1/87 Expediente N.º: EXP202308414 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR............................................... 3 ANTECEDENTES.......................................................................................................... 3 PRIMERO: Presentación de la reclamación............................................................... 3 SEGUNDO: Actuaciones de traslado conforme al artículo 65.4 de la LOPDGDD a la parte reclamada......................................................................................................... 5 TERCERO: Actuaciones de traslado conforme al artículo 65.4 LOPDGDD a ***EMPRESA.1........................................................................................................ 10 CUARTO: Admisión a trámite de la reclamación...................................................... 13 QUINTO: Actuaciones previas de investigación....................................................... 13 SEXTO: Inicio del procedimiento sancionador.......................................................... 21 SÉPTIMO: Alegaciones al acuerdo de inicio............................................................ 21 OCTAVO: Remisión de nueva documentación......................................................... 24 NOVENO: Acuerdo de cambio de instructor............................................................. 25 DÉCIMO: Aclaración sobre prueba propuesta......................................................... 25 UNDÉCIMO: Denegación práctica de la prueba....................................................... 26 DUODÉCIMO: Propuesta de resolución................................................................... 26 DÉCIMOTERCERO: Pago voluntario infracciones de los artículos 6.1, 13 y 35 RGPD y alegaciones respecto a la infracción del artículo 9 RGPD.......................... 26 HECHOS PROBADOS................................................................................................ 28 PRIMERO:............................................................................................................... 28 SEGUNDO:.............................................................................................................. 29 TERCERO:............................................................................................................... 29 CUARTO:................................................................................................................. 29 QUINTO:.................................................................................................................. 29 SEXTO:.................................................................................................................... 30 SÉPTIMO:................................................................................................................ 30 OCTAVO:.................................................................................................................. 30 NOVENO:................................................................................................................. 30 DÉCIMO:.................................................................................................................. 31 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/87 ÚNDECIMO:............................................................................................................. 31 DUODÉCIMO:.......................................................................................................... 32 DÉCIMOTERCERO:................................................................................................ 32 DÉCIMOCUARTO:................................................................................................... 32 FUNDAMENTOS DE DERECHO................................................................................. 32 I. Competencia......................................................................................................... 32 II. Procedimiento...................................................................................................... 33 III. Cuestiones previas.............................................................................................. 33 IV. Contestación a las alegaciones al acuerdo de inicio........................................... 34 V. Contestación a las alegaciones a la propuesta de resolución.............................. 47 VI. Primera obligación incumplida. Infracción del artículo del 6.1 RGPD..................54 VII. Tipificación de la infracción del artículo 6.1 del RGPD y calificación a efectos de prescripción.............................................................................................................. 57 VIII. Segunda obligación incumplida. Infracción del artículo 13 del RGPD...............58 IX. Tipificación de la infracción del artículo 13 del RGPD y calificación a efectos de prescripción.............................................................................................................. 62 X. Tercera obligación incumplida. Infracción del artículo 9 del RGPD...................... 63 XI. Tipificación de la infracción del artículo 9 del RGPD y calificación a efectos de prescripción.............................................................................................................. 67 XII. Cuarta obligación incumplida. Infracción del artículo 35 del RGPD.................67 XIII. Tipificación de la infracción del artículo 35 del RGPD y calificación a efectos de prescripción.............................................................................................................. 72 XIV. Sanciones......................................................................................................... 73 XV. Medidas correctivas........................................................................................... 80 XVI. Terminación del procedimiento por pago voluntario respecto a las infracciones de los artículos 6.1, 13 y 35 del RGPD..................................................................... 81 RESUELVE:................................................................................................................. 82 PRIMERO:............................................................................................................... 82 SEGUNDO:.............................................................................................................. 83 TERCERO:............................................................................................................... 83 CUARTO:................................................................................................................. 83 QUINTO:.................................................................................................................. 83 SEXTO:.................................................................................................................... 83 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/87 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Presentación de la reclamación. D. A.A.A. (en adelante, la parte reclamante) con fecha 06/05/2023 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra SPORT & SPA GEST, S.L. con NIF B97827778 (en adelante, la parte reclamada, SUMA o SUMA Patacona). Los motivos en que basa la reclamación son los siguientes: la parte reclamante es un usuario de un centro deportivo gestionado por la parte reclamada que, entre sus servicios, ofrece el de piscina; reclama que, desde finales de abril, momento en que el centro comenzó a ofrecer a los usuarios de la piscina un dispositivo denominado '***DISPOSITIVO.1', se les obliga a hacer uso del mismo para poder acceder al vaso, debiendo vincular su pulsera de socio con el citado dispositivo. Según una comunicación remitida por la parte reclamada a los usuarios, '***DISPOSITIVO.1' es "una novedosa tecnología basada en inteligencia artificial (...) podréis saber, en tiempo real y a través de una pantalla, el número de largos realizados, los metros recorridos o el tiempo de nado y de descanso. Esta información aumentará la calidad de vuestro entrenamiento y la experiencia (...) El incremento en la seguridad será la otra gran ventaja de esta tecnología ya que se podrán prevenir los ahogamientos mediante un sistema de localización en tiempo real". Junto a su reclamación aportaba: - Comunicación de 27 de abril de 2023 enviada por el centro deportivo para explicar a los usuarios el funcionamiento e implementación del dispositivo '***DISPOSITIVO.1’, cuyo contenido se reproduce a continuación: “(…) GRAN NOVEDAD PARA LOS AMANTES DE LA NATACIÓN DE (…)! (…) revoluciona la natación en la Comunidad Valenciana implantando, en la piscina climatizada de tu club, una novedosa tecnología basada en inteligencia artificial denominada ***DISPOSITIVO.1. NADAR YA NO SERÁ LO MISMO: MEJORA LA EXPERIENCIA Los nadadores de SUMA podréis saber, en tiempo real y a través de una pantalla, el número de largos realizados, los metros recorridos o el tiempo de nado y de descanso. Esta información aumentará la calidad de vuestro entrenamiento y la experiencia. MAYOR SEGURIDAD: PREVENCIÓN ANTE AHOGAMIENTOS El incremento en la seguridad será la otra gran ventaja de esta tecnología ya que se podrán C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/87 prevenir los ahogamientos mediante un sistema de localización en tiempo real. De hecho, SUMA Patacona pondrá en uso este innovador sistema de seguridad en los cursos de verano infantiles de junio y julio y en los próximos cursos de natación preescolar y escolar 23/24, convirtiéndose en la 6ª piscina de toda España en hacerlo en cursos infantiles. Los nadadores de SUMA Patacona podréis disfrutar ya de esta espectacular experiencia en una de las piscinas más tecnológicas de España. Este servicio está incluido de forma gratuita en tu bono mensual. SUMA te da + Equipo SUMA Fitness Club Patacona Ver vídeo presentación de la tecnología ***DISPOSITIVO.1: ver vídeo Más información sobre el nuevo sistema ***DISPOSITIVO.1 Más información sobre ***DISPOSITIVO.1 en los próximos Cursos de Verano 2023 y Cursos Preescolares y Escolares de Natación 2023/24. (…)” - Copia del correo electrónico con título “Reclamación en relación al nuevo servicio de medición de datos”, remitido el 28/04/2023 por la parte reclamante a la parte reclamada en el que pone de manifiesto su disconformidad tras habérsele negado acceso a la piscina por no emparejar su pulsera identificadora con un “chip que recoge datos de salud” y alerta sobre una posible vulneración de la normativa de protección de datos. Remite copia de la comunicación de 27/04/2023. - Correo electrónico de respuesta de la parte reclamada a la parte reclamante de 4/05/2023, en la que se indica: (…) En respuesta a su reclamación (…) queremos informarle que, SPORT & SPA GEST, S.L.U. (en adelante LA ENTIDAD), en el momento de alta como socio le ha informado del tratamiento que se va a realizar con su datos personales, siendo éstos, datos identificativos (nombre, apellidos, NIF, fecha de nacimiento, teléfono, e-mail, fotografía para la ficha interna, huella para el acceso a las instalaciones) y LA ENTIDAD ha obtenido un consentimiento expreso por su parte donde Ud. ha indicado los tratamientos que acepta que se realicen. LA ENTIDAD en ningún momento ha recabado datos de su salud, para el servicio prestado y tampoco los recaba para el nuevo servicio de ***DISPOSITIVO.1. A continuación, le detallamos la información de este servicio añadido, para que pueda verificarlo: El usuario accede a la piscina con su pulsera (…) identificativa. Debe acercarse al ***SOPORTE.1, donde se encuentran situados los Tags. Debe elegir qué tipo de tag coger. Los dos tipos de tag son: • (...): Tag para piscina grande, ya que recoge las métricas de nado y las refleja en la pantalla situada en la piscina. (Largos, tiempo medio, metros) • (...): Tag para piscina pequeña, no recoge métricas. (No aparece en pantalla) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/87 Con ambos tags, se conecta al usuario con el reloj del socorrista para aumentar la seguridad en la piscina. El usuario coge un tag, pasa la pulsera identificativa de (…) por el lector. Con este proceso, vincula su acceso a un número de tag. Este proceso es similar al del torno de entrada a la instalación, el lector actúa como un torno de entrada, registrando los datos del usuario únicamente en el software de LA ENTIDAD (utilizado para el alta de socios), exactamente igual que los tornos de acceso a la instalación. La empresa ***DISPOSITIVO.1, no tiene acceso a ningún dato del usuario, únicamente utiliza el ID de la pulsera para asociarlo a un número de (…) y mandarle la información al software. ***DISPOSITIVO.1 ni trata ni guarda ninguna información personal de ningún usuario. Una vez identificado el usuario enciende el tag y utiliza la instalación según su interés. Cuando termina su sesión en la piscina vuelve a dejar el tag de donde lo cogió para que automáticamente se borre la sesión. Durante todo el proceso en ningún momento aparece ningún dato (ni nombre, ni apellidos…) de ningún usuario de forma visible. Ni en la pantalla de nado, ni en la Tablet de enlace, ni en la Tablet de los socorristas. Lo único que identifica al usuario dentro de la piscina es el número de tag que haya cogido. Si no quiere aparecer en la pantalla y que se reflejen las métricas de nado de la sesión que se está realizando, el usuario tiene la opción de coger el (...) (finalidad seguridad). Si LA ENTIDAD fuera. a recabar datos añadidos o fuera a realizar nuevos tratamientos con sus datos, siempre y de manera expresa, le solicitaría su consentimiento expreso. Con respecto a la modificación unilateral de las condiciones contractuales, según conversación mantenida conmigo telefónicamente como directora del centro, se subsanó la situación ofreciéndole que pudiera acceder a la piscina los días restantes del mes de abril, así también quedó reflejado en la hoja de reclamación que usted puso el mismo día. LA ENTIDAD le comunica que en el día de ayer se le remitió un correo electrónico informándole del cambio efectuado de las nuevas normas donde se ha reflejado la obligación de utilizar el tag (…) con la finalidad de ofrecerle la mayor seguridad (…) B.B.B. (…)”. SEGUNDO: Actuaciones de traslado conforme al artículo 65.4 de la LOPDGDD a la parte reclamada. De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), el 