PS-00289-2024

1/93  Expediente N.º: EXP202313347 Procedimiento Sancionador Nº. PS/00289/2024 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR RECONOCIMIENTO DE RESPONSABILIDAD Y PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 1 de mayo de 2025, la Presidencia de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a SIDECU, S.A. (en adelante, SIDECU), mediante el acuerdo que se transcribe: << Expediente N.º: EXP202313347 Procedimiento Sancionador Nº. PS/00289/2024 ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR HECHOS....................................................................................................................... 1 FUNDAMENTOS DE DERECHO................................................................................. 19 I.Competencia....................................................................................................... 19 II.Procedimiento.................................................................................................... 19 III.Cuestiones previas........................................................................................... 20 IV. Obligación incumplida. Sobre el incumplimiento de disponer de una excepción del artículo 9.2 del RGPD que habilite a tratar datos de categoría especial..........43 V.Tipificación de la infracción del artículo 9 del RGPD y calificación a efectos de prescripción.......................................................................................................... 52 VI.Sanción por incumplimiento del artículo 9 del RGPD....................................... 52 VII.Obligación incumplida. Sobre la obligación de realizar una EIPD previa que cumpla con los requisitos previstos en el artículo 35 del RGPD........................... 56 VIII. Tipificación y calificación de la infracción del artículo 35 del RGPD..............68 IX. Sanción por la infracción del artículo 35 del RGPD......................................... 68 X. Tipificación de la infracción del artículo 13 del RGPD y calificación a efectos de prescripción.......................................................................................................... 76 XI. Sanción por la infracción del artículo 13 del RGPD........................................ 77 XII. Medidas correctivas....................................................................................... 79 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/93 XIII. Suspensión provisional del tratamiento......................................................... 80 SE ACUERDA:............................................................................................................. 82 De las actuaciones practicadas por la Agencia Española de Protección de Datos y en base a los siguientes HECHOS PRIMERO: Con fecha 4 de agosto de 2023 se interpuso reclamación por A.A.A. ante la Agencia Española de Protección de Datos por una posible infracción imputable a SIDECU, S.A. con NIF A15435092 (en adelante, SIDECU). En su reclamación señala que es socio del Centro Deportivo Supera Entrepuentes y que se le está denegando el acceso a las instalaciones de la entidad reclamada, desde que se ha implementado un nuevo método de acceso a través de un sistema de reconocimiento facial, a lo que se niega la parte reclamante por entender que dicho sistema es invasivo al respecto de su intimidad y supone un tratamiento de datos que considera excesivo para el acceso a dicho establecimiento, entendiendo que pudieran habilitarse fórmulas alternativas para el acceso que no impliquen dicho tratamiento de datos. Y señala también que previamente se utilizaba un sistema de acceso mediante tarjeta, que el nuevo método es de cumplimiento obligatorio, y que la empresa no ha dado aviso previo ni consultado a los socios sobre la instalación de este nuevo método de acceso. Junto con su reclamación, A.A.A., aporta: - - Capturas de pantalla de las comunicaciones intercambiadas con la entidad reclamada a través de un sistema de mensajería, donde acusan recibo de su reclamación solicitando el documento de consentimiento para tratar sus datos, y le informan que se ha instalado este nuevo tratamiento pero que este no almacena las imágenes, sino que captura partes del rostro para configurar un algoritmo matemático que “queda al margen de la normativa del RGPD” según manifiesta el fabricante del programa, y le aporta información sobre el responsable del tratamiento. Correo electrónico remitido por el reclamante al centro solicitando poder acceder mediante tarjeta. Posteriormente, se presentan otras 2 reclamaciones contra el centro de SUPERA Entrepuentes de SIDECU y una denuncia contra el centro deportivo SUPERA por la misma razón, por parte de socios del mismo que no están de acuerdo con el acceso a través de reconocimiento facial. En concreto: - Reclamación de fechas de 22/08/2023, por parte de B.B.B. (en adelante, B.B.B.). Señala que solicitó a SIDECU el 10/08/2023: (

