tipo de datos personales. Pero cuando los datos personales a tratar sean biométricos cuya finalidad sea la identificación unívoca de las personas, se debe considerar además que -a diferencia de lo que sucedía bajo el régimen anterior al RGPD- desde la entrada en vigor del RGPD el 25 de mayo de 2018 según su artículo 9, los datos biométricos de carácter personal que encajen en la definición del artículo 4.14 del RGPD están considerados como datos personales de categoría especial según lo previsto en artículo 9 del RGPD, cuyo tratamiento está generalmente prohibido, salvo que concurra alguna de las excepciones previstas en el artículo 9.2 del RGPD. Lo que no exime de que siempre deba existir además una base de licitud prevista en el artículo 6 del mismo, entre otros muchos requisitos y principios que deberá cumplir aquel que decida optar por este tipo de tratamientos. Así pues, de acuerdo con el artículo 9.1 del RGPD, queda prohibido el tratamiento de datos biométricos cuando sean: “datos biométricos dirigidos a identificar de manera unívoca a una persona física”. Es necesario recalcar que la calificación de los datos biométricos como datos de categoría especial implica, necesariamente, la observancia de una especial cautela por el responsable a la hora de determinar si es posible llevar a cabo un tratamiento de datos de esta naturaleza. Entre otras cosas, y además de existir una excepción que permita salvar la prohibición del artículo 9.1 del RGPD, de que exista una base de licitud del artículo 6 del RGPD y de que se cumplan los principios del RGPD, el sujeto que pretenda implantar sistemas de datos biométricos, (en este caso, RIVER MADOS) debería haber analizado previamente la concurrencia de los preceptivos criterios de necesidad, idoneidad y proporcionalidad del tratamiento. Esto es, quien pretenda instaurar un tratamiento de datos personales de esta naturaleza debe, antes que nada, asegurarse de que se supere lo que se ha denominado en la jurisprudencia como “el triple juicio de proporcionalidad”, planteándose en especial si el tratamiento de datos biométricos es idóneo, proporcionalidad, y sobre todo, necesario. Si existen otros sistemas no biométricos que permitan conseguir la misma finalidad de identificar-verificar la identidad de las personas con eficacia y seguridad, no será necesario iniciar tratamientos biométricos, y, por tanto, implantar este sistema se considerará contrario al RGPD. Este juicio debe ser el punto de partida de su análisis, pues sólo en caso de que estos métodos superen el citado triple juicio, se exigirá el cumplimiento de otros requisitos o garantías. Por otra parte, además de ser datos de categoría especial, el tratamiento de datos biométricos se considera de siempre alto riesgo a tenor de lo previsto en el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 26/87 apartado 4 del artículo 35, que dispone que “La autoridad de control establecerá y publicará una lista de los tipos de operaciones de tratamiento que requieran una evaluación de impacto relativa a la protección de datos de conformidad con el apartado 1”, dado que consta entre los tratamientos incluidos en la Lista de tipos de tratamiento de datos que requieren evaluación de impacto relativa a la protección de datos, hecho público por la AEPD en desarrollo de la previsión contemplada en el apartado cuarto del referido artículo 35. No hay duda del carácter de alto riesgo de los datos biométricos, habida cuenta de que todos los datos biométricos que se dirijan a identificar de manera unívoca a una persona cumplen con al menos dos de los 3 criterios contenidos en dicha lista, puesto que le son aplicables los correspondientes a los números 4, 5 y 10 de dicho documento (aquellos que impliquen el uso de categorías especiales de datos; el uso de datos biométricos y los que impliquen la utilización de nuevas tecnologías o un uso innovador de tecnologías consolidadas). Por tanto, desde la entrada en vigor del RGPD, cuando un tratamiento es de “alto riesgo”, como sucede con los métodos de control de presencia o acceso basados en métodos de fichaje biométricos, es obligatorio realizar siempre una evaluación de impacto (EIPD), de acuerdo con lo previsto en el artículo 35.1 del RGPD, debiendo esta EIPD ser previa al inicio del tratamiento, pero realizarse a su vez de forma continua. Y no bastará con realizarla, sino que la misma deberá considerarse válida, porque cumpla con los requisitos previstos en el citado artículo, en especial, que contenga como mínimo la información del art. 35.7 del RGPD, que señala lo siguiente: “La evaluación deberá incluir como mínimo:
16. a)una descripción sistemática de las operaciones de tratamiento previstas y de los fines del tratamiento, inclusive, cuando proceda, el interés legítimo perseguido por el responsable del tratamiento;
17. b)una evaluación de la necesidad y la proporcionalidad de las operaciones de tratamiento con respecto a su finalidad;
18. c)una evaluación de los riesgos para los derechos y libertades de los interesados a que se refiere el apartado 1, y
19. d)las medidas previstas para afrontar los riesgos, incluidas garantías, medidas de seguridad y mecanismos que garanticen la protección de datos personales, y a demostrar la conformidad con el presente Reglamento, teniendo en cuenta los derechos e intereses legítimos de los interesados y de otras personas afectadas”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 27/87 En conclusión, el responsable que trate datos biométricos de carácter personal deberá ser consciente de que este tratamiento está calificado como un tratamiento de alto riesgo que requiere la previa elaboración y superación de una EIPD, que cumpla con todos los requisitos previstos por el citado artículo 35 del RGPD, y que está tratando datos de categoría especial, por lo que deberá justificar que concurre una de las excepciones del artículo 9.2 del RGPD, antes de iniciar o continuar con dicho tratamiento. Lo que se producirá, con carácter general, tanto cuando se empleen métodos de identificación basados en sistemas de detección de huella dactilar como los basados en sistemas de reconocimiento facial. 3.3. Análisis del supuesto presente: tratamiento realizado por el nuevo sistema de acceso al centro al que se refiere este expediente. 