5 de julio de 2023 se dio traslado de dicha reclamación a la parte reclamada para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/87 El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), se notificó el 5 de julio de 2023 como consta en el acuse de recibo que obra en el expediente. En su respuesta, de 27 de julio de 2023 confirma la recepción del escrito dirigido por la parte reclamante de 28 de abril de 2023, así como la respuesta que le remitió el 4 de mayo de 2023 y que se recoge en el antecedente de hecho anterior. Asimismo, informa de que “se realizará un análisis de riesgos en materia de protección de datos para revisar cada uno de los tratamientos y su ajuste a la normativa aplicable”. Asegura que ha celebrado un contrato con la empresa ***EMPRESA.1, (en lo sucesivo ***EMPRESA.1), creadora del dispositivo, por los servicios de alquiler del sistema ***DISPOSITIVO.1; describe las funcionalidades que presenta el sistema (entrenamiento o comunicación a socorristas de posibles ahogamientos). En concreto, señala: “Que en fecha 16 de febrero de 2023 SPORT & SPA GEST, S.L.U. (en adelante SUMA) y ***EMPRESA.1. (en adelante ***EMPRESA.1) firmaron contrato de prestación de servicios por el cual ***EMPRESA.1 se comprometía a prestar a SUMA los servicios de alquiler de hardware, equipado con software de ofimática debidamente licenciado para su uso y mantenimiento del hardware y software. Así, y en atención a las características del producto, debemos señalar que el producto dispone de dos funcionalidades: 1. ***DISPOSITIVO.1, la aplicación de comunicación de eventos potencialmente peligrosos permite al socorrista detectar hundimientos de los Tags durante un tiempo previamente fijado de 30s. ***DISPOSITIVO.1 se comunica con el socorrista mediante dispositivos de pulsera y pantallas. El sistema se considera un sistema adicional de seguridad que en ningún caso sustituye la figura del socorrista ni exime de responsabilidad alguna al CLIENTE. Este sistema se constituye únicamente como ayuda al mismo siempre que se encuentre en perfectas condiciones de funcionamiento. Por todo ello ***EMPRESA.1, y tal y como ha manifestado al cliente, no será en ningún caso responsable de cualquier accidente/ahogamiento que se produzca en la instalación. 2. Entrenamiento (***DISPOSITIVO.1) es el sistema que se encarga de monitorizar el entrenamiento del nadador. Usa la información que proporciona el tag que llevan los usuarios para registrar número de largos, distancia, ritmo y tiempo de sesión. Esta información se mostrará en diferentes dispositivos tales como pantallas y/o aplicaciones móviles (…)” A continuación, manifiesta que informó a los usuarios el 27 de abril de 2023 sobre estos nuevos servicios. A estos efectos, remite copia de la comunicación enviada, que coincide con la remitida por la parte reclamante junto a su reclamación. Además, asegura que “ninguno de los servicios puestos a disposición por parte de (…) realiza tratamiento de datos personales” y señala sobre el funcionamiento del sistema: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/87 “(…) - El usuario dispone de una pulsera de usuario personal e intransferible, la cual permite a SUMA fitness conocer si una persona está inscrita para el uso y disfrute de sus instalaciones, ello de acuerdo con las condiciones firmadas en 11 de diciembre de 2019. - Una vez el usuario acceder a las instalaciones de SUMA fitness, puede elegir entre el dispositivo (...) o el dispositivo (...), la información que ambos dispositivos recogen es la siguiente: (...): Nº de largos realizados, tiempo medio. metros. hundimientos. (...): Hundimientos. - Al finalizar la sesión el usuario deja el TAG escogido en su sitio en piscina, procediéndose inmediatamente al borrado de la información. - En ningún momento la pulsera de usuario y el tag realizan conexión entre si alguna. - Entendemos que no estamos ante un tratamiento de datos personales (…) En este sentido, y teniendo en cuenta la información que cada dispositivo TAG refiere, así como la metodología empleada (no emparejamiento y borrado de la información), entendemos que no estamos ante un tratamiento de datos personales. No obstante, y para el caso de entenderse que estamos ante un tratamiento de datos personales, entendemos que en ningún caso los mismos pueden ser considerados como datos de salud (…) Entendemos que en ningún caso el nº de largos realizados, el tiempo medio o los metros realizados pueden ser considerados como datos de salud. Tratamiento que en ningún caso sería contrario al RGPD pues su art. 6.1.a y b así lo dispone:
- a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
- b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales; (…) Finalmente, no podemos olvidar que la propia empresa suministradora del servicio afirma que estamos ante una información cuya condición es anónima, pudiendo únicamente la empresa identificar la información, no obstante, la propia configuración realizada por SUMA fitness garantiza el anonimato de la información, no tratando ningún dato personal. A mayor abundamiento, y con el objetivo de que toda la información aportada por esta parte sea veraz, se consultó a la entidad ***EMPRESA.1. para que corroborasen la relación actual entre ambas entidades, así, se señaló por ***EMPRESA.1 que “***DISPOSITIVO.1 almacena el identificador de la pulsera RFID (número anónimo para nosotros), los largos realizados, el tiempo en la piscina y el tag utilizado por el usuario. Todos estos datos son anónimos”. ***DISPOSITIVO.1 suministra a (…) el identificador de la pulsera RFID, la fecha de la creación de la asociación y la fecha de fin de la actividad deportiva. En ningún momento ***EMPRESA.1 almacena datos como nombre, DNI.... o C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/87 datos de salud, nosotros ni siquiera tenemos acceso a esos datos. Únicamente hacemos una relación entre el identificador de la pulsera RFID y el tag del usuario. Almacenamos los datos deportivos (número de largos y tiempo en la piscina) y la hora de acceso y fin de la actividad. (…) Así las cosas, y teniendo en cuenta todo lo anteriormente expuesto y a modo de resumen: 1. Entendemos que no estamos ante un tratamiento de datos personales. 2. En caso de estar ante un tratamiento de datos personales el mismo no sería de datos de salud. 3. En todo caso el tratamiento se realiza para el cumplimiento de un contrato, el cual fue aceptado expresamente por el Sr. A.A.A..” Junto a su contestación aporta: - Correo electrónico de respuesta de la parte reclamada a la parte reclamante de 4/05/2023. - Contrato de prestación de servicios suscrito el 16 de febrero de 2023 entre ***EMPRESA.1 y la parte reclamada. En el mismo se señala: “Objeto: (…) ***EMPRESA.1 se compromete a prestar al cliente [la reclamada] los servicios de alquiler de hardware, equipado con software de ofimática debidamente licenciado para su uso y mantenimiento del hardware y software, en los términos y condiciones previstos (…) Características del producto: (…) ***EMPRESA.1 es una plataforma que detecta en tiempo real la posición del usuario en el vaso de la piscina a través de un TAG que se coloca en la gafa o gorro de nadar con dos funcionalidades: 1. ***DISPOSITIVO.1: la aplicación de comunicación de eventos potencialmente peligrosos permite al socorrista detectar hundimientos de los TAGS durante un tiempo previamente fijado de 30 s. ***DISPOSITIVO.1 se comunica con el socorrista mediante dispositivos de pulsera y pantallas (…) 2. Entrenamiento ***DISPOSITIVO.1 es el sistema que se encarga de monitorizar el entrenamiento del nadador. Usa la información que proporciona el tag que llevan los usuarios para registrar número de largos, distancia, ritmo y tiempo de sesión. Esta información se mostrará en diferentes dispositivos tales como pantallas y/o aplicaciones móviles. (…) Contrato de encargo de tratamiento. Anexo IV”. El Anexo IV del mencionado contrato de servicios recoge el contrato de encargado del tratamiento en los siguientes términos (el subrayado es de la AEPD): “Encargado del tratamiento (***EMPRESA.1) de determinados datos personales por cuenta del responsable del tratamiento (CLIENTE C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/87 [SPORT & SPA GEST]) con motivo de la relación de prestación de servicios que vincula a ambas partes (…) CLÁUSULAS Y CONDICIONES Objeto del contrato: mediante las presentes clausulas se habilita a la entidad encargada del tratamiento para trata por cuenta del responsable del tratamiento los datos de carácter personal necesario para prestar el servicio descrito en contrato de servicios. Naturaleza y finalidad del tratamiento de la información afectada: prestación de los servicios de información sobre la actividad de los usuarios en la piscina lo que incluye todos los procesos de tratamiento de los datos para la consecución de dicho fin. Lo anterior incluye, pero no se limita a: estructurar y organizar los datos personales para llevar a cabo métricas y analíticas que conlleven a la creación de contenidos deportivos procesados, que serán posteriormente entregados al cliente. Operaciones de tratamiento: para llevar a cabo la publicación de los datos en la plataforma deportiva, se llevarán a cabo por el ENCARGADO del TRATAMIENTO todas las operaciones de tratamiento de datos contempladas en el artículo 4.2 RGPD. Identificación de la información afectada. Categorías de interesados: El ENCARGADO DEL TRATAMIENTO tratará por cuenta del RESPONSABLE DEL TRATAMIENTO la información sobre personas físicas identificada o identificables siguientes: asociados/usuarios (clientes) gimnasios SUMA. Identificación de la información afectada. Tipo de datos personales: en relación con los asociados/usuarios: datos identificativos (como nombre, apellidos y DNI) correo electrónico e ID de usuario (…)”. - Comunicación de 27 de abril de 2023 enviada por el centro deportivo para explicar a los usuarios el funcionamiento e implementación del dispositivo '***DISPOSITIVO.1', coincidente con la aportada por la parte reclamante. - Correo electrónico enviado por ***EMPRESA.1 (***EMAIL.1) a la parte reclamada de 25 de julio de 2023 en el que indica: “Respecto a la relación ACTUAL entre Suma y ***EMPRESA.1 el paso a paso es el siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/87 1. Un usuario se hace socio de SUMA y acepta el tratamiento de sus datos personales. 2. Estos datos se le ceden a la empresa que tiene SUMA para gestionar los usuarios, en este caso (…). 3. El usuario acepta estas condiciones y recibe una pulsera RFID que únicamente contiene un número identificador en su interior (ej: número de serie). Este identificador está ligado a los datos de (…). Una vez el usuario llega a la piscina: 1. El usuario entra en la piscina y realiza una asociación entre su pulsera (pasándola por un lector RFID) y el tag de ***DISPOSITIVO.1 que va a utilizar. 2. El usuario nada y genera datos deportivos: número de largos y tiempo en la pisicina. 3. ***DISPOSITIVO.1 almacena los datos y le da (…) el número de acceso a la piscina. ***DISPOSITIVO.1 almacena el identificador de la pulsera RFID (número anónimo para nosotros), los largos realizados, el tiempo en la piscina, y el taf utilizado por el usuario. Todos estos datos son anónimos. ***DISPOSITIVO.1 suiministra a (…) el identificador de la pulsera RFID, la fecha de la creación de la asociación y la fecha de fin de la actividad deportiva. En ningún momento ***EMPRESA.1 almacena datos como nombre, DNI…. O datos de salud, nosotros si siquiera tenemos acceso a estos datos. Únicamente hacemos una relación entre el identificador de la pulsera RFID y el tag del usuario. Almacenamos los datos deportivos (número de largos y tiempo en la piscina) y la hora de acceso y fin de la actividad. (…)” TERCERO: Actuaciones de traslado conforme al artículo 65.4 LOPDGDD a ***EMPRESA.1. En el marco del mencionado artículo 65.4 de la LOPDGDD, el 5/07/2023 se trasladó la reclamación a ***EMPRESA.1 empresa creadora del dispositivo '***DISPOSITIVO.1', El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 5 de julio de 2023 como consta en el acuse de recibo que obra en el expediente. El 3 de agosto de 2023 se recibe respuesta al traslado, en el que destaca lo siguiente: (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/87 “En el presente caso la entidad SUMA PATACONA ha implantado la tecnología ***DISPOSITIVO.1 (que en adelante denominaremos ***DISPOSITIVO.1 por ser el nombre del servicio que presta ***EMPRESA.1) (
- i)de un lado para que los usuarios de la piscina puedan mejorar la calidad de sus entrenamientos y de otro lado, (