1. i)la supresión de su huella digital usada previamente para acceder al centro deportivo y (
2. ii)información acerca de la legalidad del nuevo sistema de acceso de reconocimiento facial implantado. Y que tras contestarle SIDECU que no se almacenaba la huella ni la imagen del reconocimiento facial, por lo que no se trataban datos personales, el reclamante reiteró la solicitud de borrado de huella, lo que fue C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/93 negado por el centro deportivo. Se aportan los 4 correos electrónicos intercambiados con el centro. - Reclamación de 04/09/2023 por C.C.C. (en adelante, C.C.C.). Señala que es socio durante unos años del gimnasio, y que desde el inicio el procedimiento de acceso a sus instalaciones ha sido mediante un torno controlado por tarjeta magnética y un sistema biométrico de reconocimiento de huella dactilar, si bien no fue informado en su momento del tratamiento de esos datos (adjunto doc01: hoja de registro). Aproximadamente a principios de julio se incluyen sistemas de reconocimiento facial que entiende se aplican como alternativos ante la falta de información personalizada al respecto (no recibe ninguna información relativa a qué se pretendía). Al coexistir ambos sistemas de acceso no le dio importancia al asunto hasta el momento que en uno de los accesos de control de acceso original está desactivado y se le indica por el personal que es obligatorio pasar por el control biométrico basado en el reconocimiento facial. Que se negó a utilizar el método de reconocimiento facial, habiendo requerido en múltiples ocasiones información al respecto, contestando el centro con una explicación que, a su juicio, es insuficiente, y que: “se ha ignorado e incluso negado que la plantilla obtenida del reconocimiento facial fuese un dato de carácter personal y esa ha sido en parte la justificación de la no necesidad de informar ni de declarar las acciones necesarias para su protección”. Se señala que se han realizado preguntas concretas sobre el sistema, tales como el sistema de cifrado, el almacenamiento, la autenticación-identificación…etc y que la empresa se ha limitado a contestar que no se tratan datos personales al no almacenarse las imágenes. Y que el software utilizado es ***APP.1 de la empresa ***EMPRESA.1. No aporta el intercambio de correos, si bien transcribe los mismos. - Denuncia de 20/09/2023 por la ASOCIACION DE CONSUMIDORES Y USARIOS EN ACCION-FACUA (en adelante, FACUA). Señala que la mercantil denunciada es gestora y propietaria de la cadena de gimnasios Supera, cuya extensión geográfica abarca diversas provincias de todo el país. Y que ha tenido conocimiento de que la entidad utiliza un sistema de control biométrico para controlar el acceso de los usuarios a sus centros deportivos. Y se considera que el sistema establece una condición de acceso completamente desproporcionada, en tanto que se están solicitando datos de carácter personal especialmente protegidos, no siendo ni necesario ni proporcional. Se acompañan: (
3. i)Se aporta imagen como documento n.º 1 correspondiente a uno de los controles biométricos instalados a la entrada de los gimnasios que así lo acredita; (