3.3.1. Datos personales objeto de tratamiento. En el presente supuesto, consta acreditado que la empresa reclamada RIVER MADOS consta como responsable del tratamiento de los datos personales que se realiza en el centro de Valdemoro de la cadena de gimnasios X-Fitness, según la política de privacidad que consta en el sitio web de la misma, y que ésta ha encargado el tratamiento de los datos personales realizado a través del software desarrollado por ***EMPRESA.1, marca ***MARCA.1, a la entidad DEPORWEB, que se emplea para controlar el acceso de los socios al centro deportivo de Valdemoro (entrada y salida), que utiliza un sistema biométrico de identificación de los mismos mediante su huella dactilar. El presente procedimiento se inicia a raíz de la interposición de una reclamación contra la implantación del citado método de acceso mediante huella dactilar en el centro situado en Valdemoro del que el reclamante se dio de alta en el mes de julio de 2023, planteándose por el reclamante el incumplimiento de los requisitos previstos en la normativa de protección de datos al recopilar los datos biométricos empleados por el referido sistema, lo que ha sido objeto de unas actuaciones previas de investigación por parte de esta Agencia. Dentro del presente procedimiento, RIVER MADOS ha presentado 3 escritos de respuesta con fechas de 4/3/2024, 28/11/24 y 18/02/2025, contestando a los 3 requerimientos de información que han sido realizados por el inspector durante la fase de actuaciones previas de investigación. Y en todos ellos reconoce haber tratado la “minucia dactilar” de sus socios (plantilla biométrica obtenida de su huella dactilar). Tal y como se expone en el informe de actuaciones previas de investigación, de la documentación aportada por la reclamada se deducen las siguientes evidencias acerca de la implantación del método de acceso al que se refiere el presente expediente, de las que se deduce que la reclamada ha estado tratando datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 28/87 biométricos personales de sus socios desde 1-9-21 hasta el mes de febrero de 2024, en que ha paralizado este sistema y suprimido los datos biométricos almacenados: - Tal y como señala el informe de inspección, la reclamada aporta en su primer escrito de respuesta un registro de actividades del tratamiento (en adelante, RAT) donde consta, entre otros datos, que el responsable del tratamiento del gimnasio ubicado en ***DIRECCIÓN.1 es RIVER MADOS, S.L., que se tratan las minucias de huella dactilar, entre otros datos, que existe un encargado del tratamiento con acceso a datos, que es SPORT & CONSULTING INVESTIGACIÓN Y DESARROLLO S.L. (en adelante DEPORWEB), que el periodo de conservación son 3 meses desde que el socio cursa su baja y que las medidas de seguridad aplicadas son las contenidas en el documento de seguridad. - Se aporta un RAT en el que constan como “categorías de datos personales objeto de tratamiento” los siguientes: “Nombre y apellidos, DNI/NIE/Documento identificativo, dirección, email, firma y teléfono. Minucia de la huella dactilar” - En dicho primer escrito, la reclamada reconoce expresamente que el tratamiento de huellas dactilares comenzó en fecha 01/09/2021 y finalizó en el mes de febrero de 2024, señalando que: (
20. i)los hashes de las plantillas de las huellas fueron definitivamente borrados, y aporta capturas de pantalla en la respuesta de fecha 28/11/2024 donde consta que la opción “Leer Huella” de la aplicación del control de accesos está deshabilitada, así como logs de entrada y salida de socios al gimnasio donde la última fecha es el 15/01/2024; (
21. ii)y que a partir de entonces el sistema fue sustituido por el de tarjeta RFID (token o dispositivo físico). - La reclamada ha acreditado que ha suspendido el tratamiento de la huella dactilar desde febrero de 2024, y ha borrado todas las huellas almacenadas. De acuerdo con el informe de inspección: “En la documentación aportada consta que la aplicación empleada realiza un proceso automático de borrado de huellas y no constan huellas antiguas almacenadas en la base de datos local, según los extractos aportados”. - Que estando abierto el centro deportivo de 6 am a 12 am, el sistema de huella dactilar sólo era obligatorio para los socios para poder acceder al centro fuera del horario presencial del personal de recepción con la finalidad de evitar el acceso fraudulento de personas que no sean clientes, al no disponer de personal contratado durante dichas horas. Y en concreto: de 6 am-a 9 am, y de 8 pm a 12 am. Ello se deduce de las siguientes evidencias que constan en el primer escrito de respuesta de 01/03/24: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 29/87 o o Se aporta una evaluación de impacto (EIPD) del tratamiento, fechada a 04/12/2023 y firmada por el Delegado de Protección de Datos, en la que aparece la siguiente descripción del tratamiento: “La aplicación usa biometría parcial de la huella dactilar para poder individualizar a las personas y poder controlar el acceso a las instalaciones en los periodos nocturno en los que no hay personal trabajador en recepción.” De acuerdo con el RAT, consta como única finalidad del tratamiento: “Controlar el acceso de los socios a las instalaciones”, lo que se amplía en la EIPD, señalando que: “En el caso que nos ocupa, la finalidad perseguida es identificar a los socios que acceden al dentro deportivo fuera del horario de atención presencial requiere que el sistema supere el examen de los juicios de idoneidad, necesidad y proporcionalidad estricta. o Se describe y acredita la arquitectura del sistema, que está formada por los siguientes equipos y aplicaciones encargados del sistema de control de acceso mediante huella dactilar: o Dos lectores de huella dactilar colocados dentro del centro deportivo de la marca ***MARCA.1. Una de las lectoras situada en recepción se usa para la captura inicial de la huella, y la otra se ubica en el molinete de acceso para la comparativa con la huella almacenada en la base de datos. Dos servidores contratados con DEPORWEB que se ubican en Francia donde se almacenan datos como el número de socio, nombre y apellidos, número de DNI, resultado del acceso, fecha del acceso, si es entrada o salida y la zona del acceso. Que existe una aplicación del control de accesos que se ejecuta en modo local y una aplicación de gestión, de acceso web. Que existen un PC local en el centro de Valdemoro conectado a una base de datos local, donde se almacenan los códigos de socio y de las huellas dactilares. Manifiesta que el código resultante que representa a la huella dactilar en ningún momento sale a ninguna red pública, fuera de la intranet local del gimnasio. Que todo el proceso de recogida y almacenamiento de la huella es íntegramente local y siempre dentro de la red privada del gimnasio. En concreto, la aplicación del control de accesos es la que se comunica con los lectores de huellas, y está instalada en el PC local donde se guardan todos los datos utilizados por el control de accesos. o o o o Según se hace constar en la respuesta de 4/3/24, de forma literal: “El sistema no obliga a que se haga una captura real, sino que ofrece 3 opciones a elección del usuario” (se entiende que el usuario es el que configura la aplicación de control de accesos): C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 30/87
22. a)“Solo Tarjeta. No se pedirá huella, sino que el usuario accederá solo con su tarjeta RFID. En este caso no se realiza captura de la huella ni el socio tendrá que poner su huella en el lector de huellas de la entrada.