- ii)para incrementar la seguridad previniendo prevenir los ahogamientos mediante un sistema de localización en tiempo real, en particular, de cara a los cursos de verano infantiles de junio y julio y en los próximos cursos de natación preescolar y escolar 23/24. (…) − ***EMPRESA.1 es una sociedad que tiene por objeto el diseño, fabricación, distribución y venta de aplicaciones informáticas, así como actividades de programación, gestión de recursos informáticos, gestión de bases de datos y prestación de servicios relacionados con las tecnologías de la información y la informática enfocado principalmente al ámbito deportivo y en este contexto, es titular de una tecnología que denominamos “***DISPOSITIVO.1” (y que el reclamante y SUMA PATACONA identifican como ***DISPOSITIVO.1 en sus escritos) la que se pone a disposición de terceros mediante suministro de tecnología y licencia de uso. − ***DISPOSITIVO.1 consiste en una solución tecnológica de posicionamiento Indoor basado en Bluetooth, que permite hacer seguimiento de los tags que un nadador usa como prevención de ahogamiento y que sirve para medir los largos realizados. Dichos tags son genéricos y están a disposición de cualquier nadador pudiendo coger cualquiera de ellos para asegurar su sesión de natación. − ***DISPOSITIVO.1 funciona mediante una plataforma tecnológica que se compone de los siguientes elementos: o Las antenas bluetooth o Los tags (…) (que únicamente se usan para socorrismo). o Los tags (…) que se usan para socorrismo y además, para medición de la sesión de nado. o Un ordenador en las instalaciones de SUMA PATACONA es quien calcula los datos para avisar al socorrista del incidente y dar la información de largos del nadador. o La pantalla donde el nadador puede ver su sesión de entrenamiento siempre que cogiera para sus uno ese día un (...). o Una Tablet donde el socorrista puede identificar los tags y localizar incidentes y una pulsera de aviso para el socorrista. - C/ Jorge Juan, 6 28001 – Madrid El funcionamiento de una sesión de nado es el siguiente: Un usuario llega a la piscina de SUMA PATACONA y con su pulsera de Suma registra el tag que va a usar en ese momento. A partir de ahí ***EMPRESA.1 guarda en una base de datos, la hora, día, número del tag en uso y el código de la pulsera (el identificador único que SUMA PATACONA proporciona a ***EMPRESA.1 es el de la pulsera donde ***EMPRESA.1 no conoce más información del cliente de SUMA PATACONA que dicho código, un ejemplo del mismo es este ejemplo. “(…)”) que es la información que posteriormente se le manda a SUMA PATACONA. (…). www.aepd.es sedeaepd.gob.es 12/87 Mientras el cliente nada y siempre que haya decidido usar un (...) podrá ir viendo en un monitor los tiempos y largos que lleva. Esto se muestra como aparece a continuación: (….) - Los datos que se generan con el tag son los siguientes: o Fecha o Hora de inicio de la sesión de nado. o Hora de fin de la sesión de nado. o Número de largos. o Tiempo de dichos largos. o ID del tag. - Concretamente el (...) (vinculación a la pulsera para contar largos) se recogen los siguientes datos o Hora de inicio de la sesión de nado. o Hora de fin de la sesión de nado. o Número de largos. o Tiempo de dichos largos. o ID del tag. o Id de pulsera SUMA - Del (...) (no es obligatorio vincularla a la pulsera) se recogen los siguientes datos: o Fecha o Hora de inicio de la sesión de nado. o Hora de fin de la sesión de nado. o ID del tag. Todos estos datos se generan en los sistemas de ***EMPRESA.1_. El Id. de la pulsera de SUMA PATACONA se comunica automáticamente al sistema de ***EMPRESA.1. Y todos los datos que se han generado en ***EMPRESA.1, junto a la vinculación al id de la pulsera de SUMA PATACONA se comunican a los sistemas de SUMA PATACONA a las 12 de la noche con un protocolo seguro. Durante el día, SUMA PATACONA dispone de un cuadro de mando, sin vinculación a las pulseras ni ningún otro dato para que SUMA PATACONA pueda analizar el uso de la piscina con dicho cuadro (…). En el momento en que un usuario deja de nadar y deja el tag en su mostrador, este se desvincula y apaga automáticamente quedando disponible para que el siguiente nadador lo use. - C/ Jorge Juan, 6 28001 – Madrid ***DISPOSITIVO.1 no usa Inteligencia Artificial como indica el reclamante. Simplemente posiciona a las personas usuarias de los tags en la piscina, avisando al socorrista en caso de posible ahogamiento y cuenta los largos del usuario asociándolos a un número que ha activado un nadador. www.aepd.es sedeaepd.gob.es 13/87 (…) - - - Como se ha indicado anteriormente, la tecnología de ***DISPOSITIVO.1 está basada en tecnología de posicionamiento indoor con tecnología Bluetooth. Se posicionan antenas en las piscinas para ir triangulando la posición del Tag que usa un nadador para saber en qué lugar de la piscina está y si el usuario está sobre el agua o hundido, en este último caso avisa a dispositivos del socorrista indicando posible incidente de ahogamiento e indicando en una tablet en que posición de la piscina está sucediendo el posible ahogamiento. Con esta tecnología de posicionamiento y detección de ahogamientos no se utiliza ninguna solución de IA ya que no es necesaria para la función de la solución de ***DISPOSITIVO.1. Además, cada usuario al coger la pulsera, ya decide si quiere que su sesión de nado sea medida y publicada (…) o sí quiere que su sesión de nado solo sea para la detección de un ahogamiento (…). Asimismo, en las piscinas se instala una pantalla donde los nadadores que han seleccionado la pulsera (…), pueden ver los largos y tiempos que un tag esta realizando sin ninguna información personal de ningún tipo ya que, como se ha explicado, ***DISPOSITIVO.1 no guarda datos personales, simplemente se muestra que el tag xxx (por ej. 1) lleva xxxxx largos (por ej. 6 largos) y ha tardado xxxx minutos (por ej. 20 minutos). − La tecnología de ***DISPOSITIVO.1 no es dañina para la salud ni emite ondas. La solución de ***DISPOSITIVO.1 utiliza tecnología (…) (…) En definitiva, se reitera en consonancia con lo ya explicado por SUMA PATACONA que ***EMPRESA.1 ni almacena ni recoge ni recibe datos personales del reclamante ni SUMA PATACONA comparte datos del reclamante con ***EMPRESA.1, tal como además se constata en la explicación del funcionamiento del sistema que se ha descrito en el apartado anterior. (…)” CUARTO: Admisión a trámite de la reclamación. Con fecha 4 de agosto de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. QUINTO: Actuaciones previas de investigación. La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/87 - La parte reclamada rectificó la información en su comunicación a los clientes de 27 de abril de 2023 sobre que el sistema implementado en su centro se basaba en el uso de inteligencia artificial. En concreto, han aportado copia de un documento remitido a la parte reclamante por correo electrónico con fecha 20 de noviembre de 2023 en el que se lee: “(…) Les informamos de la siguiente fe de erratas, del pasado 27 de abril, cuando se les comunicó la implantación del nuevo servicio ***DISPOSITIVO.1 en nuestras piscinas. Se les describió ***DISPOSITIVO.1 como "una novedosa tecnología basada en inteligencia artificial (…) Queremos aclarar que la tecnología ***DISPOSITIVO.1 NO utiliza ni incorpora Inteligencia Artificial (IA) para avisar al socorrista en caso de un posible ahogamiento o cuando se cuentan los largos del usuario al utilizar el tag. ***DISPOSITIVO.1 simplemente utiliza un posicionamiento de las personas usuarias de los tags en la piscina a través de Bluetooth. Pedimos disculpas por este error involuntario (…)”. Respecto a la información facilitada a los clientes con carácter previo, la parte reclamada señala: “el envío de la información errónea fue debido a una decisión comercial unida a una falta de conocimiento de la herramienta por parte del personal encargado de la comunicación”. - En relación con el funcionamiento del sistema, se ha recabado la siguiente información. Sobre la obligatoriedad, para el usuario, de utilizar un dispositivo (denominado tag) y asociarlo a la pulsera identificativa para poder acceder a la piscina, por parte de la Subdirección General de Inspección de Datos se solicita información a la parte reclamada sobre si es posible portar el (...) (sin métricas) y sobre si se puede acceder a las piscinas portando un tag (…) sin asociarlo a la pulsera. A este respecto, la parte reclamada informa el 27 de octubre de 2023 que para acceder a la piscina el usuario debe contar con un tag, pudiendo elegir entre el (...) o (…). Además, señalan: • Que “el (...) no es obligatorio vincularlo a la pulsera identificadora del usuario y su único fin es la prevención de ahogamientos, para lo que se recogen los siguientes datos (si el usuario no lo vincula a la pulsera): o Fecha. o Hora de inicio de la sesión de nado. o Hora de fin de la sesión de nado. o Identificador del tag. • Por su parte, el (...) permite, además de prevenir ahogamientos, realizar mediciones de la sesión de nado, lo que se realiza con los siguientes datos: o Fecha. o Hora de inicio de la sesión de nado. o Hora de fin de la sesión de nado. o Número de largos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/87 o o o Tiempo de dichos largos. Identificador del tag. Identificador de la pulsera que lleva el usuario para acceder a las instalaciones”. Asimismo, la parte reclamada realiza una descripción detallada del funcionamiento del sistema con relación a los flujos de datos y los datos tratados por es-te. A este respecto, asegura que internamente el sistema utiliza los datos que se han descrito más arriba según el tag (…). Existe, además, un flujo de salida de datos hacia la aplicación de gestión del centro deportivo, consistente en: el identificador del tag, el identificador de la pulsera del usuario (para (…), y para los (...) que hayan sido vinculados), fecha y hora de inicio de la sesión de nado que reflejan la utilización de la piscina. Los datos que se muestran por el sistema a los diferentes perfiles de usuarios son: - A los usuarios que están utilizando la piscina y llevan el (...): Identificador del tag, distancia, ritmo a los 100m, tiempo de nado y total de tiempo nadado. - Al socorrista: un aviso de vibración en su dispositivo de muñeca, en caso de que el sistema registre un posible ahogamiento, y los tags (…) que pueden estar en situación de emergencia (por pantalla). - Al personal que gestiona la aplicación de gestión del centro deportivo: Utilización de la piscina por días y horas (fecha y hora de inicio de la sesión de nado) asociada al Identificador del tag (…) e Identificador de la pulsera del usuario, si fue vinculada. Aportan impresiones de pantalla de capturas del sistema donde se aprecia que en la pantalla visible en el recinto de la piscina aparece para cada (...): su número identificativo, la distancia recorrida por el nadador que lo porta, el ritmo (tiempo invertido en 100 metros), tiempo nadando y tiempo total. En la pantalla del socorrista aparecen los números de tags activos y sus posiciones en la piscina de forma gráfica. Para una mejor comprensión del funcionamiento del sistema, el 15 de febrero de 2024, en el marco de las actuaciones previas de investigación, se solicitó a la parte reclamante aclaración sobre el motivo por el cual se asocia la pulsera de usuario al (...) (siempre), o (…) (cuando el usuario lo decide según manifestaciones) si en ningún caso se muestra la identificación del usuario por pantalla sino el número de tag. Se ha requerido asimismo la finalidad concreta del tratamiento del identificador de usuario asociado al tag. A este respecto los representantes de la parte reclamada han manifestado el 26 de febrero de 2024 que el motivo de asociar la pulsera de usuario al (...) (siempre), o (…) (cuando el usuario lo decide) radica en obtener indicadores de utilización de la piscina. Indican que la diferencia entre tags estriba solo en que con el (...) se muestra por pantalla la información de nado: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/87 “El motivo de asociar la pulsera de usuario al (siempre), o (…) (cuando el usuario lo decide) radica en obtener indicadores de utilización de la piscina, la diferencia estriba solo en que en el (...) se muestra por pantalla la información de nado”. Además, la parte reclamada asegura que la conservación de los datos en el sistema asociados a la identificación del usuario es de dos años. En las EIPDs de 26 de octubre de 2023 y de 20 de febrero de 2024 presentada se menciona que se almacenan dos años los datos del identificador de tag y la fecha y hora de inicio de la sesión de nado junto con el identificador de usuario. Los datos de número de largos, tiempo de los largos nadados y posición en la piscina se tratan almacenan únicamente unas horas. - En cuanto a la información facilitada a los usuarios sobre el tratamiento de datos personales a raíz de la implementación de los nuevos dispositivos: En respuesta a la solicitud de información realizada por la Subdirección General de Inspección de datos 15 de febrero de 2024, la parte reclamada aporta el 26 de febrero de 2024 copia de un correo electrónico remitido a sus usuarios ese mismo día a las 14.31 horas. En dicho correo se informa, entre otros, de la descripción del tratamiento, su finalidad y la base legal en los términos siguientes: “(…) • Descripción del tratamiento: ***DISPOSITIVO.1 es un sistema destinado a prevenir los ahogamientos. Está basado en tecnología de radiofrecuencia, y permite hacer seguimiento de los nadadores mediante unos pequeños dispositivos, a los que llamamos tags, que el nadador fija a su gorro de baño, y que además sirve para ofrecer a nuestros clientes información anonimizada sobre su sesión de nado, como largos realizados o el tiempo empleado. Los nadadores eligen entre utilizar un (...), que les permite ver en la pantalla de la piscina la información de su sesión de nado en tiempo real, o el (...), que no muestra dicha información. • Finalidad del tratamiento: La finalidad principal del tratamiento realizado por ***DISPOSITIVO.1 es la prevención de accidentes en la piscina, y como finalidades secundarias, por una parte, ofrecer a los usuarios que lo deseen la posibilidad de obtener un mayor control sobre su actividad deportiva mientras la está realizando, y por otra obtener información sobre el uso de la piscina. • Base legal del tratamiento: La base legal del tratamiento la encontramos en la protección de los intereses vitales de nuestros clientes. • Datos que se tratan: Cuando se utiliza un (...), se tratan los siguientes datos: hora de inicio de la sesión de nado, hora de fin de la sesión de nado, número de largos, tiempo de dichos largos, identificador del tag e identificador de la pulsera que lleva el usuario para acceder a las instalaciones, aunque cuando termina su sesión de nado solo queda almacenada en nuestro sistema la fecha y hora de acceso a la piscina y el identificador de su pulsera. Cuando se utiliza C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/87 el (...), no se muestran los datos citados en el caso del (...), e igualmente queda almacenada en nuestro sistema la fecha y hora de acceso a la piscina, así como el identificador de su pulsera. [...] 2. P. ¿Qué diferencia hay entre el (...) y el (...)? R. El (...) permite que se muestre en la pantalla su sesión de nado, y el (...) no. 3. P. ¿Quedan registrada la información de mi sesión de nado? R. No, los datos de largos nadados, tiempo empleado, etc, solo están disponibles durante su sesión de nado, y solo si ha elegido un (...). El sistema tan solo guarda la información necesaria para saber cuándo ha accedido usted a la piscina. 4. P. ¿Cómo sabe el socorrista que puedo tener un problema? R. Si un nadador lleva demasiado tiempo inmóvil o si se ha sumergido durante mucho tiempo, empieza a vibrar un dispositivo que lleva en la muñeca el socorrista, y puede ver su posición en la piscina mediante una pequeña pantalla. 5. P. ¿En la pantalla que ven el resto de nadadores se me puede identificar? R. No, en esa pantalla se distingue un nadador de otro por el número del tag que están utilizando. 