4. ii)como documento n.º 2 copia del documento tipo que de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/93 acuerdo con la asociación se ha utilizado por el gimnasio para contestar a los usuarios que han formulado reclamación sobre el sistema. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de las 3 reclamaciones presentadas a SIDECU con fecha de 2/10/2023, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. TERCERO: Con fecha de 2/11/2023, SIDECU contesta al primer traslado de reclamación realizado en el expediente (en adelante, 1ª Respuesta de SIDECU), señalando, básicamente, lo siguiente: - En relación con la primera reclamación de A.A.A., señala que desde SIDECU se ha dado respuesta escrupulosa a todos y cada uno de los puntos detallados en las cuatro comunicaciones remitidas por el mismo, en las que éste hacía constar que el nuevo método de acceso conllevaba un tratamiento de datos de categoría especial, y se acompaña, como documento nº 1, cadena de emails intercambiados entre el 9/08/2023 y el 31/08/2023. En ellas se le informa de que no es necesario recabar el previo consentimiento de los socios para poder instalar este método de acceso por reconocimiento facial, según la empresa: “por no entenderse como un tratamiento de datos como tratamiento de categoría especial, pues el sistema no identifica, en ningún caso, a la persona física ni existe tratamiento de dato alguno”, dado que el sistema instalado no almacena la imagen, ni supone un riesgo para los datos personales de los usuarios. - En relación con la reclamación de C.C.C., se manifiesta haber contestado al mismo en el mismo sentido que al anterior, tanto verbalmente por el personal del centro como por escrito contestando a su correo electrónico de 4/8/23, tal y como el mismo ha aportado al expediente. - En relación con la reclamación de B.B.B., se manifiesta haber contestado al mismo puntualmente y se acompaña como documento nº 2 cadena de emails intercambiados entre el 10/08/2023 y el 17/08/2023. Con fecha 11/08/2023 SIDECU le respondió trasladándole información acerca del nuevo sistema implantado y de la imposibilidad de identificar al usuario a través de dicho sistema, tal y como se le había explicado a los demás usuarios. Ese mismo día se recibió nuevo email del usuario solicitando nuevamente el borrado de su huella digital. El 17/08/2023 desde SIDECU se le trasladó a esta persona que no podían atender a la solicitud de supresión de su “huella dactilar” por cuanto los sistemas utilizados a efectos de control de acceso no guardaban este dato y se le trasladó información acerca del nuevo sistema de acceso. - En relación con “EL ANÁLISIS DE RIESGOS PREVIAMENTE REALIZADO POR SIDECU”, se señala que con anterioridad se había instalado un sistema de acceso mediante huella que había tenido fallos de funcionamiento, y que tras analizar los riesgos de la nueva modalidad de reconocimiento facial de ***EMPRESA.1, se interpretó en base a la información proporcionada por el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/93 fabricante que el sistema no suponía ningún riesgo puesto que no trataba datos personales. En concreto, manifiesta lo siguiente (el subrayado es nuestro): “La sociedad SIDECU, S.A. analizó diferentes modalidades de sistemas de acceso a sus centros deportivos, en virtud de los cuales se evitase, por un lado, el acceso de personas a los centros que no tuviesen la condición de abonados y, por otro lado, que cumpliesen con la condición de evitar el tratamiento de datos adicionales e innecesarios para los que hubiera que obtener el consentimiento expreso del usuario. Con anterioridad al uso de este sistema de acceso los centros deportivos tenían instalados unos sistemas que también utilizaban complejos algoritmos matemáticos desarrollados por el fabricante NITGEN, en los que el usuario accedía a través de su huella dactilar, pero sin que, en ningún caso, el sistema pudiera almacenarla. Se trataba de un sistema similar al utilizado en la actualidad, pero el análisis de la plantilla numérica se realizaba por medio de la huella dactilar en vez del reconocimiento facial. Ese sistema ya fue objeto de análisis en el año 2022 por esa Agencia Española de Protección de Datos en otro expediente, siendo inadmitida finalmente la reclamación por parte de esa Agencia al entender que SIDECU había cumplido todos los trámites establecidos y que no procedía la supresión de dato alguno por nuestra parte al no llegarse a tratar datos biométricos del usuario. Sin embargo, el sistema presentó fallos de funcionamiento en el acceso (fallos mecánicos frecuentes, en todo caso), lo que motivó a SIDECU a buscar otro sistema que fuese similar y no invasivo o intrusivo en los derechos de los usuarios y, en particular, que no tratase datos o almacenase datos de los