23. b)Sin huella. En este caso no se realiza captura de la huella pero el socio tendrá que poner su huella en el lector de huellas de la entrada. Coesta opción se valida cualquier huella que se ponga en el lector ya que no hay nada con qué compararla. Está opción se utiliza con personas mayores y trabajadores manuales en los cuales las huellas dactilares suelen estar borradas o deterioradas. En este caso tampoco se hace la captura inicial de la huella.
24. c)Leer huella. Es la opción de captura real. Cuando se elige esta opción se activa el programa de captura del fabricante del lector de huellas. Este programa es facilitado con el dispositivo físico, por el propio fabricante, y es quien realiza de forma interna y sin posibilidad de manipulación, todo el proceso de captura. Una vez finalizado el proceso de captura, el programa devuelve un vector de 400 bytes cifrados(...)” o Así pues, manifiesta la reclamada que dicho sistema partía de diversos tipos de socios según su método de acceso:
25. a)había socios de tipo “Solo Tarjeta” a los cuales no se les pide la huella y acceden al gimnasio solo con su tarjeta RFID, sin que se indique los supuestos en los que se puede acceder a esta condición;
26. b)había socios de tipo “Sin Huella” que son aquellos a los que no se les captura la huella y se utiliza en aquellos casos de personas mayores y trabajadores manuales cuyas huellas suelen estar borradas o deterioradas, y
27. c)y “otros clientes, tienen recogido el hash de la plantilla de la huella” (adelante, socios “leer huella”). Al respecto de esta cuestión, el informe de inspección pone de relieve algunas contradicciones existentes entre las manifestaciones realizadas por la reclamada y la documentación aportada:  C/ Jorge Juan, 6 28001 – Madrid Por una parte, con fecha 28/11/2024 la parte reclamada aporta registros de log del sistema de control de accesos de los últimos 12 meses, que son analizados por el informe de inspección, observándose lo siguiente: “Del análisis del log de acceso al gimnasio por parte de los socios, se desprende que existen socios que acceden al gimnasio fuera del horario de atención presencial sin huella dactilar”. Y se enumeran en el informe varios ejemplos de logs de socios que constan tipificados como que “no disponen de huella”, o “que acceden mediante tarjeta”, pero su acceso mediante tarjeta o sin huella se www.aepd.es sedeaepd.gob.es 31/87 produce durante el horario establecido que ha señalado la reclamada para el método de acceso por huella (6 am a 9am, y 8pm a 12 AM). De lo que se deduce que es posible acceder por los métodos alternativos durante el horario en que según la reclamada, se había fijado para acceder mediante huella.  - Respecto al número de clientes dados de alta en cada opción, la reclamada mantiene inicialmente en su escrito de 1/3/24 que: “a fecha de 23/02/23, había 1224 clientes registrados con esta opción de “leer huella”, 25 clientes con la opción “Solo Tarjeta”, y otros 547 con la opción “Sin Huella”. Y posteriormente, señala en el Punto 17 de su escrito que “constan 1742 socios dados de alta en el sistema de acceso por cualquier método. De esos, constan los 1224 socios con huella, 25 socios de tipo “Solo Tarjeta” y 487 son “Sin huella” y 6 socios sin ninguna tipología, manifestando que porque aún no se les ha registrado la huella.” Pero no queda en realidad acreditado el número total de clientes dados de alta por cada método, aportando una captura parcial de los extractos de la base de datos donde constan los números de cliente 1728 a 1742. Señala también la reclamada en su escrito de 4/03/24 que el funcionamiento del acceso de un socio por huella dactilar es una combinación de dos métodos de identificación, que se realiza tanto a la entrada como a la salida del centro, aportando fotografías de todo el procedimiento de acceso: (
28. i)Primero se lee su dispositivo RFID (token físico que es una pulsera o dispositivo que se entrega al socio), y el programa del control de accesos busca a qué socio corresponde ese dispositivo RFID y obtiene el número de socio y se obtiene el código de la huella asociado al mismo, la cual se envía al lector de huellas. (
29. ii)Seguidamente, el lector de huella, internamente, compara el hash de plantilla de la huella enviada con el hash de plantilla de la huella que obtiene en tiempo real sobre el lector, y determina si son o no coincidentes. Por tanto, como bien indica la inspección en su informe y se hace constar en la documentación técnica aportada, se confirma que se está empleando un sistema de autenticación o verificación de identidad 1:1 tanto para la entrada como para la salida del gimnasio de aquellos socios que utilicen el presente sistema, que compara únicamente la minucia de la huella dactilar (plantilla biométrica de la huella) del socio que utiliza el token incluido en el dispositivo que acciona el mecanismo con la minucia de la huella dactilar de la persona que pone la huella C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 32/87 en el torno de acceso, y no de un sistema de identificación 1.N, que compararía las huellas de todos los socios. - En el Punto 13 se describe todo el proceso que se sigue cuando en la aplicación del control de accesos cuando, se pulsa el botón “Leer huella”, señalándose que: C/ Jorge Juan, 6 28001 – Madrid o Punto 13.A. Captación de la huella: Al pulsar el botón, se arranca el programa de ***MARCA.1, que viene incluido junto con los drivers del lector, y que es realmente el encargado de todo el proceso de captura de la huella y creación de la plantilla biométrica (minucia dactilar). En este programa hay que seguir un proceso de 3 pasos, de forma que: en el paso 1 se elige el dedo, 0 dedos de los que se va a tomar la huella; en el paso 2 se hacen dos lecturas consecutivas del mismo dedo, para garantizar que ambas huellas coinciden y que, por lo tanto, la calidad de la huella recogida es aceptable y adecuada. Si el paso 2 es correcto, el programa de ***MARCA.1 crea la plantilla de la huella y la codifica; en el paso 3, la codificación de la plantilla se encripta mediante tura clave de 128 bits de cifrado unidireccional y se devuelve el vector de datos. o Punto 13.b. Comparación de la huella”. Como se explicó en el punto 12, el sistema implementado es una comparación1:1, de modo que cuando se lee el dispositivo RFID del cliente, se obtiene de la BBDD el hash de plantilla de la huella correspondiente a ese cliente, y se envía al lector de huellas de la entrada, mediante la función FimInstantMatching que opera sobre el lector, iniciando el proceso de lectura de la huella, codificación, encriptación y comparación, todo ello se realiza de forma interna en el lector de la entrada, y finalmente este contesta mediante la función AnsFimInstantMatching que se encarga de validar la coincidencia .entre la huella presente el lector y el template (plantilla) facilitado. o Punto 13.c. Codificación y