6. P. ¿Se tratan datos de salud? R. No, en ningún momento se trata ningún dato de salud. Tan solo almacenamos información de cuándo ha accedido usted a la piscina. 7. P. Se transfieren mis datos a un tercero. R. No, su acceso a la piscina lo utilizamos únicamente para tener resultados de la utilización de la piscina y poder mejorar nuestros servicios adecuándolos a dicha utilización. 8. P. ¿Examinan si yo en concreto he accedido a la piscina? R. No, utilizamos la información registrada para saber cuántos accesos ha habido a la piscina cada día. 9. P. ¿Por qué no se me da la opción de no utilizar ningún tag? R. Porque el tener a personas nadando sin utilizar el sistema podría entorpecer al funcionamiento del mismo, y nuestra intención es proteger a todos nuestros clientes. Además, no podríamos conseguir el objetivo de tener datos fiables sobre la utilización de la piscina.” No se encuentra información al usuario en ninguno de los documentos aportados de la posibilidad que manifiestan de no asociar el (...) a la pulsera identificadora, que evitaría el tratamiento del identificador de usuario. - Respecto a la base jurídica para la realización del tratamiento C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 18/87 Sobre la identificación de la base jurídica sobre la que se fundamentan los nuevos tratamientos de datos los representantes de la parte reclamada manifiestan que se trata de la protección de los intereses vitales del interesado, recalcando que, según la Real Federación Española de Salvamento y Socorrismo, el pasado año 2022 fallecieron en España un total de 394 personas en las piscinas, playas y ríos del país (Informe Nacional de Ahogamientos). No se realiza mayor desglose de estos datos. Además, la parte reclamada, asegura que, tal y como se ha requerido aporta información de la base jurídica para los tratamientos que incluyen el código de identificación del usuario, como el de obtención de indicadores de uso de la piscina, ante lo que la parte reclamada vuelve a indicar que, tal y como se recoge en la EIPD (tanto en la versión 26/10/2023 como en la versión 20/02/2024) que aportan, el tratamiento se apoya legalmente en la base de que es necesario para proteger intereses vitales del interesado o de otra persona física. Indican que la justificación de la licitud del tratamiento es que el principal objeto del tratamiento de datos es proporcionar seguridad contra ahogamientos. - En lo referente a la Evaluación de Impacto en materia de protección de datos: En contestación al primer requerimiento de información efectuado el 13/10/2023, la parte reclamada aporta el 27/10/2023 copia de una Evaluación de Impacto (EIPD) en la que consta como fecha de última revisión el 26/10/2023. No obstante, en contestación al segundo requerimiento de 15/02/2024 aportan el 26/02/2024 una versión actualizada de fecha 20/02/2024. Consta copia de ambas versiones en el expediente. Se comprueba que en la EIPD se realiza una descripción del tratamiento, los datos tratados y los riesgos detectados, señalándose en la evaluación que se realiza una identificación de los efectos negativos y se estima el nivel de riesgo asociado. Se indica en la evaluación que el riesgo depende de dos factores: el impacto que tiene sobre las personas (bajo, medio, alto o muy alto) y la probabilidad de que se materialice (baja, media, alta). El impacto se estima directamente de los potenciales efectos. Indican que en el tratamiento de datos en estudio no se observan potenciales efectos negativos para las personas. Para determinar la probabilidad, indican que hay que analizar en qué circunstancias se materializan los efectos negativos (las amenazas), y estimar la probabilidad de estas. Una vez estimado el impacto y la probabilidad residuales calculan el riesgo residual, que indican que es: Riesgo residual sobre la confidencialidad: BAJO Riesgo residual sobre la integridad: BAJO Riesgo residual sobre la disponibilidad: BAJO Máximo de los riesgos residuales: BAJO C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 19/87 Como conclusión se cita: “Esta evaluación de impacto concluye que el tratamiento puede presentar un riesgo muy bajo para las personas. Indican que el tratamiento no es estrictamente necesario, pero es beneficioso para evitar accidentes y este beneficio es muy superior al bajo riesgo que introduce respecto a las libertades de las personas en cuanto a su privacidad y al uso de sus datos personales”. Asimismo, en el apartado “3.1 Descripción detallada del tratamiento” se cita: “***DISPOSITIVO.1 consiste en una solución tecnológica de posicionamiento basado en Bluetooth, que permite hacer seguimiento de unos pequeños dispositivos, a los que llamaremos tags, que un nadador usa como prevención de ahogamiento, y que sirve para medir los largos realizados. Dichos tags son genéricos y están a disposición de cualquier nadador pudiendo coger cualquiera de ellos para su sesión de natación. ***DISPOSITIVO.1 funciona mediante una plataforma tecnológica que se compone de los siguientes elementos: • varias antenas Bluetooth • (…) (que únicamente se usan para socorrismo). Un tag Bluetooth es un pequeño dispositivo que emite una señal de radio, normalmente un texto corto o un identificador numérico. • (…) que se usan para socorrismo y además, para medición de la sesión de nado. • un ordenador en las instalaciones de la piscina, que calcula los datos para avisar al socorrista del incidente y da la información de largos del nadador. • una pantalla de grandes dimensiones donde el nadador puede ver su sesión de entrenamiento siempre que cogiera para su uso ese día un (...). • una o varias tabletas, donde el socorrista puede identificar los tags y localizar incidentes, y • una pulsera de aviso para el socorrista. El funcionamiento de una sesión de nado es el siguiente: Un usuario llega a la piscina y con su pulsera identificadora registra el tag que va a usar en ese momento. A partir de ahí guarda en una base de datos, la hora, día, número del tag en uso y el código de la pulsera identificadora del usuario. Mientras el usuario nada, y siempre que haya decidido usar un (...), puede ver en la pantalla de grandes dimensiones los tiempos y largos que lleva recorridos. Cuando se usa el (...) se recogen los siguientes datos: • Hora de inicio de la sesión de nado • Hora de fin de la sesión de nado • Número de largos • Tiempo de dichos largos • Identificador del tag C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 20/87 • Identificador de la pulsera que lleva el usuario para acceder a las instalaciones” Utilizando el (...) (que no es obligatorio vincular a la pulsera identificadora) se recogen los siguientes datos: • fecha • hora de inicio de la sesión de nado • hora de fin de la sesión de nado • id del tag. Todos los datos que se han generado con los tags junto con la vinculación al identificador del usuario se comunican al resto de sistemas de la entidad a las 12 de la noche. La entidad dispone de un cuadro de mando para analizar el uso de la piscina de forma anonimizada utilizando agrupación de datos. En el momento que un usuario deja de nadar y deja el tag en su mostrador, este se desvincula y apaga automáticamente quedando disponible para que el siguiente nadador.” Se menciona, asimismo, más adelante en el documento, el tratamiento del dato de posición dentro de la piscina indicando que es necesario para poder localizar al nadador dentro de esta, bien sea para llevar un registro de su actividad deportiva, o para detectar una posible situación de peligro. Se encuentra también un apartado sobre el principio de minimización en el que se cita, como justificación de tratamiento del dato “identificador del usuario”, que este dato es necesario para poder distinguir un usuario de otro. En el apartado de procesos de tratamiento se cita un proceso de obtención de estadísticas descrito como “El personal autorizado del centro deportivo consulta los indicadores de su sistema de gestión” “en el que se tratan el dato de identificador del usuario, la fecha y la hora, siendo el resultado de este proceso la “Obtención de estadísticas acumuladas e indicadores sobre el uso de la piscina para la toma de decisiones”. En la primera versión de la EIPD se citaba que la finalidad del tratamiento era “prevenir accidentes y ofrecer a los usuarios un mayor control sobre su actividad”. En la segunda versión figuran además otras finalidades: “La finalidad del tratamiento de datos es prevenir accidentes, y como finalidades secundarias, ofrecer a los usuarios un mayor control sobre su actividad deportiva mientras la está realizando y obtener información sobre la utilización de la piscina.” Se menciona asimismo el periodo de almacenamiento de cada tipo de dato en la segunda versión. Se especifica que las métricas de nado se eliminan en unas horas. El identificador de usuario persiste 2 años. Por otra parte, entre otras cuestiones, en ambas versiones se señala que: - No se realiza tratamiento de categorías especiales de datos. - Respecto a la limitación del plazo de conservación se asegura que se “implementará” un proceso automático que elimine los datos. No C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 21/87 obstante, no se realiza mayor aclaración o referencias al funcionamiento o características de este procedimiento. - No se especifican las razones que llevan a fijar los plazos de conservación, ni por qué el plazo de establecido se considera el mínimo imprescindible. - El epígrafe denominado 4.7 Necesidad y proporcionalidad del tratamiento únicamente contiene lo siguiente: “Algunas cuestiones respecto a la necesidad y proporcionalidad son las siguientes: 1. El tratamiento de datos es eficaz porque, por una parte, ayuda a prevenir incidentes y al control que tienen los socorristas sobre la actividad de que se desarrolla en la piscina, y por otra, mejora la información que tienen los usuarios sobre su entrenamiento. 2. El tratamiento no es necesario, porque se podrían conseguir los mismos efectos con otros procedimientos. 3. El tratamiento es proporcional, ya que se trata de una medida poco intrusiva que proporciona más seguridad a los usuarios de la piscina”. - La conclusión determina que: “El tratamiento no es estrictamente necesario, pero es beneficioso para evitar accidentes y este beneficio es muy superior al bajo riesgo que introduce respecto a las libertades de las personas en cuanto a su privacidad y al uso de sus datos personales”. - En cuanto al funcionamiento del sistema ***DISPOSITIVO.1 a través de inteligencia artificial: Se ha comprobado durante las actuaciones previas de investigación que, tal y como indicaba ***EMPRESA.1 y a diferencia de lo señalado inicialmente por la parte reclamada, el sistema ***DISPOSITIVO.1 funciona a través de tecnología bluetooth y no por medio de la inteligencia artificial. SEXTO: Inicio del procedimiento sancionador. Con fecha 4 de febrero de 2025, la Presidencia de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción de los artículos 6, 13, 9, y 35 del RGPD, tipificados respectivamente en los artículos 83.5 a), 83.5 b), 83.5
- a)y 83.4
- a)del RGPD. SÉPTIMO: Alegaciones al acuerdo de inicio. Notificado el citado acuerdo de inicio conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 22/87 Administraciones Públicas (en adelante, LPACAP), la parte reclamada presentó escrito de alegaciones en el que, en síntesis, manifestaba que: 1. Consideraciones previas. - Asegura que, contrariamente a lo que venía indicando hasta la fecha el número de tag escogido por el usuario (ya sea (...) o (...)) no se vincula nunca y de ningún modo a la pulsera y por tanto tampoco al usuario que va a hacer uso de la piscina. “(…) En este punto es importante destacar que en las continuas verificaciones y en la auditoría que está llevando a cabo en la actualidad SPORT&SPA, relativa al funcionamiento del sistema ***DISPOSITIVO.1, se ha llegado a la conclusión de que existía, por parte de esta entidad, una interpretación errónea acerca del alcance y prestaciones de este, lo que ha motivado la realización de manifestaciones poco precisas a lo largo de las comunicaciones remitidas a los usuarios y durante la fase de instrucción. En este sentido, se ha concluido en fechas recientes que el número de tag escogido por el usuario (ya sea (...) o (...)) no se vincula nunca y de ningún modo a la pulsera y por tanto tampoco al usuario que va a hacer uso de la piscina. En consecuencia, el sistema no registraría y no guardaría el número de tag que ha escogido cada persona. Esta circunstancia se acreditará por SPORT&SPA en la forma que se propone como OTROSÍ en este escrito. Por tanto, el software de SPORT&SPA es el único sistema que accede a los datos de los usuarios como consecuencia del uso de la pulsera”. - - Manifiesta que el uso del sistema ***DISPOSITIVO.1 se está promoviendo incluso desde el Consejo Superior de Deportes junto con la Real Federación Española de Natación, para la creación de una red de piscinas inteligentes. Señala que, de conformidad con el principio de responsabilidad proactiva está revisando todos los tratamientos de datos personales que la parte reclamada lleva a cabo. 1. En relación con la presunta infracción del artículo 6 del RGPD: sobre la adecuación de la protección vital como base del tratamiento por SPORT&SPA. - Insiste en que la base legal para el tratamiento de los datos es el interés vital de los interesados, ligado a que el sistema ***DISPOSITIVO.1 protegería la vida y la seguridad de los usuarios del centro. Asegura, a este respecto que debe atenderse a la definición que la Real Academia Española establece de interés vital, esto es, “cualquier interés perteneciente o relativo a la vida de una persona” y que la interpretación realizada en el acuerdo de inicio es “excesivamente restrictiva”, por lo que no puede considerarse “ni razonable ni aceptable”. - Reitera que el Informe Anual de la Federación Española de Salvamento y Socorrismo revela “el aumento exponencial de los ahogamientos en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 23/87 espacios acuáticos, siendo la Comunidad Valenciana una de las comunidades autónomas con mayor tasa mortal de accidentes”. - Insiste en que el uso de los tags no implica el tratamiento de ningún dato personal, dado que “su uso es opcional” y muestra los resultados “de forma anónima” y que, en consecuencia, se trataría de una actuación no tipificada sobre la que no cabe la determinación de la existencia de una infracción. - De manera subsidiaria, solicita la reducción de la cuantía de la infracción dado que “no ha tenido en cuenta la ausencia de riesgos o perjuicios para los usuarios derivados del eventual tratamiento”. 