usuarios. Así, se obtuvo diferente información acerca de diferentes sistemas biométricos, optando SIDECU por el sistema de la empresa ***EMPRESA.1 y realizando un análisis de riesgos previamente a su adquisición. Conforme a las explicaciones detalladas por el fabricante, este sistema no almacena la imagen procesada del individuo como si ocurre en otro tipo de registros, no realizando pues tratamiento de datos personales. Según la información que nos transmitió el fabricante, se crea un modelo con el algoritmo NIR, patentado por este fabricante, que utiliza algoritmos matemáticos complejos, generando un modelo numérico al usar información de alguno de los puntos del a captura. En ningún momento puede deducirse de este modelo características físicas de la persona. Esto es, los datos escaneados no quedan almacenados en el sistema y, mucho menos, en las bases de datos de SIDECU. En el momento del registro inicial de un usuario para la utilización de este tipo de sistemas, el sistema analiza puntos concretos de la imagen del individuo y crea un modelo numérico que funciona como una clave propia de cada usuario con la finalidad de acceso a las instalaciones. Así, el proceso posterior de identificación de la persona consiste en que, tras ponerse el usuario delante del sistema de reconocimiento C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/93 facial, éste crea una nueva plantilla que se compara con las ya almacenadas. Si esta operación genera un resultado positivo, se considera al usuario correctamente identificado y se permite el acceso al centro deportivo. La plantilla codificada se asemeja pues a una clave alfanumérica que debiese ser tecleada para permitir el acceso a las instalaciones o a una tarjeta de acceso con chip, banda magnética o sistema RFID, por ejemplo, con la ventaja de que no se permite identificación personal de la persona a través de este sistema. Asimismo, a partir de las plantillas no se puede, en ningún caso, recuperar la imagen personal del usuario ni siquiera deducir características físicas concretas de la misma. No hay pues tratamiento de dato personal alguno. En consecuencia, con la información técnica facilitada por el fabricante se concluyó que la instalación de estos sistemas en los CENTROS SUPERA no suponían ningún riesgo para el tratamiento de datos de carácter personal de los usuarios, dado que los datos extraídos por los lectores de ***EMPRESA.1 no podrían ser en ningún caso desencriptados ni desmontados, estando únicamente en posesión del fabricante las claves para el algoritmo, sin que se almacenase ningún tipo de información sobre la imagen de los usuarios. Acompañamos como documento nº 3 el certificado de protección de identidad facilitado por el fabricante”. - Por otra parte, se señala en este mismo apartado que se colocó un cartel informativo del funcionamiento del sistema en todos los centros y se aportan fotografías como documento 4: “En cualquier caso, desde SIDECU se acordó que en todos los centros deportivos se colocaría en un lugar visible un cartel informativo acerca de estos sistemas con el fin de informar a los usuarios acerca de la protección de datos de carácter personal, del funcionamiento de los lectores y de su alcance. Se acompaña, como documento nº 4 una fotografía del cartel expuesto en el centro deportivo SUPERA Entrepuentes, donde no se observa la fecha de colocación. Y, posteriormente, en el apartado 4 relativo a las MEDIDAS ADOPTADAS, se indica que (el subrayado es nuestro): “Habida cuenta que los tres usuarios son abonados del centro deportivo Supera Entrepuentes de Sevilla, se ha investigado internamente cuales han podido ser las causas que han motivado que estos tres usuarios presentasen la referida reclamación y si ese centro estaba ofreciendo a sus usuarios la información mediante la publicación de los carteles informativos en las instalaciones y a través del personal que trabaja en las mismas con motivo del cambio en el sistema de acceso. Se ha comprobado y verificado que el centro deportivo ha incorporado en un lugar visible y accesible a todos los usuarios los carteles informativos que proporcionan a los usuarios la información necesaria acerca del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/93 uso de este sistema y en el que se les traslada que este sistema no trata