almacenamiento. En ningún momento se manejan, registran o almacenan los datos biométricos en bruto (imágenes de la huella), ya que los dispositivos utilizados no permiten dichas acciones, ni su funcionamiento es así. Lo que se obtiene de la captación, es “un hash de la plantilla de la huella” (plantilla biométrica/minucia dactilar), y es lo que se almacena en la BBDD del PC local. Todo el proceso se lleva a cabo de forma interna en el propio lector de huellas, de manera que los datos que salen del lector de huellas, y que se almacenan en el PC local del control de accesos, en ningún caso son la propia de huella del cliente, sino un código encriptado, a partir del cual es imposible recrear la imagen de la huella original. www.aepd.es sedeaepd.gob.es 33/87 o - Punto 13.d. Borrado tras la captación. Se señala que: “Todos los datos recogidos y manipulados internamente por el programa del lector, desaparecen tan pronto como este se cierra, y no hay posibilidad de extraer nada más que el vector de datos cifrados”. Siendo este vector de datos cifrados el que contiene las plantillas biométricas de la huella, se entiende que se borran las imágenes de las huellas, pero quedan almacenadas las plantillas biométricas (que la reclamada denomina “hash del código de la huella”). Por tanto, existen evidencias de que el sistema implantado almacena las plantillas biométricas de la huella de los socios que acceden al gimnasio pulsando el botón de “leer huella”, aunque no almacene y borre automáticamente las capturas de la imagen de la huella que se utilizan para realizar la comparación y validación de identidad (datos biométricos en bruto). Ello se confirma en el Punto 16 de su escrito: “Los hashes de las plantillas de las huellas, son almacenados en la BBDD, tan pronto como se recogen, y la única forma de acceder a ellos, una vez almacenados, es mediante la lectura por parte del control de accesos, cuando se produce un acceso, (cosa transparente para el usuario del programa) o mediante un acceso directo a la BBDD por parte de un administrador del sistema. En nuestro caso, la única opción de mostrar esto, es mediante un acceso directo a los datos que hay registrados en la BBDD. En consecuencia, de la descripción del sistema y métodos de acceso utilizados, se desprende sin lugar a dudas que la reclamada ha estado tratando datos biométricos de carácter personal (minucias o plantillas de la huella dactilar de los socios cuyo método de acceso era el de “leer huella”), toda vez que el sistema que describe cumple con los requisitos del artículo 4.14 del RGPD, y artículo 9.1 del RGPD, toda vez que: 1. En primer lugar, los datos que el programa utiliza para realizar las comprobaciones de identidad se basan en características físicas, fisiológicas o conductuales de una persona física. La propia empresa reclamada reconoce que los dos lectores del fabricante ***MARCA.1 instalados en el centro deportivo de Valdemoro están conectados a un PC local del gimnasio, y que a través de una aplicación de gestión de accesos realiza un proceso que comienza con la captura de la huella dactilar de los socios, para generar una plantilla o código destinado a verificar la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 34/87 identidad de los socios, a partir de los rasgos biológicos contenidos en dicha huella. Así pues, desde su primera respuesta hace referencia a que son “Características de la obtención de la huella”, que “El fabricante convierte los rasgos biométricos en un código encriptado. Este código es lo que se guarda en la base de datos del equipo y nunca la propia huella”. 2. En segundo lugar, de la documentación aportada se desprende también que la finalidad del método de acceso mediante detección de huella de acuerdo con lo señalado en el RAT, EIPD, y escrito de 1/03/24 es “la identificación de los socios que entran /salen del centro deportivos al objeto de permitirles acceder a los mismos durante el horario de atención no presencial de recepción” (o lo que es lo mismo, en palabras del artículo 9 del RGPD, la identificación unívoca de los socios). Así se hace constar expresamente en el apartado 8 del Manual de seguridad aportado, en el que consta: “II.- IDENTIFICACIÓN Y AUTENTICACIÓN DEL PERSONAL AUTORIZADO. Se establecerá un procedimiento que garantice la correcta identificación y autenticación de los usuarios autorizados a acceder a los sistemas de información. Los accesos a los sistemas de información se realizarán mediante un mecanismo que permita la identificación de forma inequívoca y personalizada del usuario. Por lo que cada identificación deberá pertenecer a un único usuario(…)”. Así pues, la responsable ha contratado la aplicación y lectores de la marca ***MARCA.1, y ha decidido implantar el método de acceso mediante huella dactilar mediante un sistema de autenticación/verificación biométrica de la identidad 1:1, que requiere de la combinación de dos métodos de identificación: primero se pasará el dispositivo con la tarjeta RFID por el lector colocado en el acceso, y después se colocará la huella en el lector, y se realizara la verificación y validación de acceso, como antes se ha explicado. 3. En tercer lugar, porque el programa de detección de huella dactilar contratado con DEPORWEB se corresponde con el desarrollado por ***EMPRESA.1, fabricante de la marca ***MARCA.1, cuya descripción técnica no deja lugar a dudas de que el software empleado realiza un procesamiento técnico de las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 35/87 huellas en bruto obtenidas de los socios (imágenes de la huella), mediante el que se extrae los puntos de las imágenes de la huella que son captadas en bruto y se crea una plantilla biométrica o minucia dactilar a partir de estos datos. La reclamada y el fabricante lo denominan “código de huella dactilar”, que se corresponde con la plantilla biométrica, y que al encriptarse pasa a denominarse y almacenarse como “vector de datos cifrados”, siendo en ambos casos la plantilla biométrica o código alfanumérico que se corresponde con los verdaderos datos biométricos personales de los socios, que se generan por la aplicación ***MARCA.1, se encriptan, se almacenan y se utilizan cada vez que se activa el botón de “leer huella” en el torno lector de huella, al objeto de verificar la identidad del socio y validar su entrada y salida del centro durante las horas en las que es obligatorio acceder mediante huella, según la reclamada. Ello se deduce claramente de la descripción que la reclamada realiza de la documentación técnica del fabricante del lector de huellas ***MARCA.1, que comienza por una fase previa en la que se realiza la captura la imagen de la huella y genera una plantilla de la misma a través de un lector situado en recepción (“el programa de ***MARCA.1 crea la plantilla de la huella y la codifica; en el paso 3, la codificación de la plantilla se encripta mediante tura clave de 128 bits de