1. En cuanto a la presunta infracción del artículo 13 del RGPD: la parte reclamada ha cumplido con su obligación de información. - - - Considera que los clientes del gimnasio han sido “debidamente informados sobre las características y el funcionamiento del sistema” y que, por tanto, no procede la imputación del artículo 13 del RGPD por información “tardía e incompleta”. Al respecto reitera las comunicaciones efectuadas los días 27 de abril de 2023, 26 de febrero de 2024 y señala que, en la medida en que el uso de los tags no trata ni recoge ningún “dato nuevo” esta comunicación no era necesaria ya que, tal y como dispone el artículo referenciado, se debe proporcionar la información en el momento en que los datos se obtengan. Considera, además, que la AEPD debería haber tenido en consideración, en su defecto, las correcciones realizadas respecto a la información proporcionada, realizadas los días 3 de mayo de 2023 y 20 de octubre de 2023, y, en consecuencia, que la sanción no es proporcionada ni se ha adoptado conforme a las circunstancias del artículo 83.2 del RGPD. Solicita el archivo de la infracción imputada o, en su defecto, la reducción de la sanción. 1. En lo referente a la presunta infracción del artículo 9 del RGPD: SPORT&SPA no trata datos de salud ausencia del tipo infractor. - - - C/ Jorge Juan, 6 28001 – Madrid Señala que el uso de los tags no implica en ningún caso un tratamiento de datos de salud puesto que estos han de contar con “dos requisitos imprescindibles e ineludibles para determinar que nos encontramos ante un dato de salud: o Revelación de datos relativos a la salud física o mental de una persona. o Identificación de manera unívoca a efectos sanitarios. Insiste en que los datos que se muestran durante las sesiones de la piscina no son datos de salud, solo métricas deportivas y que “el acuerdo de inicio se acoge a un criterio jurisprudencial que favorece una lectura amplia del concepto- que no resulta de aplicación al presente caso y que vacía de contenido el concepto legal de datos de salud”. Subraya la existencia de un error de razonamiento del acuerdo de inicio sobre que el desempeño de una persona física en una piscina permite conocer de manera indirecta el estado de salud de esta, puesto que la www.aepd.es sedeaepd.gob.es 24/87 aplicación del mismo daría lugar a equívocos en caso de que personas que de manera habitual practican otro tipo de deportes, decidieran nadar y sus resultados no fuera óptimos, aun cuando su forma física fuera buena. Así, asegura que la doctrina científica ha determinado que el estado de salud viene determinado por distintos condicionantes: como aspectos de salud, herencia, actividad física u otros factores como el estilo de vida o el medio ambiente, sin que uno solo de estos sea suficiente para determinar “la condición física” de una persona. Así, asegura que el estado de salud de una persona debe basarse en el análisis del conjunto de una serie de datos morfológicos, musculares, del apartado motor y de tipo cardio-respiratorio y metabólico. - Asegura que los datos recabados no son los relativos a sexo, edad, complexión, peso o calorías por lo que no se trataría de datos de salud y que “la necesidad de tener que evaluar datos o parámetros adicionales para determinar que nos encontramos ante un dato de salud pone en tela de juicio el segundo argumento del Acuerdo de Incoación”. - Señala que, además, los datos son eliminados después de la sesión de nado, por lo que no se puede realizar un análisis del rendimiento de los mismos. 1. Respecto a la presunta infracción del artículo 35 del RGPD: inexistencia de obligación para SPORT&SPA de realizar una evaluación de impacto, inexistencia de vulneración del artículo 35 RGPD. - - C/ Jorge Juan, 6 28001 – Madrid Manifiesta que el acuerdo de inicio imputa la comisión de una infracción del artículo 35 del RGPD pero que omite que la parte reclamada no está obligada a realizar una EIPD porque no cumple ninguno de los requisitos del artículo 35.3 del RGPD, de manera que no cabría tal imputación. Asegura, además, que el riesgo de la implementación del sistema ***DISPOSITIVO.1 es bajo y residual por dos circunstancias que no se han tenido en cuenta en el acuerdo de inicio: o El tratamiento de datos de la parte reclamada se limita exclusivamente al acceso del recinto a la piscina. Las métricas mostradas en la pantalla, aisladamente consideradas, no permite identificar, a una persona unívocamente. o ***DISPOSITIVO.1 se basa en un sistema de radiofrecuencia basada en bluetooth que solo reconoce la presencia de un tag cuando este se encuentra dentro del rango de detección. El sistema no trata ni almacena ninguna información personal de los usuarios: “Una vez identificado con su pulsera, el usuario activa el tag y utiliza la instalación a su interés. Al finalizar su sesión en la piscina, devuelve el tag al lugar de donde lo tomó, lo que permite que la sesión se borre automáticamente. Durante todo el proceso, en ningún momento, se muestra ningún dato personal (nombre, apellidos etc) de los usuarios de forma visible (…) Lo único que identifica al usuario dentro de la psicina es el número de tag que ha recogido. Corrobora dicha información la respuesta de 25 de julio de www.aepd.es sedeaepd.gob.es 25/87 - - 2023 enviada por ***EMPRESA.1, creadora del sistema ***DISPOSITIVO.1, con la que SPORT&SPA suscribió el contrato de servicios, en la que se confirma que la empresa no almacena ningún dato con el que pueda identificar al usuario”. En consecuencia, sostiene que sancionar a la parte reclamada por “detectar defectos formales en las EIPD de 26 de octubre de 2023 y de 20 de febrero de 2023, que no estaba obligada a realizar, infringiría los principios más fundamentales del derecho administrativo sancionador”, puesto que se trata de un comportamiento no previsto en la norma. En su defecto, solicita la minoración de la cuantía propuesta. OCTAVO: Remisión de nueva documentación. El 13 de marzo de 2025, la parte reclamada presenta nuevo escrito en el que indica: “(…) tal y como se anunció en las alegaciones presentadas en fecha 26 de febrero de 2025, por medio del presente escrito se acompaña, como Documento Adjunto nº1, certificado emitido por la empresa ***EMPRESA.1., acreditando que el número de tag escogido por el usuario (…) no se vincula nunca y de ningún modo a la pulsera identificativa del usuario que va a hacer uso de la piscina gestionada por SPORT&SPA (…)” Junto al mencionado escrito aporta un documento en el que el representante de ***EMPRESA.1 manifiesta lo siguiente: “(…) I. Que mi representada es titular de la aplicación ***DISPOSITIVO.1 que tiene instalada para su uso en la empresa SPORT & SPA GEST, S.L. con NIF B97827778. II. Que en la base de datos de la aplicación ***DISPOSITIVO.1 no se realiza -ni es técnicamente posible realizar- ningún tipo de vinculación entre (
- i)el código alfanumérico que lleva incorporada la pulsera del usuario de la piscina y (
- ii)el identificador del TAG, (…), que permita identificar o inferir la identidad de las personas que están haciendo uso de la piscina contemplada en la instalación deportiva gestionada por SPORT & SPA GEST, S.L. III. Que el identificador del Tag, (…), que se registra y se trata en la aplicación ***DISPOSITIVO.1 tampoco permite identificar o inferir la identidad de las personas que están haciendo uso de la piscina citada, ya que el identificador del Tag en ningún caso está asociado a la identidad de una persona en concreto IV. Que en ningún caso se lleva a cabo ningún procedimiento ni técnica que permita analizar datos de salud de los usuarios. V. Que, según lo indicado en los puntos anteriores, todas las métricas de natación que se muestran en las pantallas siempre que se utilice el (...), no permiten identificar o inferir la identidad de las personas que están haciendo uso de la piscina contemplada en la instalación deportiva gestionada por SPORT & SPA GEST, S.L. En el caso de utilizarse el (...) no se muestran métricas de natación, pero tampoco permite identificar o inferir la identidad de las personas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 26/87 Lo que pongo en conocimiento de cualquier interesado en relación con esta cuestión según considere la empresa SPORT & SPA GEST, S.L”. No se aporta ningún documento acreditativo de lo señalado anteriormente. NOVENO: Acuerdo de cambio de instructor. El 30 de junio de 2025, la Presidencia de la Agencia Española de Protección de Datos acordó el cambio de instructor del procedimiento, notificado a la parte reclamante el 1 de julio de 2025. DÉCIMO: Aclaración sobre prueba propuesta. El 2 de julio de 2025, durante la instrucción del procedimiento, se requirió, conforme al artículo 73 de la LPACAP, aclaración sobre la práctica de la prueba testifical propuesta por la parte reclamante. Consta notificación del mencionado requerimiento de 2 de julio de 2025. El 16 de julio de 2025 la parte reclamada remitió lo requerido por la instrucción del presente procedimiento sancionador, en concreto, el cuestionario de preguntas que, conforme al criterio de la parte reclamada, se debía realizar a los testimonios propuestos. UNDÉCIMO: Denegación práctica de la prueba. El 23 de julio de 2025, por la instrucción del procedimiento se acordó denegar de manera motivada la prueba testifical propuesta por la parte reclamada, de conformidad con el artículo 77 de la LPACAP y de acuerdo con lo previsto en el artículo 73.3 de la misma norma, al entender que esta era innecesaria en la medida en que el contenido de las preguntas ya se había realizado por esta AEPD durante el transcurso de las actuaciones previas de investigación, contándose, por tanto, con elementos suficientes para dictar propuesta de resolución. DUODÉCIMO: Propuesta de resolución. El 29 de julio de 2025 se dictó por la instrucción del procedimiento propuesta de resolución en los siguientes términos: - “Que por la Presidencia de la Agencia Española de Protección de Datos se sancione a SPORT & SPA GEST, S.L., con NIF B97827778 por: - una infracción del artículo 6.1 del RGPD, tipificado en el artículo 83.5.
- a)del RGPD, con una multa de 5.000 euros. - una infracción del artículo 13 del RGPD, tipificado en el artículo 83.5.
- b)del RGPD, con una multa de 3.000 euros. - una infracción del artículo 9.1 del RGPD, tipificado en el artículo 83.5.
- a)del RGPD, con una multa de 8.000 euros. - una infracción del artículo 35 del RGPD, tipificado en el artículo 83.4.
- a)del RGPD, con una multa de 4.000 euros. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 27/87 Lo que supone un total de 20.000 euros. - Que por la Presidencia de la Agencia Española de Protección de Datos se ordene a SPORT & SPA GEST, S.L., con NIF B97827778 que en virtud del artículo 58.2.
- d)del RGPD, en el plazo máximo de 6 meses, acredite haber realizado y superado una EIPD en relación con el tratamiento de datos personales examinado en el presente procedimiento. Y sólo una vez superada acredite específicamente que el tratamiento cumple con las previsiones del RGPD en lo relativo al art. 6, 9 y 13 del RGPD”. Asimismo, se le informaba de la posibilidad de acogerse al pago voluntario de las sanciones propuestas con la consecuente reducción de un 20% de su importe. La mencionada propuesta fue notificada a la parte reclamada el mismo 29 de julio de 2025, tal y como consta en el acuse de recibo que figura en el expediente. DÉCIMOTERCERO: Pago voluntario infracciones de los artículos 6.1, 13 y 35 RGPD y alegaciones respecto a la infracción del artículo 9 RGPD. El 8 de agosto de 2025 la parte reclamada presentó un escrito ante la AEPD por el que informaba de que, en relación con las infracciones de los artículos 6.1 del RGPD, 13 del RGPD y 35 del RGPD, se acogía el pago voluntario de las respectivas sanciones propuestas, sin reconocimiento de la responsabilidad. Señalaba, por tanto, que hacía uso de la facultad contemplada en el artículo 85.2 LPACAP. Junto a su escrito aporta los justificantes bancarios correspondientes al abono de las cuantías previstas en la propuesta de resolución (con la correspondiente reducción del 20% para cada una de ellas) para las infracciones de los artículos 6.1, 13 y 35 del RGPD. No obstante, presentaba, en síntesis, las siguientes alegaciones en relación con la infracción del artículo 9.1 del RGPD: 1. Primera alegación referida a la ausencia de infracción del artículo 9 del RGPD. La primera alegación efectuada por la parte reclamada a la propuesta de resolución supone, en líneas generales, una reiteración de las alegaciones realizadas al acuerdo de inicio. Así, señala: - Que el sistema ***DISPOSITIVO.1 no permite en ningún caso la identificación de los usuarios portadores de los tags (…), lo que “excluye la existencia de un tratamiento de datos personales”. Insiste en que hasta la fecha se “había realizado una interpretación errónea” sobre el funcionamiento de los tags y que ello motivó la realización de “manifestaciones poco precisas a lo largo de las comunicaciones remitidas a los usuarios y durante la instrucción”. Asegura, además, que de ahí que propusiera como práctica de la prueba el testimonio de los coordinadores y responsables de la implementación de ***DISPOSITIVO.1 en el gimnasio, que fueron inadmitidas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 28/87 Manifiesta que el usuario es el único que conoce el tag escogido, que no se produce ninguna identificación con la pulsera identificativa y que, por tanto, “el uso del (...) o el (...) no permite de ningún modo ni por ningún medio conocer la identidad del usuario”. Reitera, en este sentido, el certificado emitido por ***EMPRESA.1 que ya fue objeto de valoración en la propuesta de resolución. - Que, aun cuando “pudiera considerarse que existe un tratamiento de datos personales” no puede considerarse que los datos asociados al (...) relativo a métricas deportivas, no “tiene cabida en la definición del artículo 4.15 del RGPD, ni puede dar lugar a la aplicación del régimen reforzado del artículo 9”. Así, la parte reclamada reitera que la definición del artículo 4.15 del RGPD no incluye la recogida de datos como el número de largos realizados, la velocidad a la que se realiza, puesto que estas no revelan el estado de salud físico o mental de la persona. Insiste, además, como ya hizo durante las alegaciones al acuerdo de inicio, en que del análisis de esos datos se podrían obtener conclusiones erróneas, es decir, entender que una persona con una enfermedad crónica presenta un buen estado de salud, si hace un buen desempeño en una piscina. Cuestiona que el mero hecho de acudir a un gimnasio o una piscina supone, de manera indirecta, un dato de salud. - Que la doctrina del TJUE sobre el concepto amplio de datos personales no resulta aplicable al presente caso, “puesto que presenta diferencias sustanciales existentes en las circunstancias concurrentes en los supuestos enjuiciados y el presente caso”. Asegura la parte reclamada que las sentencias citadas en la propuesta de resolución no pueden extrapolarse al presente supuesto puesto que el supuesto específico de la “Sentencia C-184/20” o el de Sentencia del Tribunal de Justicia de la UE de 4 de octubre de 2024, en el asunto C-21/23 no es coincidente con el presente caso, en tanto que uno versa sobre la divulgación en internet de datos correspondientes a un cónyuge y el otro sobre los pedidos de medicamentos a través de una plataforma digital. Por lo tanto, asegura la parte reclamada, “no concurren las circunstancias excepcionales que motivaron la aplicación del artículo 9.1 del RGPD en dicha resolución”. 