ningún dato personal” En el apartado “MOTIVOS QUE HAN PODIDO LLEVAR A LA RECLAMACIÓN”, se hacen constar los motivos por los que no se ha recabado el consentimiento a los interesados para tratar sus datos personales, por entender la reclamada que el nuevo sistema de acceso al gimnasio no trata datos personales en base a lo siguiente: “Si bien es cierto, que en la documentación de alta de usuario no aparece contemplada la autorización para la recogida de datos personales relativos al uso de datos biométricos o de categorías especiales, ello es debido a que, atendiendo a las características del funcionamiento del sistema de acceso, no solo no se guarda la imagen de los usuarios por parte de SIDECU, S.A. como teórico responsable del tratamiento, sino que no se conserva ningún tipo de dato personal, pues la plantilla generada por el sistema no permite la asociación a ninguna persona concreta. Tal y como señaló esa Agencia Española de Protección de Datos en su Informe 36/2020, no se trata de un tratamiento de datos como tratamiento de categoría especial, pues no identifica, en ningún caso, de manera unívoca a una persona física. Los CENTROS SUPERA únicamente acceden a registros de entrada y salida y presencia en las instalaciones obteniendo exclusivamente información correspondiente a las horas y número de personas, pero no a su identificación personal. Asimismo, el segundo ordinal del artículo 4 del RGPD, señala que se entenderá por “tratamiento” de datos: ”Cualquier operación o conjunto de operaciones realizadas sobre datos personales 0 conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción ”. Es por dicha razón que no puede entenderse como tratamiento de datos personales el caso que nos ocupa, pues no se encuentra dentro de la categoría de los mismos. Reiteramos que, a partir de las plantillas no se puede, en ningún caso, recuperar la imagen personal del usuario ni siquiera deducir características físicas concretas de la misma. No hay pues tratamiento de dato personal alguno. La generación de las plantillas mediante los complejos algoritmos matemáticos desarrollados por ***EMPRESA.1 no permite que el sistema guarde la imagen ni que la plantilla generada se asocie a usuarios concretos, por lo que no puede existir tratamiento de datos si éstos no se someten a ninguna de las operaciones recogidas en el artículo antes referido. El funcionamiento de este sistema queda al margen de la aplicación del artículo anteriormente mencionado del RGPD, ya que, en ningún caso, puede someterse al cumplimiento de lo dispuesto por la normativa en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/93 materia de protección de datos a un sistema de mero control de acceso que no trata dato personal alguno, pues ni los recoge, ni los conserva, ni permite la identificación de las personas. En consecuencia y al no existir ningún tratamiento de datos personales, no resulta pues aplicable el contenido de la normativa relativa a protección de datos personales ni, por ello, el deber de notificación de tratamiento de datos, motivo por el cual nuestra entidad no ha procedido previamente a solicitar su consentimiento para el uso de su imagen pues, como indicamos, no se trata ni almacena en ningún caso.” - Por último, en relación con lo supuesta exfiltración de datos personales de ***EMPRESA.1 que según la reclamación de C.C.C. afectó a más de 27 millones de usuarios, señalan que: “Les informamos que tras consultarlo con el fabricante y analizar los sistemas implantados, no es posible que ninguna supuesta filtración haya afectado a las plantillas correspondientes los usuarios de nuestros centros deportivos, por cuanto éstas se guardan en nuestros propios servidores informáticos (dotados de los oportunos sistemas de seguridad), sin que en ningún caso la compañía suministradora de los equipos de acceso biométrico haya podido tener acceso a los mismos”. La empresa reclamada aporta los siguientes documentos con su escrito: - Como documentos 1 y 2. Cadena de intercambio de correos electrónicos con cada reclamante. Como documento nº 3. El certificado de protección de identidad facilitado por el fabricante ***EMPRESA.1, redactado en inglés (GDPR Compliance Statement). Como documento nº4. Una fotografía de los carteles que de acuerdo con la reclamada han sido expuestos en los