cifrado unidireccional y se devuelve el vector de datos”),y al producirse cada acceso por el torno situado en la entrada y salida del centro, se activa otro lector que realiza el proceso de lectura de la huella, codificación, encriptación, comparación, validación y borrado automático de la imagen capturada (pero no de la plantilla biométrica, que se almacena de forma encriptada). La reclamada apela de forma insistente a las características técnicas del sistema diseñado por el fabricante marca ***MARCA.1, constando evidencias de que es cierto que este sistema tiene adoptadas ciertas medidas de seguridad por defecto desde el diseño como son la encriptación de las plantillas, la irreversibilidad de las mismas, que no se almacenen las imágenes, que exista un borrado automático de las mismas, un periodo de 3 meses de conservación, y un sistema de borrado manual, así como el hecho de que el proceso de autenticación se basa en comparaciones 1.1 al requerir previamente de la identificación mediante un token físico (dispositivo o tarjeta magnética en poder del usuario). Todas estas estas medidas de seguridad de diseño y por defecto que se deben valorar a la hora de determinar la gravedad de la infracción cometida, pero, contrariamente a lo que entiende la reclamada, no sirven: (
30. i)ni para justificar la necesidad, idoneidad y necesidad del tratamiento, conceptos que la reclamada confunde en su EIPD y escritos a los que se hará referencia posteriormente; (
31. ii)ni cambian la naturaleza jurídica de los datos personales que se están tratando, que son de categoría especial y deben cumplir con los requisitos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 36/87 previstos en el RGPD (excepción del artículo 9.2, y la necesidad de elaborar y superar una EIPD previa al tratamiento, no posterior, y que cumpla con los 4 requisitos que se prevén en el artículo 35.7 del RGPD. Toda vez que, aunque estas características técnicas de diseño del programa es cierto que contribuyan a reducir los riesgos concurrentes de este tipo de tratamientos frente a aquellos sistemas biométricos que no cuentan con las mismas, los riesgos derivados de su utilización para los derechos y libertades de los socios siempre serán mayores que los concurrentes de emplear el resto de los sistemas alternativos no basados en datos biométricos personales. Mas adelante se entrará a valorar esta cuestión. En conclusión, de todo lo expuesto se deduce que no cabe duda de que la reclamada ha estado tratando entre el 1/9/21 y el mes de febrero de 2024 los siguientes datos personales de, al menos, 1467 socios inscritos en el gimnasio de Valdemoro: o o En los dos servidores situados en Francia, se almacenan según la captura de pantalla proporcionada: los datos de acceso con únicamente el número de socio, nombre y apellidos, número de DNI, edad, sexo, resultado del acceso, fecha del acceso, si es entrada o salida y la zona del acceso. Lo que implica el tratamiento de los siguientes datos de carácter personal según el artículo 4.1 del RGPD, que no son de carácter biométrico de acuerdo con el artículo 4.14 del RGPD, que son los siguientes:  Los incluidos en el RAT: Nombre y apellidos, DNI/NIE/Documento identificativo, dirección, email, firma y teléfono.  Más los que aparecen en los logs de registro aportados por la reclamada, donde además de los datos señalados se hace constar: el número de socio, edad, y sexo del socio. En el PC local dentro de la aplicación de gestión de accesos situada en el interior del gimnasio, se almacena el código de socio y el código de la huella. Siendo ese “código de la huella” el código alfanumérico en que consiste el dato biométrico personal definido en el articulo 4.14 del RGPD, toda vez que se cumplen en el supuesto presente los 3 requisitos a los que se refiere el mismo: (
32. i)el software y lectores del fabricante ***MARCA.1 utilizados para detectar la huella dactilar parten de características físicas de los socios (imagen de la huella, de la que extrae una muestra); (
33. ii)la aplicación de gestión de accesos de ***MARCA.1 las procesa técnicamente para convertirlas en una minucia dactilar (plantilla biométrica), que es un código identificador único de cada socio que se cifra y almacena en el sistema (iii) y el patrón biométrico se genera y se utiliza para realizar la identificación de identidad de cada socio por el lector de reconocimiento de huella que se halla C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 37/87 instalado en la entrada y salida de la puerta principal del centro. cuando éste accede/sale del centro. Finalidad que es sin duda la “identificación unívoca” de que el socio que pretende acceder al centro con el token, es el que está asignado a dicho token y el que ha colocado su huella en el lector. Por lo que se considera que los datos biométricos personales tratados son en este caso de categoría especial, de acuerdo con lo previsto en el artículo 9.1 del RGPD. 3.3.2. Sobre las operaciones de tratamiento de datos biométricos incluidas en el sistema de acceso al centro. El artículo 4.2 del RGPD define el “tratamiento de datos personales” como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjunto de datos personales ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción;” Cabe aclarar además que dentro del concepto de operaciones de tratamiento previsto en el artículo 4.2 del RGPD cabe incluir tanto: 1. El tratamiento material de los datos personales, que cuando se procesan técnicamente a través de un programa o software constan de diferentes procesos tales como la recogida de datos, el registro, almacenamiento, y su explotación o utilización, su cesión, eliminación o bloqueo…etc. Así pues, consta en el procedimiento que el sistema de detección de huella dactilar capturó, al menos, 1467 huellas hasta el 27/02/24 de los socios de su gimnasio, generó las plantillas biométricas de los mismos, las encriptó ha estado utilizando para realizar cada acceso y salida del centro, según lo que la misma manifiesta, todo lo cual son operaciones de tratamiento de datos personales biométricos de carácter especial. 