2. Segunda alegación: “la propuesta de resolución infringe los principios de tipicidad y proporcionalidad de las sanciones que rige en derecho administrativo sancionador”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 29/87 - - Manifiesta que, en la medida en que considera que no se produce incumplimiento del artículo 9 del RGPD por los motivos expresados en la primera alegación, la propuesta de resolución vulnera el principio de tipicidad previsto en el artículo 27 de la LRJSP, partiendo de la base de que al derecho administrativo sancionador le son de aplicación los principios y reglas que inspiran el orden penal. Subsidiariamente, considera que la sanción impuesta vulnera el principio de proporcionalidad previsto en el artículo 29 de la LRJSP, puesto que no se ha producido un perjuicio para los interesados y solicita, por tanto, la minoración de la cuantía de la sanción propuesta para la infracción del artículo 9 RGPD. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: El 16 de febrero de 2023 SPORT & SPA GEST (la parte reclamada) y ***EMPRESA.1 (titular del sistema ***DISPOSITIVO.1) suscribieron un contrato de prestación de servicios de alquiler del mencionado sistema. ***DISPOSITIVO.1 es, en palabras de ambas empresas y tal y como se refleja en las EIPDs de la parte reclamada de 26 de otubre de 2023 y 20 de febrero de 2024 “una solución tecnológica de posicionamiento Indoor basado en Bluetooth, que permite hacer seguimiento de los tags que un nadador usa como prevención de ahogamiento y que sirve para medir los largos realizados. Dichos tags son genéricos y están a disposición de cualquier nadador pudiendo coger cualquiera de ellos para asegurar su sesión de natación”. Así, el sistema cuenta dos funcionalidades: una que permite determinar la localización del usuario en la piscina ((...) y (...)) y otra que permite monitorizar el entrenamiento realizado por un nadador ((...)). SEGUNDO: El contrato incluía en su Anexo IV, un contrato de encargo en materia de datos personales, en el que la parte reclamada es identificada como responsable y ***EMPRESA.1 como encargado del tratamiento. TERCERO: El sistema ***DISPOSITIVO.1, de acuerdo con ***EMPRESA.1 en su escrito de 3 de agosto de 2023, y tal y como suscribe la parte reclamada, entre otros en las citadas EIPDs “funciona mediante una plataforma tecnológica que se compone de los siguientes elementos: varias antenas Bluetooth; tags (…) (que únicamente se usan para socorrismo). Un tag Bluetooth es un pequeño dispositivo que emite una señal de radio, normalmente un texto corto o un identificador numérico; tags (…) que se usan para socorrismo y además, para medición de la sesión de nado; un ordenador en las instalaciones de la piscina, que calcula los datos para avisar al socorrista del incidente y da la información de largos del nadador; una pantalla de grandes dimensiones donde el nadador puede ver su sesión de entrenamiento siempre que cogiera para su C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 30/87 uso ese día un (...); una o varias tabletas, donde el socorrista puede identificar los tags y localizar incidentes, y una pulsera de aviso para el socorrista. CUARTO: El 27 de abril de 2023, la parte reclamada implementó este nuevo servicio (***DISPOSITIVO.1) en las instalaciones de la piscina de su gimnasio SUMA Fitness Club Patacona, condicionando el uso de la piscina por parte de los usuarios a la utilización obligatoria de uno de los tags, tal y como ella misma reconoce en su escrito de 27 de octubre de 2023 a esta Agencia. QUINTO: El funcionamiento de una sesión de nado en la piscina de la parte reclamada implica la vinculación, al menos del (...), y los datos que este capta, con el número identificador de la pulsera de usuario para el acceso a las instalaciones del gimnasio de la parte reclamada, tal y como se describe en el escrito de ***EMPRESA.1 de 3 de agosto de 2023 a la AEPD: “Un usuario llega a la piscina de SUMA PATACONA y con su pulsera de Suma registra el tag que va a usar en ese momento. A partir de ahí ***EMPRESA.1 guarda en una base de datos, la hora, día, número del tag en uso y el código de la pulsera (el identificador único que SUMA PATACONA proporciona a ***EMPRESA.1 es el de la pulsera donde ***EMPRESA.1(…), un ejemplo del mismo es este ejemplo. “(…)”) que es la información que posteriormente se le manda a SUMA PATACONA (…) El Id. de la pulsera de SUMA PATACONA se comunica automáticamente al sistema de ***EMPRESA.1. Y todos los datos que se han generado en ***EMPRESA.1, junto a la vinculación al id de la pulsera de SUMA PATACONA se comunican a los sistemas de SUMA PATACONA a las 12 de la noche con un protocolo seguro”. Esta manera de actuar se ratifica, asimismo, por la parte reclamada en su escrito a la AEPD de 27 de julio de 2023, en el correo electrónico de 25 de julio de 2023 de ***EMPRESA.1 a la parte reclamada, en la comunicación de 4 de mayo de 2023 de la parte reclamada a la parte reclamante, así como en las EIPDs de la parte reclamada de 26 de octubre de 2023 y de 20 de febrero de 2024. SEXTO: Los datos recogidos y tratados por los tags son los siguientes de acuerdo con el escrito de ***EMPRESA.1 de 3 de agosto de 2023 a esta Agencia, el escrito de la parte reclamada a la AEPD de 27 de octubre de 2023, así como las EIPDs de la parte reclamada de 26 de octubre de 2023 y de 20 de febrero de 2024: - C/ Jorge Juan, 6 28001 – Madrid En el caso del (...) (que exige la vinculación a la pulsera identificativa de usuario del gimnasio): hora de inicio de la sesión de nado, hora de fin de la sesión de nado, número de largos, tiempo de dichos largos, número identificativo del tag y código identificativo de la pulsera del usuario del gimnasio. www.aepd.es sedeaepd.gob.es 31/87 - En el caso del (...) (cuya vinculación a la pulsera identificativa de usuario del gimnasio no es obligatoria), se recogen la fecha, hora de inicio de la sesión de nado, hora de fin de la sesión de nado, ID del tag. SÉPTIMO: La parte reclamada, en su escrito de contestación a esta Agencia de 26 de febrero de 2024 asegura que: “el motivo de asociar la pulsera de usuario al (...) (siempre), o (…) (cuando el usuario lo decide) radica en obtener indicadores de utilización de la piscina, la diferencia estriba solo en que en el (...) se muestra por pantalla la información de nado”. OCTAVO: El número de tag, la distancia recorrida, el ritmo de nado y el tiempo nadando de los usuarios del (...) de la piscina de la parte reclamada se muestra en un monitor situado en la piscina, visibles para todos los usuarios. NOVENO: En las EIPDs efectuadas por la parte reclamada de 26 de octubre de 2023 y de 20 de febrero de 2024, la descripción del tratamiento señala: “el tratamiento consiste en la implantación de un sistema que monitoriza la posición de los usuarios en la piscina del centro para ofrecerles indicadores de su actividad y prevenir accidentes”. Además, se señala que “no se tratan datos de categorías especiales” y que “el tratamiento se apoya en que es necesario para proteger intereses vitales del interesado o de otra persona física”. Por otra parte, se determina que el plazo de conservación de los datos “identificador de tag”, “identificador de usuario”, “fecha de la sesión de nado”, “hora de inicio de la sesión de nado” es de “2 años”. Mientras que el plazo de conservación de los datos “posición dentro de la piscina”, “tiempo de los largos nadados”, “número de largos” es de “unas horas”. Además, se indica: “La justificación de que los plazos de conservación dados cumplen con la limitación del plazo de conservación es que al cabo de dos años los datos ya no son necesarios, con lo que serán destruidos. Para borrar los datos se implantará un proceso automático que elimine los datos una vez transcurridos el período de conservación. Los datos se mantienen en las copias de seguridad, hasta que por su antigüedad son desechadas”. En la primera versión se indica que la finalidad del tratamiento es “prevenir accidentes y ofrecer a los usuarios un mayor control sobre su actividad”. No obstante, en la segunda, se señala: “La finalidad del tratamiento de datos es prevenir accidentes, y como finalidades secundarias, ofrecer a los usuarios un mayor control sobre su actividad deportiva mientras la está realizando y obtener información sobre la utilización de la piscina.” Asimismo, en ambas versiones se concluye que el tratamiento de datos personales efectuado a través del sistema ***DISPOSITIVO.1 “no es estrictamente necesario, pero es beneficioso para evitar accidentes y este beneficio es muy superior al bajo riesgo que introduce respecto a las libertades de las personas en cuanto a su privacidad y al uso de sus datos personales”. Asimismo, en el epígrafe 4.7 Necesidad C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 32/87 de y Proporcionalidad se señala: “El tratamiento no es necesario, porque se podrían conseguir los mismos efectos con otros procedimientos”. DÉCIMO: El 27 de abril de 2023 la parte reclamada remitió a todos sus usuarios una comunicación en la que avisaba de que en la piscina de climatizada de sus instalaciones se había implantado “una novedosa tecnología basada en inteligencia artificial denominada ***DISPOSITIVO.1 (…) Los nadadores de SUMA podréis saber, en tiempo real y a través de una pantalla, el número de largos realizados, los metros recorridos o el tiempo de nado y de descanso. Esta información aumentará la calidad de vuestro entrenamiento y la experiencia. (…) El incremento en la seguridad será la otra gran ventaja de esta tecnología ya que se podrán prevenir los ahogamientos mediante un sistema de localización en tiempo real”. En la comunicación no se hacía referencia siquiera a la existencia de un tratamiento de datos personales. ÚNDECIMO: El 28 de abril de 2023 le fue denegado el acceso a la piscina a la parte reclamante por negarse al uso de los tags, razón por la que presentó una reclamación ante la parte reclamada mostrando su disconformidad con la denegación del acceso por no emparejar su pulsera identificadora con un “chip que recoge datos de salud”. El 4 de mayo de 2023, la parte reclamada, en contestación a la queja de la parte reclamante le informa, entre otros aspectos, de que “en el momento de alta como socio le ha informado del tratamiento que se va a realizar con su datos personales (…) Si LA ENTIDAD fuera a recabar datos añadidos o fuera a realizar nuevos tratamientos con sus datos, siempre y de manera expresa, le solicitaría su consentimiento expreso (…) La empresa ***DISPOSITIVO.1, no tiene acceso a ningún dato del usuario, únicamente utiliza el ID de la pulsera para asociarlo a un número de tag y mandarle la información al software. (…) LA ENTIDAD le comunica que en el día de ayer se le remitió un correo electrónico informándole del cambio efectuado de las nuevas normas donde se ha reflejado la obligación de utilizar el tag (…) con la finalidad de ofrecerle la mayor seguridad”. DUODÉCIMO: El 20 de noviembre de 2023 la parte reclamada remite la siguiente comunicación a los usuarios sobre el sistema ***DISPOSITIVO.1: “(…) Les informamos de la siguiente fe de erratas, del pasado 27 de abril, cuando se les comunicó la implantación del nuevo servicio ***DISPOSITIVO.1 en nuestras piscinas. Se les describió ***DISPOSITIVO.1 como "una novedosa tecnología basada en inteligencia artificial (…) Queremos aclarar que la tecnología ***DISPOSITIVO.1 NO utiliza ni incorpora Inteligencia Artificial (IA) (…)”. DÉCIMOTERCERO: El 26 de febrero de 2024 la parte reclamada remitió a sus usuarios un correo electrónico por el que se informaba de la descripción del tratamiento, la finalidad del tratamiento, el interés vital como la base legal del tratamiento. Además, se señalaba: “(…) Datos que se tratan: Cuando se utiliza un (...), se tratan los siguientes datos: hora de inicio de la sesión de nado, hora de fin de la sesión de nado, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 33/87 número de largos, tiempo de dichos largos, identificador del tag e identificador de la pulsera que lleva el usuario para acceder a las instalaciones, aunque cuando termina su sesión de nado solo queda almacenada en nuestro sistema la fecha y hora de acceso a la piscina y el identificador de su pulsera. Cuando se utiliza el (...), no se muestran los datos citados en el caso del (...), e igualmente queda almacenada en nuestro sistema la fecha y hora de acceso a la piscina, así como el identificador de su pulsera. (…) . No, en ningún momento se trata ningún dato de salud”. DÉCIMOCUARTO: El volumen de negocio de la parte reclamada asciende a 1.769.076 € en 2023, de acuerdo con el informe AXESOR. FUNDAMENTOS DE DERECHO I. Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. II. Procedimiento Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." III. Cuestiones previas El artículo 4.1) del RGPD, define «dato personal» como: “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona”. El artículo 4.2) del RGPD, define «tratamiento» como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 34/87 utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” El artículo 4.7) del RGPD, define al «responsable del tratamiento» o «responsable» como: “la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros”. A su vez el artículo 4.8) del RGPD determina al «encargado del tratamiento» o «encargado» como la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento. En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización del tratamiento de datos personales, toda vez que la parte reclamada trata entre otros, los datos de localización de los usuarios de su piscina que hacen uso de los tags (…), así como los datos de desempeño en la piscina de los usuarios del (...). La parte reclamada realiza esta actividad en su condición de responsable/ del tratamiento, dado que es quien determina los fines y medios de dicho tratamiento, en virtud del artículo 4.7 del RGPD. IV. Contestación a las alegaciones al acuerdo de inicio Se debe contestar las alegaciones realizadas por la parte reclamada al acuerdo de inicio. 1. Respecto a las “consideraciones previas” que constituyen la primera alegación conviene resaltar lo siguiente: - Manifiesta la parte reclamada que contrariamente a lo que ha venido indicando hasta la fecha, a raíz de “nuevas verificaciones y auditorías (…) relativas al funcionamiento de sistema ***DISPOSITIVO.1” ha llegado a la conclusión de que el número de tag escogido por el usuario (ya sea (…)) “no se vincula nunca y de ningún modo con la pulsera” y que, “en consecuencia, el sistema no registraría y no guardaría el número de tag que ha escogido cada persona”. Por todo ello, asegura, no se produce un tratamiento de datos personales. Se subraya, no obstante, que, en su escrito a la AEPD de 27 de julio de 2023, la parte reclamada ya realizaba tales afirmaciones cuando aseguraba que “en ningún momento la pulsera de usuario y el tag realizan conexión entre si alguna” y que “no estamos ante un tratamiento de datos personales”. Sin embargo, estas afirmaciones realizadas por la parte reclamada resultaban (y siguen resultando) contradictorias con la documentación obrante en el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 35/87 expediente, que supuso la apertura del presente procedimiento sancionador. A saber: o o En el mismo escrito de 27 de julio de 2023 la parte reclamada indicaba que “***DISPOSITIVO.1 almacena el identificador de la pulsera RFID (…), los largos realizados, el tiempo en la piscina y el tag utilizado por el usuario” y “***DISPOSITIVO.1 suministra a [la parte reclamada] el identificador de la pulsera RFID, la fecha de la creación de la asociación y la fecha de fin de la actividad deportiva”. La parte reclamada aportó -junto al mencionado escrito- un correo electrónico de 25 de julio de 2023 por el que la empresa titular del sistema ***DISPOSITIVO.1 (***EMPRESA.1), con la que había suscrito un contrato de servicios, le explicaba el funcionamiento de dicho sistema y hacía referencia expresa a la interrelación entre el número de serie de la pulsera y las métricas obtenidas en la piscina: (…) El usuario (…) recibe una pulsera RFID que únicamente contiene un número identificador en su interior (ej: número de serie). Este identificador está ligado a los datos de (…). Una vez el usuario llega a la piscina: El usuario entra en la piscina y realiza una asociación entre su pulsera (pasándola por un lector RFID) y el tag de ***DISPOSITIVO.1 que va a utilizar. El usuario nada y genera datos deportivos: número de largos y tiempo en la piscina. ***DISPOSITIVO.1 almacena los datos y le da (…) el número de acceso a la piscina (…) Únicamente hacemos una relación entre el identificador de la pulsera RFID y el tag del usuario. Almacenamos los datos deportivos (número de largos y tiempo en la piscina) y la hora de acceso y fin de la actividad”. o En el correo electrónico de respuesta de la parte reclamada a la parte reclamante de 4 de mayo de 2023, aportado por la propia parte reclamada, se indica: “El usuario coge un tag, pasa la pulsera identificativa de (…) por el lector. Con este proceso, vincula su acceso a un número de tag. Este proceso es similar al del torno de entrada a la instalación, el lector actúa como un torno de entrada, registrando los datos del usuario únicamente en el software de LA ENTIDAD (utilizado para el alta de socios), exactamente igual que los tornos de acceso a la instalación. (…) La empresa ***DISPOSITIVO.1, (…) utiliza el ID de la pulsera para asociarlo a un número de (…) y mandarle la información al software”. o C/ Jorge Juan, 6 28001 – Madrid Asimismo, el 3 de agosto de 2023, la propia ***EMPRESA.1, titular del sistema ***DISPOSITIVO.1, remitió un escrito a esta Agencia en el que señala, entre otros aspectos: www.aepd.es sedeaepd.gob.es 36/87 “(…) El funcionamiento de una sesión de nado es el siguiente: Un usuario llega a la piscina (…) y con su pulsera (…) registra el tag que va a usar en ese momento. A partir de ahí ***EMPRESA.1 guarda en una base de datos, la hora, día, número del tag en uso y el código de la pulsera (el identificador único que SUMA PATACONA proporciona a ***EMPRESA.1 es el de la pulsera donde ***EMPRESA.1 no conoce más información del cliente de SUMA PATACONA que dicho código, un ejemplo del mismo es este ejemplo. “(…)”) que es la información que posteriormente se le manda a SUMA PATACONA (…)”. Además, de: “Concretamente el (...) (vinculación a la pulsera para contar largos) se recogen los siguientes datos: (…) ID de pulsera (…). El Id. de la pulsera de SUMA PATACONA se comunica automáticamente al sistema de ***EMPRESA.1”. o En su contestación a esta Agencia de 27 de octubre de 2023, la propia parte reclamada señalaba: “Para acceder a la piscina el usuario debe coger un TAG, pudiendo elegir entre el (...) o el (…) Por su parte, el (...) permite, además de prevenir ahogamientos, realizar mediciones de la sesión de nado, lo que se realiza gracias a la medición de: fecha. hora de inicio de la sesión de nado. hora de fin de la sesión de nado. número de largos. tiempo de dichos largos. identificador del tag, identificador de la pulsera que lleva el usuario para acceder a las instalaciones” Además de: “Existe un flujo de entrada desde la pulsera identificativa del usuario hacia ***DISPOSITIVO.1, que contiene el identificador de la misma. ii. Existe un flujo de salida desde ***DISPOSITIVO.1 hacia la aplicación de gestion del centro deportivo, que contiene la Identificador del tag, Identificador de la pulsera del usuario, fecha y hora de inicio de la sesión de nado”. o C/ Jorge Juan, 6 28001 – Madrid En la EIPD de 26 de octubre de 2023, presentada por la parte reclamada el 27 de octubre de 2023 se recoge, además de que el (...) recoge el “identificador de la pulsera que lleva el usuario para acceder a las instalaciones”, que entre los datos personales tratados se encuentra el identificador del tag, así como el identificador del usuario. Asimismo, en el apartado 3.5 Procesos de tratamiento se recoge: “Un usuario llega a la piscina y con su pulsera de identificación registra el tag que va a usar en ese momento (…) Se almacena en el sistema la información mostrar o no a información de la sesión de nado y para posteriormente transferirla al sistema de www.aepd.es sedeaepd.gob.es 37/87 gestión del centro deportivo (…) Se produce el borrado automático del tag y se anula el emparejamiento con su pulsera identificadora”. o o En el escrito de contestación a la AEPD de 26 de febrero de 2024, la parte reclamada señalaba: “el motivo de asociar la pulsera de usuario al (siempre), o (…) (cuando el usuario lo decide) radica en obtener indicadores de utilización de la piscina”. Asimismo, en la EIPD de 20 de febrero de 2024 se recogen los mismos elementos que los anteriormente indicados en la EIPD de 26 de octubre de 2023. Las alegaciones de la parte reclamada, que ya fueron realizadas a lo largo del procedimiento, contradicen la información contenida en cada uno de los documentos anteriores que fueron tomados como base para el acuerdo de inicio. A efectos de demostrar estas afirmaciones, la parte reclamada presenta un documento firmado por el representante de ***EMPRESA.1, la empresa titular del dispositivo, en el que “certifica” que “la base de datos de la aplicación ***DISPOSITIVO.1 no se realiza -ni es técnicamente posible realizar- ningún tipo de vinculación entre (
- i)el código alfanumérico que lleva incorporada la pulsera del usuario de la piscina y (
- ii)el identificador del TAG, (…), que permita identificar o inferir la identidad de las personas que están haciendo uso de la piscina contemplada en la instalación deportiva gestionada por SPORT & SPA GEST (…) Que el identificador del Tag, (…), que se registra y se trata en la aplicación ***DISPOSITIVO.1 tampoco permite identificar o inferir la identidad de las personas que están haciendo uso de la piscina citada, ya que el identificador del Tag en ningún caso está asociado a la identidad de una persona en concreto”. A este respecto, conviene señalar, en primer lugar, que estas afirmaciones no se sustentan o acreditan en documentación alguna. En segundo lugar, se subraya, además, que la propia ***EMPRESA.1 confirmó a esta Agencia en su escrito de 3 de agosto de 2023 -reproducida en los párrafos anteriores- que el funcionamiento del sistema ***DISPOSITIVO.1 en las dependencias de la parte reclamada implicaba la vinculación de la pulsera del gimnasio con el (...), que es, el único dato personal que ***EMPRESA.1 conocería de los usuarios del gimnasio (en sus propias palabras: “ [***EMPRESA.1] no conoce más información del cliente de SUMA PATACONA que dicho código, un ejemplo del mismo es este ejemplo. “(…)”) que es la información que posteriormente se le manda a SUMA PATACONA”. En cualquier caso, ha de precisarse que el documento por el que, de acuerdo con la parte reclamada, se “certifica” que no existe vinculación alguna entre la pulsera y el tag precisa que se trataría de una vinculación “que permita identificar o inferir la identidad de las personas (…)”. No obstante, ya en el escrito de ***EMPRESA.1 de 3 de agosto de 2023 a esta Agencia se contenían aseveraciones de esta índole, por las que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 38/87 ***EMPRESA.1 vendría a sostener que el identificador de la pulsera era un “dato anónimo” y que no “permitía conocer la identidad del usuario portador”. En concreto, se indicaba: “(…) En definitiva, se reitera en consonancia con lo ya explicado por SUMA PATACONA que ***EMPRESA.1 ni almacena ni recoge ni recibe datos personales del reclamante ni SUMA PATACONA comparte datos del reclamante con ***EMPRESA.1(…) ***EMPRESA.1 no dispone en sus sistemas de ninguno de los datos mencionados por el reclamante, esto es: ni nombre, ni apellidos ni DNI, ni dirección, ni edad, ni correo electrónico ni, por supuesto, ningún dato de salud.” Asimismo, afirmaciones de la misma índole se encuentran en el correo de ***EMPRESA.1 a la parte reclamada de 25 de julio de 2023 en los que se indica, tras explicar que se produce una asociación entre su pulsera de usuario y el tag, lo siguiente: “***DISPOSITIVO.1 almacena el identificador de la pulsera RFID (número anónimo para nosotros), los largos realizados, el tiempo en la piscina y el tag utilizado por el usuario. Todos estos datos son anónimos. En ningún momento ***EMPRESA.1 almacena datos como nombre, DNI.... o datos de salud, nosotros ni siquiera tenemos acceso a esos datos. Únicamente hacemos una relación entre el identificador de la pulsera RFID y el tag del usuario. Almacenamos los datos deportivos (número de largos y tiempo en la piscina) y la hora de acceso y fin de la actividad”. Estas aseveraciones incluidas en los escritos de ***EMPRESA.1 obrantes en el expediente con carácter previo a la apertura del procedimiento sancionador y que se encuentran en línea con las afirmaciones contenidas en el supuesto “certificado” -sin acreditación documental alguna y en plena contradicción con las detalladas explicaciones sobre el funcionamiento del sistema- ponen de manifiesto la confusión o desconocimiento sobre el propio concepto de “dato personal”, así como del de “tratamiento de datos personales”. Debe precisarse en primer término, que el número de identificador de una pulsera del gimnasio es un dato personal, en los términos definidos en el artículo 4.1 del RGPD que define dato personal como toda información sobre una persona física identificada o identificable directa o indirectamente, en particular mediante un identificador como, por ejemplo, un número de identificación. El RGPD establece, en consecuencia, un concepto amplio de dato personal. En este sentido, el considerando 26 del RGPD señala: “26. Los principios de la protección de datos deben aplicarse a toda la información relativa a una persona física identificada o identificable. Los datos personales seudonimizados, que cabría atribuir a una persona física mediante la utilización de información adicional, deben C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 39/87 considerarse información sobre una persona física identificable. Para determinar si una persona física es identificable, deben tenerse en cuenta todos los medios, como la singularización, que razonablemente pueda utilizar el responsable del tratamiento o cualquier otra persona para identificar directa o indirectamente a la persona física. Para determinar si existe una probabilidad razonable de que se utilicen medios para identificar a una persona física, deben tenerse en cuenta todos los factores objetivos, como los costes y el tiempo necesarios para la identificación, teniendo en cuenta tanto la tecnología disponible en el momento del tratamiento como los avances tecnológicos”. El concepto de dato de carácter personal ha de interpretarse en un sentido amplio, comprendiendo no sólo los datos personales recabados y conservados por el responsable del tratamiento, sino toda la información resultante de dicho tratamiento, En este sentido la STJUE de 4 de mayo de 2023, en el asunto C487/21, establece que: “26 Así, como ha señalado, en esencia, el Abogado General en los puntos 36 a 39 de sus conclusiones, la definición amplia del concepto de «datos personales» no abarca únicamente los datos recabados y conservados por el responsable del tratamiento, sino que incluye también toda la información resultante de un tratamiento de datos personales que se refiera a una persona identificada o identificable”. El número de la pulsera “id” de un gimnasio es un número de identificación que responde con exactitud a la definición anteriormente expresada. Se trata de un código número o alfanumérico, según los supuestos, vinculado de manera unívoca a un titular. En este sentido, conviene señalar, además, que la Sentencia del TJUE de 19 de octubre de 2016, en el asunto C-582/14, ha precisado el concepto de identificación indirecta y señala que (el subrayado es nuestro): “41 El uso por el legislador de la Unión del término «indirectamente» muestra que, para calificar una información de dato personal, no es necesario que dicha información permita, por sí sola, identificar al interesado. 42 Además, el considerando 26 de la Directiva 95/46 enuncia que, para determinar si una persona es identificable, hay que considerar el conjunto de los medios que puedan ser razonablemente utilizados por el responsable del tratamiento o por cualquier otra persona para identificar a dicha persona. 43 En la medida en que el citado considerando hace referencia a los medios que puedan ser razonablemente utilizados tanto por el responsable del tratamiento como por «cualquier otra persona», su tenor sugiere que, para que un dato pueda ser calificado de «dato personal», en el sentido del artículo 2, letra a), de dicha Directiva, no es necesario que toda la información que permita identificar al interesado deba encontrarse en poder de una sola persona.” En la misma línea, el Dictamen 4/2007 sobre el concepto de datos personales del Grupo de Trabajo del artículo 29 señalaba que: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 40/87 “En los casos en que, a primera vista, los identificadores disponibles no permiten singularizar a una persona determinada, ésta aún puede ser «identificable», porque esa información combinada con otros datos (tanto si el responsable de su tratamiento tiene conocimiento de ellos como si