centros deportivos. CUARTO: Con fecha 7 de noviembre de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitieron a trámite las tres primeras reclamaciones presentadas y remitió acuse de recibo a los reclamantes. QUINTO: Con fecha de 15/11/2023, la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VIII, de la LOPDGDD. Durante la misma, se llevaron a cabo las siguientes actuaciones previas de investigación: - 14/12/2023. Se remite un requerimiento de información a SIDECU por parte del inspector del procedimiento para que aporte en el plazo de diez días hábiles información y documentación con relación al sistema de reconocimiento facial instalado en los centros de la entidad: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/93 PUNTO 1. Datos tratados y técnicas empleadas. Descripción del sistema utilizado, respondiendo acerca de determinados puntos que concreta el inspector. PUNTO 2. Número total de centros de la entidad que tienen implementado reconocimiento facial de usuarios. Número de usuarios total aproximado de estos centros. Numero usuarios del centro de Entrepuentes-Sevilla. Número de personas que han mostrado su rechazo al sistema o no han querido acceder a reconocimiento facial. PUNTO 3. Bases jurídicas (de legitimación) para el tratamiento de datos personales con reconocimiento facial. Confirmación sobre que no se ha recabado el consentimiento de los usuarios para este tratamiento de datos. PUNTO 4. Información facilitada a los usuarios con respecto al reconocimiento facial. Copia de todas las comunicaciones o informaciones sobre protección de datos facilitadas al respecto, método de envío puesta en conocimiento de los usuarios y su fecha. PUNTO 5. Copia del Registro de Actividades del Tratamiento (RAT) al que se refiere el art. 30 del RGPD. PUNTO 6. Información sobre si se realizó una Evaluación de Impacto o un Estudio previo similar con relación a los tratamientos de datos basados en reconocimiento facial. Copia de la misma en caso afirmativo. Copia de la documentación acreditativa de la valoración previa de métodos alternativos a la implementación del sistema de reconocimiento facial. - 16/12/2023: Se expide Diligencia para hacer constar que en esta fecha se obtiene impresión de la siguiente información obtenida a través de Internet sobre el programa de reconocimiento facial de “***EMPRESA.1” con su algoritmo NIR que se alude en las contestaciones a los reclamantes por parte de la entidad reclamada. En el que queda capturada la pantalla sobre “Certificado de Protección de Datos Faciales de ***EMPRESA.1”, en la que se certifica que ***EMPRESA.1 ***APP.2 y ***APP.3 extraen los puntos de las imágenes faciales en bruto y crean una plantilla a partir de estos datos. - 03/01/2024. Reclamación presentada por D.D.D. en relación con el centro deportivo San Diego de Coruña, de la que se da traslado a SIDECU el 20/2/2024. - 19/01/2024.Tras solicitarse y ampliarse el plazo para contestar, SIDECU responde al requerimiento de información realizado durante la fase de investigación (en adelante, Respuesta 2), reiterando lo indicado anteriormente respecto a que el programa ***EMPRESA.1 no trata datos personales, y añadiendo, en esencia, lo siguiente: o En relación con el funcionamiento del sistema implantado: “(…) Así, el proceso posterior de identificación de la persona consiste en que, tras ponerse el usuario delante del sistema de reconocimiento facial, éste crea una nueva plantilla que se compara con las ya almacenadas. Si esta operación genera un resultado positivo, se considera al usuario correctamente identificado y se permite el acceso al centro deportivo. La C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/93 plantilla codificada se asemeja pues a una clave alfanumérica que debiese ser tecleada para permitir el acceso a las instalaciones o a una tarjeta de acceso con chip, banda magnética o sistema RFID, por ejemplo, con la ventaja de que no se permite identificación personal de la persona a través de este sistema. A partir de las plantillas no se puede, en ningún caso, recuperar la imagen personal del usuario ni siquiera deducir características físicas concretas de la misma. No hay pues tratamiento de dato personal alguno. Es decir, no se utiliza ningún dispositivo adicional a la cámara del propio sistema, que no almacena