2. El diseño del propio tratamiento es también considerado como una operación de tratamiento que debe estar sometida a los Principios y obligaciones previstos en el RGPD. Ello es así dado que de acuerdo con lo señalado por el Comité Europeo de Protección de Datos en sus Directrices 7/2020 sobre el responsable y encargado del tratamiento de 7 de julio de 2021, y el Tribunal de Justicia de la Unión Europea (en sentencias como la de 5 Oct. 2023, C-659/2022), el artículo 4.2 del RGPD recoge un concepto amplio de tratamiento de datos personales. Un concepto amplio que comienza con el diseño del tratamiento, que es a partir del cual nacen las obligaciones de respetar los principios de protección de datos y resto de obligaciones previstas en el RGPD. De acuerdo con lo expuesto, la implantación del sistema de acceso mediante lectura de huella dactilar en el gimnasio supuso la realización de un tratamiento de datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 38/87 personales que estaba compuesto varias operaciones de tratamiento sobre un conjunto de datos personales diferentes, entre los que se encontraba la minucia dactilar de las personas a las que cabía permitir el acceso (los socios/abonados registrados en el sistema). Este tratamiento de datos biométricos personales debió reflejarse en el RAT (donde se hizo constar que se trataba la “minucia dactilar”, y por ser considerado de alto riesgo, debió precederse de un riguroso análisis de la necesidad, idoneidad y proporcionalidad de este nuevo método de acceso en comparación con las otras alternativas menos intrusivas que ya existían arbitradas para otros socios durante otro horario o de forma excepcional, y de un riguroso análisis de los riesgos, y en caso de considerar que el riesgo fuera aceptable y el tratamiento necesario, idóneo y proporcional, elaborar una única EIPD PREVIA ( y no posterior) al inicio del tratamiento que incluyese y valore todos los métodos de acceso aplicables enel centro/s, al que/ a los que se refiera el tratamiento.. EIPD previa y conjunta que debió cumplir con el contenido mínimo previsto en dicho artículo 35.7 del RGPD. Y que al incluir datos biométricos personales, que son considerados como de categoría especial, cuyo tratamiento se prohíbe de forma general por el artículo 9.1 del RGPD, la implantación de este método de acceso mediante huella dactilar requería, a su vez, que la empresa se asegurase previamente de que concurría una excepción prevista en el artículo 9.2 del RGPD, que habilitase a poder realizar este tipo de tratamientos. 3.3.3. Sobre el responsable del tratamiento. Por lo que respecta a la responsabilidad, el artículo 4. 7 del RGPD, define al: “7) «responsable del tratamiento» o «responsable»: la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros”. Pese a que se señala que se contrató el desarrollo del programa con DEPORWEB y se aporta el contrato de encargo del tratamiento como Anexo IV del escrito de 1/03/24, a la vista de la política de privacidad diligenciada en este procedimiento, y las propias manifestaciones de la empresa en su escrito de 1/03/24, no cabe duda de que RIVER MADOS ha actuado en todo momento como responsable del tratamiento, puesto que es la que decidió contratar este sistema determinando con ello los fines y medios del tratamiento. Todo ello determina que RIVER MADOS es la responsable del tratamiento a los efectos previstos en el artículo 4.7 del RGPD, y, en consecuencia, la presunta C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 39/87 responsable frente a la que debe dirigirse el presente procedimiento sancionador iniciado para determinar si el tratamiento implantado por la misma incumplió alguna de las obligaciones del RGPD tipificadas como infracción, de acuerdo con lo previsto en el artículo 70. 1
34. a)de la Ley Orgánica 3/2018, de 5 de diciembre, de protección de datos personales y garantía de derechos digitales (en adelante, LOPPDD), que dispone lo siguiente: “Artículo 70. Sujetos responsables. 1. Están sujetos al régimen sancionador establecido en el Reglamento (UE) 2016/679 y en la presente ley orgánica:
35. a)Los responsables de los tratamientos.
36. b)Los encargados de los tratamientos.
37. c)Los representantes de los responsables o encargados de los tratamientos no establecidos en el territorio de la Unión Europea.
38. d)Las entidades de certificación.
39. e)Las entidades acreditadas de supervisión de los códigos de conducta. (…)”. IV. Obligación incumplida. Sobre el incumplimiento de disponer de una excepción del artículo 9.2 del RGPD que habilite a tratar datos de categoría especial. 4.1. Los datos biométricos como datos de categoría especial: prohibición general y excepciones de tratamiento. Como ya se ha dicho anteriormente en el Fundamento de Derecho III, en el presente supuesto no cabe duda ni es cuestión controvertida que el método de acceso al centro deportivo mediante huella dactilar que fue implantado por la empresa reclamada para controlar la entrada y salida de los socios entre el 1-9-21 y el mes de febrero de 2024, trataba datos biométricos de carácter personal de acuerdo con la definición dada por el artículo 4.14 del RGPD. Se debe considerar además que -a diferencia de lo que sucedía bajo el régimen anterior al RGPD- este tipo de datos biométricos están considerados como datos personales de categoría especial en el artículo 9, cuyo tratamiento está generalmente prohibido, salvo que concurra alguna de las excepciones previstas en el artículo 9.2 del RGPD. Lo que no exime de que siempre deba existir además una base de licitud prevista en el artículo 6 del mismo, entre otros muchos requisitos y principios que deberá cumplir aquel que decida optar por este tipo de tratamientos. De acuerdo con el artículo 9.1 del RGPD, queda prohibido el tratamiento de datos biométricos cuando sean: “datos biométricos dirigidos a identificar de manera unívoca a una persona física”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 40/87 En este orden de cosas tenemos que, siendo los datos biométricos datos de categoría especial, el RGPD impone una obligación adicional al responsable del tratamiento de los mismos, que estará obligado también a comprobar y acreditar que concurre una de las excepciones previstas en el artículo 9.2 del RGPD u otra legislación específica, antes de iniciar el tratamiento de ningún dato biométrico. Hay que señalar que, estando prohibido el tratamiento de datos biométricos con carácter general, cualquier excepción a dicha prohibición habrá de ser objeto de interpretación restrictiva, tal y como se deduce de los considerandos 51 y 52 del RGPD. Así las cosas, las excepciones que posiblemente podrían permitir el levantamiento de la prohibición general de tratar datos biométricos dirigidos a identificar-verificar la identidad de personas físicas, son las que prevé el artículo 9.2. del RGPD, con el siguiente tenor literal, que deberá interpretarse restrictivamente, siempre en favor de proteger los derechos y libertades de los ciudadanos en caso de duda: “2. El apartado 1 no será de aplicación cuando concurra una de las circunstancias siguientes:
40. a)el interesado dio su consentimiento explícito para el tratamiento de dichos datos personales con uno o más de los fines especificados, excepto cuando el Derecho de la Unión o de los Estados miembros establezca que la prohibición mencionada en el apartado 1 no puede ser levantada por el interesado;”
41. b)el tratamiento es necesario para el cumplimiento de obligaciones y el ejercicio de derechos específicos del responsable del tratamiento o del interesado en el ámbito del Derecho laboral y de la seguridad y protección social, en la medida en que así lo autorice el Derecho de la Unión o de los Estados miembros.