- no)permitirá distinguir a esa persona de otras”. La singularización a la que se hace referencia, se refiere el considerando 26 del RGPD. En relación con lo anterior, aun cuando ***EMPRESA.1 como encargado del tratamiento, no tuviera acceso a otros datos de los usuarios como el DNI, el nombre y apellidos o el sexo, la pulsera de identificación del usuario no deja de ser, en sí mismo, un dato personal, de acuerdo con las precisiones anteriores. Además, en ningún caso deben confundirse datos anonimizados, que impiden la identificación de una persona física, y que no son objeto del RGPD, con los datos pseudonimizados que pudieran requerir de información adicional para la identificación, siendo esta posible. Por otra parte, una vez determinado el concepto de dato personal ha de precisarse, igualmente, que toda operación sobre los datos personales supone un “tratamiento de datos personales” en los términos determinados por el artículo 4.2 del RGPD. El mencionado artículo 4.2 del RGPD establece como ejemplos expresos de tratamiento, entre otros la “recogida”, “registro”, “conservación” o “comunicación”, sin que en ningún caso deba entenderse como un numerus clausus. Tal y como se establece en la STJUE de 4 de mayo de 2023, en el asunto C-487/21, el concepto de tratamiento del RGPD ha de entenderse en sentido amplio, de tal forma que las operaciones citadas en el artículo 4.2) del RGPD no han de entenderse como una lista tasada: “27 En este contexto, es preciso añadir que el legislador de la Unión quiso dar al concepto de «tratamiento», tal como se define en el artículo 4, punto 2, del RGPD, un alcance amplio, al emplear una enumeración de operaciones no exhaustiva [véase, en este sentido, la sentencia de 24 de febrero de 2022, Valsts ieņēmumu dienests (Tratamiento de datos personales con fines fiscales), C 175/20, EU:C:2022:124, apartado 35]”. A la vista de lo anterior, no cabe admitir la alegación de la parte reclamada de que no se produce una vinculación entre la pulsera identificativa y el tag, más cuando en su propio escrito de alegaciones señala que el proceso de acceso a la piscina es el siguiente: “El proceso de acceso a la piscina es el siguiente: (
- i)el usuario se acerca a la entrada de la piscina y debe escoger entre, el (...) o el (...), (
- ii)pasa la pulsera identificativa de SPORT&SPA por el lector, (iii) informa del número de tag que ha escogido en el lector, y (
- iv)cuando el usuario abandona la piscina y devuelve el tag, las métricas que se estaban mostrando en la pantalla se borran en ese momento”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 41/87 Tampoco cabe aceptar que no exista un tratamiento de datos personales en el funcionamiento del sistema, precisamente porque se recaban datos personales que son puestos en relación entre sí: a través del (...) se tratan datos de localización, mientras que, a través del (...), además de los datos de localización, se tratan datos de salud, esto es, el desempeño del portador del tag en la piscina, así como el código numérico de su pulsera identificativa. Respecto a este último aspecto, sobre la alegada inexistencia de datos personales y, por ende, de su tratamiento se subraya, además, que la propia reclamada elaboró no una, sino dos EIPDs, aunque de manera tardía, incompleta y con errores, en las que se habla del tratamiento de datos personales que conllevaba el nuevo servicio. Sin olvidar que la parte reclamada aportó el 28 de julio de 2023 el contrato de servicios suscrito entre la parte reclamada y ***EMPRESA.1, en el que consta, en su anexo IV un contrato de encargo en materia de datos personales. La existencia de tratamientos de datos personales no impide que ***EMPRESA.1, con algunos de los datos recabados, pueda facilitar, en su caso, a la parte reclamada estadísticas anonimizadas sobre el uso de la piscina, identificando los momentos de mayor o menor afluencia. - - Por otra parte, el hecho de que el uso de este sistema se esté promoviendo, según la parte reclamada, por el Consejo Superior de Deportes junto con la Real Federación Española de natación, no exime de que la utilización e implementación del mencionado sistema deba realizarse en cumplimiento de la normativa en materia de protección de datos. Por último, en relación con la afirmación de que la parte reclamada está llevando a cabo una revisión de los tratamientos de datos personales que realiza, se recuerda que, de conformidad con los artículos 5.2 y 24 del RGPD, es obligación del responsable del tratamiento hacerlo, sin que afecte al sentido del presente procedimiento sancionador. 1. Respecto a las alegaciones sobre la imputación del artículo 6 del RGPD y la utilización del interés vital como base de legitimación. - C/ Jorge Juan, 6 28001 – Madrid Sobre la alegación referente a que la interpretación efectuada por la AEPD sobre el concepto de interés vital es “excesivamente restrictiva” y no puede considerarse “ni razonable ni aceptable”, y que debería utilizarse, sin embargo, la definición que la Real Academia Española realiza de interés vital, se subraya, en primer término, que la AEPD es la autoridad de control española encargada de la aplicación coherente del RGPD en nuestro país, de acuerdo con el artículo 51 del RGPD. Asimismo, la interpretación cuestionada es la propia del Comité Europeo de Protección de Datos (CEPD), organismo de la UE encargado de la supervisión y aplicación correcta y coherente del RGPD, así como del TJUE, cuya jurisprudencia es vinculante para los Estados miembros, quienes han desarrollado el concepto de interés vital sobre la base del propio artículo 6 del RGPD, así como del considerando 46 de la misma norma, que señala, tal y como se recogía en el acuerdo de inicio: www.aepd.es sedeaepd.gob.es 42/87 “46. El tratamiento de datos personales también debe considerarse lícito cuando sea necesario para proteger un interés esencial para la vida del interesado o la de otra persona física. En principio, los datos personales únicamente deben tratarse sobre la base del interés vital de otra persona física cuando el tratamiento no pueda basarse manifiestamente en una base jurídica diferente. Ciertos tipos de tratamiento pueden responder tanto a motivos importantes de interés público como a los intereses vitales del interesado, como por ejemplo cuando el tratamiento es necesario para fines humanitarios, incluido el control de epidemias y su propagación, o en situaciones de emergencia humanitaria, sobre todo en caso de catástrofes naturales o de origen humano”. - En cuanto a la reiteración de que el Informe Anual de la Federación revela un aumento exponencial de ahogamientos en espacios acuáticos, sigue sin quedar acreditado por la parte reclamada el número de ahogamientos que se ha producido en sus instalaciones que determinen la necesidad del tratamiento por razones de interés vital, más cuando el propio sistema no excluye la necesidad de presencia de un socorrista, y sin que sea aplicable ninguna otra base de legitimación, como el consentimiento o la ejecución de un contrato. Así, se subraya que el TJUE en su sentencia de 4 de octubre de 2024, asunto C 200/23, considera que el artículo 6 del RGPD establece una lista exhaustiva de las causas que pueden legitimar el tratamiento de datos personales debiendo ser objeto de una interpretación restrictiva las que no se basan en el consentimiento del interesado: “94 A este respecto, cabe recordar que el artículo 6, apartado 1, párrafo primero, del RGPD prevé una lista exhaustiva y taxativa de los casos en los que un tratamiento de datos personales puede considerarse lícito. Así pues, para poder ser considerado legítimo, un tratamiento de datos personales debe estar comprendido en uno de casos contemplados en dicha disposición [véase, en ese sentido, la sentencia de 22 de junio de 2021, Latvijas Republikas Saeima (Puntos por infracciones de tráfico), C 439/19, EU:C:2021:504, apartados 99 y jurisprudencia citada]. 95 A falta de consentimiento del interesado para el tratamiento de sus datos personales en virtud de dicho artículo 6, apartado 1, párrafo primero, letra a), o cuando este no se haya prestado de forma libre, específica, informada e inequívoca, en el sentido del artículo 4, punto 11, del RGPD, tal tratamiento puede, no obstante, estar justificado cuando cumple alguno de los requisitos de necesidad mencionados en el artículo 6, apartado 1, párrafo primero, letras
- b)a f), del mencionado dicho Reglamento [véase, en este sentido, la sentencia de 4 de julio de 2023, Meta Platforms y otros (Condiciones generales del servicio de una red social), C 252/21, EU:C:2023:537, apartado 92]. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 43/87 96 En este contexto, las justificaciones previstas en esta última disposición, en la medida en que permiten que un tratamiento de datos personales realizado sin el consentimiento del interesado sea lícito, deben ser objeto de una interpretación restrictiva [sentencia de 4 de julio de 2023, Meta Platforms y otros (Condiciones generales del servicio de una red social), C 252/21, EU:C:2023:537, apartado 93 y jurisprudencia citada].” Por otra parte, el término “necesidad” que utiliza el artículo 6.1. RGPD tiene, a juicio del TJUE, un significado propio e independiente en la legislación comunitaria. Se trata, dice el Tribunal, de un “concepto autónomo del Derecho Comunitario” (STJUE de 16/12/2008, asunto C-524/2006, apartado 52). De otra parte, el Tribunal Europeo de Derechos Humanos (TEDH) ha ofrecido también directrices para interpretar el concepto de necesidad. En el apartado 97 de su Sentencia de 25/03/1983 afirma que el “adjetivo necesario no es sinónimo de “indispensable” ni tiene la flexibilidad de las expresiones “admisible, “ordinario”, “útil”, “razonable” o “deseable”. Se trata, en definitiva, de que sea la única opción existente atendiendo a un triple juicio de proporcionalidad. - - En cuanto a las alegaciones relativas a que no se produce un tratamiento de datos personales, en la medida en que los datos se tratan de “forma anónima”, se remite la contestación efectuada a las consideraciones previas efectuadas por la parte reclamada. En cuanto a la alegación referida a la reducción de la cuantía de la multa porque no se ha producido, de acuerdo con la parte reclamada, un perjuicio a los usuarios derivados del potencial tratamiento, se remarca que la realización de un tratamiento de datos personales sin base de legitimación supone, en sí misma, la vulneración de un derecho fundamental reconocido por el artículo 18.4 de la Constitución Española, que afecta a la facultad de los titulares de este derecho a mantener un control sobre sus datos. Sin perjuicio de lo anterior, la determinación de la multa debe realizarse de acuerdo con las Directrices 04/2022 sobre el cálculo de las multas bajo el RGPD, con tres elementos como punto de partida: el volumen de negocios, la categorización de las infracciones según su propia naturaleza (es decir, si son infracciones del 83.4, 83.5 u 83.6 del RGPD) y el nivel de gravedad de la infracción en cada caso concreto. El nivel de gravedad al que se refiere el RGPD debe determinarse atendiendo a las circunstancias del artículo 83.2
- a)naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, el alcance o propósito de la operación de tratamiento, el número de afectados y el nivel de daños y perjuicios que hayan producido; del artículo 83.2
- b)intencionalidad o negligencia de la infracción (que no debe confundirse con el requisito de culpabilidad objetiva y subjetiva propia del derecho español) y del artículo 83.2
- g)las categorías de los datos de carácter personal afectados. Sobre ese punto de partida determinado por esos tres elementos, se podrán aplicar circunstancias agravantes o atenuantes (el resto de los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 44/87 elementos del artículo 83.2 del RGPD en relación con el artículo 76.2 de la LOPDGDD). En este caso concreto, se considera que, por parte de esta instrucción, debe valorarse e incluirse en esta propuesta, a efectos de determinar la cuantía de la multa a imponer, las circunstancias previstas en el artículo 83.2
- a)del RGPD, lo que puede llevar a la minoración de la multa. 1. En lo referente a las alegaciones sobre la imputación del artículo 13 del RGPD: - En primer lugar, se remarca que las alegaciones realizadas, por las que se asegura que los usuarios han sido debidamente informados cuando en la propia página 3 de su esc