datos del usuario más allá de la plantilla codificada y que no permite recuperar la imagen del usuario. Asimismo, es preciso destacar que el sistema de autentificación se realiza 1 a N (comparando la plantilla codificada en el momento de identificación). o Se acompañan fotografías del cartel informativo de los centros con la información indicada por el fabricante como Documento 2. o Los CENTROS SUPERA únicamente acceden 3 registros de entrada y salida y presencia en las instalaciones obteniendo exclusivamente información correspondiente a las horas y número de personas, pero no a su identificación personal. Es decir, únicamente se registra la fecha y hora de acceso, junto con el código del usuario (número de socio). Se aporta, como documento nº 3, evidencia de un registro de entrada y salida de un centro. o Actualmente el referido sistema de reconocimiento facial se encuentra instalado en cinco centros deportivos, siendo el número total de usuarios de dichos centros de 36.483. Uno de esos centros es el de Entrepuentes de Sevilla, el cual cuenta actualmente con 8.978 usuarios (a fecha 4/01/2024). De estos usuarios del centro deportivo Entrepuentes un total de 26 usuarios han manifestado su oposición al sistema de acceso, habilitándose por parte de SIDECU una alternativa de acceso mediante identificación en la recepción del centro mediante la exhibición del Documento Nacional de Identidad al personal de dicho centro deportivo y la apertura manual del tomo de acceso. o En contestación al requerimiento acerca de las bases de legitimación del tratamiento: la empresa no menciona ni las bases de licitud del artículo 6 del RGPD ni la excepción del artículo 9.2 del RGPD que habilitan al tratamiento, indicando de nuevo que no es necesario cumplir la normativa de protección de datos personales, puesto que el programa no trata datos personales. A lo ya indicado, se añade que: “Tal y como señaló esa Agencia Española de Protección de Datos en su Informe 36/2020, no se trata de un tratamiento de datos como tratamiento de categoría especial, pues no identifica, en ningún caso, de manera unívoca a una persona física. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/93 Los CENTROS SUPERA únicamente acceden a registros de entrada y salida y presencia en las instalaciones obteniendo exclusivamente información correspondiente a las horas y número de personas, pero no a su identificación personal. Asimismo, el segundo ordinal del artículo 4 del RGPD, señala que se entenderá por ”tratamiento" de datos: ”Cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción(…) El funcionamiento de este sistema queda al margen de la aplicación del artículo anteriormente mencionado del RGPD, ya que, en ningún caso, puede someterse al cumplimiento de lo dispuesto por la normativa en materia de protección de datos a un sistema de mero control de acceso que no trata dato personal alguno, pues ni los recoge, ni los conserva, ni permite la identificación de las personas”. o En cuanto a la información proporcionada a los usuarios: Se señala que se contestaron todas las solicitudes de información y que se colocaron carteles en todos los centros deportivos que se aportan como documento 2, en un lugar visible y accesible a todos, siendo ésta la única información proporcionada. o Por lo que respecta a la documentación aportada: Como documento 1 se aporta poder de designación/ representación. aportado como documento. Como documento 2 se aportan fotografía de los carteles expuestos, idénticas a las aportadas en la 1ª Respuesta (del centro de Entrepuentes). Como documento 3, la hoja de registro de entradas y salidas. Como documento nº 4 el mismo certificado de protección de datos del fabricante que ya fue aportado anteriormente como documento nº1 de la 1ª Respuesta. Como documento nº 5 se acompaña por primera vez el análisis de riesgos realizado y “conclusiones alcanzadas acerca de la necesidad de obtener el consentimiento previo de los usuarios”, a las que se hacía referencia en la 1ª Respuesta. Documento de 2 páginas, fechado el 2-922 y realizado por SUPERA. Y como documento nº 6, copia del Registro de Actividades del Tratamiento de GRUPO SIDECU. - 04/03/2024: Se presenta escrito de FACUA solicitando información sobre el estado de las actuaciones. Con fecha de 05/06/2024 se reitera tal solicitud de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/93 información. Y con fecha de 18/06/2024 se contesta a la misma que se han iniciado actuaciones previas de investigación. - 11/03/2024. Reclamación de E.E.E. en relación con el centro deportivo de Valladolid, de la que se da traslado a SIDECU el 18/3/2024. 