42. c)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física, en el supuesto de que el interesado no esté capacitado, física o jurídicamente, para dar su consentimiento;
43. d)el tratamiento es efectuado, en el ámbito de sus actividades legítimas y con las debidas garantías, por una fundación, una asociación o cualquier otro organismo sin ánimo de lucro, cuya finalidad sea política, filosófica, religiosa o sindical, siempre que el tratamiento se refiera exclusivamente a los miembros actuales o antiguos de tales organismos o a personas que mantengan contactos regulares con ellos en relación con sus fines y siempre que los datos personales no se comuniquen fuera de ellos sin el consentimiento de los interesados;
44. e)el tratamiento se refiere a datos personales que el interesado ha hecho manifiestamente públicos;
45. f)el tratamiento es necesario para la formulación, el ejercicio o la defensa de reclamaciones o cuando los tribunales actúen en ejercicio de su función judicial;
46. g)el tratamiento es necesario por razones de un interés público esencial, sobre la base del Derecho de la Unión o de los Estados miembros, que debe ser proporcional al objetivo perseguido, respetar en lo esencial el derecho a la protección de datos y establecer medidas adecuadas y específicas para proteger los intereses y derechos fundamentales del interesado; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 41/87
47. h)el tratamiento es necesario para fines de medicina preventiva o laboral, evaluación de la capacidad laboral del trabajador, diagnóstico médico, prestación de asistencia o tratamiento de tipo sanitario o social, o gestión de los sistemas y servicios de asistencia sanitaria y social, sobre la base del Derecho de la Unión o de los Estados miembros o en virtud de un contrato con un profesional sanitario y sin perjuicio de las condiciones y garantías contempladas en el apartado 3;
48. i)el tratamiento es necesario por razones de interés público en el ámbito de la salud pública, como la protección frente a amenazas transfronterizas graves para la salud, o para garantizar elevados niveles de calidad y de seguridad de la asistencia sanitaria y de los medicamentos o productos sanitarios, sobre la base del Derecho de la Unión o de los Estados miembros que establezca medidas adecuadas y específicas para proteger los derechos y libertades del interesado, en particular el secreto profesional.
49. j)el tratamiento es necesario con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, sobre la base del Derecho de la Unión o de los Estados miembros, que debe ser proporcional al objetivo perseguido, respetar en lo esencial el derecho a la protección de datos y establecer medidas adecuadas y específicas para proteger los intereses y derechos fundamentales del interesado”. Por tanto, si el responsable no acredita que su tratamiento está dentro de alguna de estas excepciones, incurrirá en una infracción del artículo 9 del RGPD por iniciar un tratamiento prohibido. 4.2. Análisis de la concurrencia de una base de licitud y posible excepción en el supuesto presente. En el presente supuesto, la reclamada reconoce en sus tres escritos de respuesta que contrató con DEPORWEB la instalación de los lectores de huella dactilar y una aplicación de gestión de accesos desarrollado por el fabricante ***MARCA.1, al objeto de implantar entre el 1-9-21 y el mes de febrero de 2024 un método obligatorio de acceso al centro deportivo mediante un sistema biométrico de detección de huella dactilar para aquellos socios que accedieran al mismo fuera del horario de atención presencial de recepción fijado por el centro (entre las 6 am-9am, y entre las 8pm y las 12 AM), y reconoce, que disponía de tres posibles métodos de acceso (mediante tarjeta, sin huella, y mediante huella), y que recabó y almacenó en el PC local del centro las minucias de las huellas dactilar de, al menos, las 1467 personas, de acuerdo con las manifestaciones de la propia reclamada. Según lo expuesto, para poder tratar los datos que se derivan del empleo de un sistema biométrico empleado como método de identificación de las personas, el responsable debe asegurarse de que además de disponer de una base de licitud del artículo 6 del RGPD, concurre también una excepción del artículo 9.2 del RGPD, que levante la prohibición general de tratamiento de datos de categoría especial prevista en el artículo 9.1. del RGPD. Es más, solo en caso de concurrir una de estas excepciones que le habiliten a realizar el tratamiento, deberá entonces plantearse el responsable del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 42/87 tratamiento cuál es la base de licitud que concurre, puesto que, en caso contrario, el tratamiento de estos datos estaría prohibido por el artículo 9.1 del RGPD. Se ha de aclarar que no es una cuestión discutida que la empresa reclamada dispone de una base de licitud prevista en el artículo 6. 1 del RGPD que le habilita a tratar datos personales con la finalidad de controlar el acceso al recinto de los socios que han contratado sus servicios durante los horarios señalados por la misma, que consten en las normas y condiciones que se han contratado entre las partes. En el presente supuesto, el RAT aportado por la reclamada no concreta ni la base de licitud ni la posible excepción que a juicio de la reclamada justificaría tratar datos biométricos personales de categoría especial. Seguidamente, se entrará a valorar la falta de acreditación de una excepción que habilite a tratar estos datos de acuerdo con el artículo 9.2 del RGPD. Pero por lo que respecta a la base de licitud, lo cierto es que no cabe imputar en este caso una infracción administrativa del artículo 6.1 del RGPD, puesto que aunque la empresa responsable no haya reflejado por escrito qué base de licitud le habilita a tratar datos personales de los socios para el control de acceso al centro deportivo de Valdemoro para valorar si concurre una infracción del artículo 6 del RGPD, lo principal es comprobar que realmente exista una base jurídica legal, aunque el responsable no la haya determinado correctamente ni incluido en la EIPD. Y en este caso, respecto a la base de licitud, la reclamada señala que: “Respecto a la licitud del tratamiento, el artículo 6 del RGPD establece aquellos supuestos en los que el tratamiento de los datos se presupone como lícito y, por tanto, válido. En el caso que nos atañe, aquellos supuestos en los que se puede encuadrar la licitud del tratamiento de los datos por parte de nuestra entidad son los apartados
50. a)y
51. b)del mencionado artículo”. En el presente supuesto, se entiende que la excepción del consentimiento del tratamiento del artículo 6.1.
52. a)del RGPD es discutible, a la vista de que no se ha acreditado, como seguidamente señalaremos, que la empresa estuviera recabando el consentimiento del tratamiento de forma general a todos los socios, pero sobre todo, porque existe otra base de licitud en este supuesto que se ajusta al supuesto presente, que si se ha acreditado aportando el contrato de inscripción con sus condiciones y describiendo el proceso de alta del socio en el gimnasio. Así pues, en principio se entiende que la reclamada disponía de una base de licitud que le habilitaba para realizar tratamientos de datos personales en general (no para los biométricos, pues ello supone que además deberá concurrir una excepción del artículo 9). En concreto, la referida en el artículo 6.1.b), que se refiere a que: “el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales”. Toda vez C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 43/87 que la firma de la hoja de inscripción y la aceptación de las condiciones generales y normas de régimen interno por los socios, en los términos que han sido expuestos en el informe de inspección, supone la creación de un vínculo contractual entre el socio y el centro deportivo, que se rige por estas normas. Por tanto, no cabe inicialmente imputar una infracción del artículo 6 del RGPD. Ahora bien, pese a que concurría una base de licitud, hay que dejar claro que la misma legitimaba a la reclamada para tratar otros datos personales que no fueran biométricos, como los que son requeridos habitualmente para acceder por otros medios como el de las tarjetas identificativas o la exhibición de DNI (datos nominativos), pero no legitimaba en ningún caso a iniciar un tratamiento biométrico de la minucia de la huella dactilar, si además no existe una excepción del artículo 9.2 que le permitiese levantar la prohibición de tratar datos biométricos. En el presente supuesto, al contrario de lo que sucede con la base de licitud del artículo 6 del RGPD, de la documentación aportada no puede deducirse la concurrencia de una excepción del artículo 9. 2 del RGPD que pueda ajustarse a la finalidad y tipo de tratamiento ante el que nos encontramos. Y en concreto para el presente supuesto, cuya finalidad de tratamiento consiste en controlar la entrada y salida de los socios al centro deportivo, cabe señalar que, a priori y sin perjuicio de que lo pueda deducirse durante la instrucción, cabe descartar la concurrencia de las siguientes excepciones en el supuesto presente: Por una parte, no cabe considerar la aplicación de la excepción del consentimiento prevista en el artículo 9.2.
53. a)del RGPD, referida a que: “
54. a)el interesado dio su consentimiento explícito para el tratamiento de dichos datos personales con uno o más de los fines especificados, excepto cuando el Derecho de la Unión o de los Estados miembros establezca que la prohibición mencionada en el apartado 1 no puede ser levantada por el interesado;” El art. 4.11 del RGPD se refiere al consentimiento del interesado como “toda manifestación de voluntad libre, específica, informada e inequívoca por la que el interesado acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen”. Por tanto, para que pueda ser considerado como una excepción válida, el consentimiento para tratar datos biométricos de categoría especial deberá ser libre, específico, informado e inequívoco, de acuerdo con lo previsto en los artículos 7 del RGPD y 6 de la LOPDGDD. - Específico porque se refiera expresamente al tratamiento de datos biométricos de categoría especial. Inequívoco porque no deje lugar a dudas y sea comprensible. Informado porque se proporcione en el mismo una información previa al interesado que exige el artículo 13 del RGPD, y toda aquella que le haga C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 44/87 - consciente a los interesados de los riesgos de dicho tratamiento (considerando 39 del RGPD), especialmente cuando afecta a personas se encuentre en situación de vulnerabilidad. Y para que se pueda considerar libre el consentimiento a un método de acceso que implique el tratamiento de datos biométricos, el responsable del tratamiento debe establecer un método alternativo para poder realizar el control de acceso, sin tener ninguna consecuencia para la persona que no quiera utilizar el control de acceso mediante un tratamiento de datos biométricos. En el presente supuesto, la reclamada señala que ha recabado el consentimiento de los socios el consentimiento para recoger sus datos personales durante el proceso de alta e inscripción en el gimnasio, alegando que concurre la excepción de consentimiento a la que se refiere el artículo 9.2.
55. a)del RGPD . En su primer escrito de 01/03/2024 (Punto 6) la parte reclamada se remite a lo indicado al respecto en Evaluación de Impacto aportada como Anexo II, que resumidamente, manifiesta lo siguiente: - En primer lugar, realiza unas consideraciones previas que se refieren más bien al juicio de necesidad y proporcionalidad del tratamiento, y en modo alguno sirven para justificar la concurrencia de una excepción: tales como el hecho de que “el gimnasio tiene un horario de apertura de 6 de la mañana a 24 de la noche, siendo posible realizar la entrada en cualquier momento que el gimnasio esté abierto; y empleándose la huella dactilar para acceder a las instalaciones cuando la jornada laboral de los recepcionistas no se ha iniciado o ha finalizado”, o que “La decisión de optar por la lectura de la huella dactilar para permitir el acceso, resulta de ser, hasta día de hoy, la manera más efectiva de confirmar la identidad del socio que accede cuando no hay personal en recepción y evitar el uso fraudulento de las instalaciones por personas distintas al socio”. Estas afirmaciones deben ser objeto de valoración dentro del análisis del Fundamento de Derecho II, al analizar el cumplimiento del requisito de idoneidad, necesidad y proporcionalidad del tratamiento. - Establecido todo lo anterior, la reclamada señala que “siguiendo el dictamen del Comité Europeo de Protección de Datos” y el criterio de esta Agencia: “(…) El consentimiento es válido siempre que al informar del uso de los datos biométricos, se de al menos una alternativa distinta real y efectiva a dicho uso. (…) En el presente caso, el sistema de entrada mediante la huella dactilar en el horario en que no hay recepcionistas ha sido y es informado a cada nuevo socio del centro antes de apuntarse. Asimismo, antes de rellenar el formulario de suscripción no solo se informa del mecanismo de entrada, sino que también se indica que, en caso de que no querer emplear la huella dactilar, el socio únicamente podrá acceder a las instalaciones dentro del horario en que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 45/87 haya un recepcionista en la entrada, debiendo emplear su llavero de socio y acreditando su identidad. En este sentido, como se puede observar del consentimiento adjunto como Anexo I, se informa del tratamiento de la huella, así como de la alternativa al uso de la huella. Por ello, tras lo expuesto, no cabe duda de que la excepción del art. 9.2.
56. a)RGPD a la prohibición del uso de los datos especiales, queda cumplida por parte de nuestra entidad”. Así pues, para acreditar que ha recabado el consentimiento del reclamante para tratar datos biométricos de categoría especial, aporta un Anexo I con el siguiente contenido: a. Aporta copia de un documento con membrete “CONSENTIMIENTO PARA EL TRATAMIENTO DE DATOS PERSONALES” firmado en fecha 24/07/2023 por el reclamante con una firma manuscrita. En dicho documento consta el nombre, apellidos, email y teléfono móvil del reclamante. Asimismo, consta