1/04/2024. Respuesta de SIDECU al traslado de la reclamación de D.D.D. (en adelante, 3ª Respuesta de SIDECU) frente al centro deportivo de San Diego La Coruña, en el que se aportan los mismos 3 documentos ya aportados anteriormente (certificado protección datos, fotografía carteles, y análisis de riesgos) y se reiteran los argumentos indicados en las anteriores respuestas, añadiendo lo siguiente: o o o En el punto segundo se acredita haber contestado a la reclamación interpuesta por la citada reclamante, en el mismo sentido que a los anteriores reclamantes, y se acompaña como documento nº 4 copia de la comunicación recibida y la respuesta enviada por SIDECU. Se manifiesta que se ha comprobado que este centro también había expuesto los carteles informativos, y aporta fotografía de exposición del CM SAN DIEGO. Se afirma que “En cualquier caso, todos los centros de Supera están preparados con sistemas alternativos de acceso, como el presencial clásico de exhibición del documento de identidad que se contrasta con los datos incluidos en el sistemas de Centros Supera”. - 03/04/2024: Se remite escrito de admisión a trámite de la reclamación de D.D.D.. - ***FECHA.1. Se contesta por SIDECU a la reclamación presentada por E.E.E. (en adelante, 4ª Respuesta de SIDECU) frente al Centro Deportivo Supera de Valladolid, aportando las fotografías de los carteles expuestos en dicho centro como documento 2 del “CDO El Palero”, y las respuestas dadas a la reclamación interpuesta por el mismo como documentos 4 y 5, además de reiterar lo manifestado y aportar de nuevo el certificado de protección y el análisis de riesgos. - ***FECHA.2. Se remite escrito de admisión a trámite de la reclamación presentada por E.E.E.. - ***FECHA.2. Se expide Diligencia para unir al procedimiento los documentos que aparecen al acceder a los enlaces “protección de datos”, “condiciones generales” y “Reglamento de Régimen Interno” que aparecen en el formulario de inscripción aportado junto con las primeras reclamaciones presentadas. - ***FECHA.2. Diligencia haciendo constar la información básica obtenida de la herramienta Axesor acerca de la empresa reclamada. - 06/06/2024. Se remite y notifica por error un requerimiento de información a SIDECU que correspondía a número de actuaciones previas (AI/00194/2024), y con fecha de 07/06/2024, se le remite comunicación informando de que se ha C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/93 anulado el requerimiento de 06/06/2024, y que no es necesario que conteste al mismo. - 14/06/2024. Reclamación presentada contra SIDECU por F.F.F., señalando que el “En el Centro de Deporte y Ocio La Lanera de Palencia se ha implantado un sistema de acceso mediante el sistema de análisis biométrico facial (llevando ya instalado unos 10 años también el acceso mediante tarjeta y detección de huella). El análisis biométrico facial se ha realizado a los usuarios sin informarles en absoluto del riesgo de los datos que están aportando y sin un consentimiento escrito de ello”. Concluidas las actuaciones previas de investigación, con fecha de 21/06/2024, se emite informe de actuaciones previas de investigación por el inspector (en adelante, informe API), que valora el resultado de las actuaciones realizadas hasta el momento. Entre sus afirmaciones, el informe señala: PUNTO 1. Procedimiento de Admisión a Trámite En el marco de las actuaciones de admisión a trámite de las reclamaciones la parte reclamada ha manifestado que han trasladado a los reclamantes información acerca del nuevo sistema señalando los motivos por los cuales no resultaba necesario el consentimiento previo del usuario “por no entenderse como un tratamiento de datos como tratamiento de categoría especial, pues el sistema no identifica, en ningún caso, a la persona física ni existe tratamiento de dato alguno”. Han indicado también que “el sistema implantado no almacenaba la imagen, ni suponían un riesgo para los datos personales de los usuarios y no era necesario recabar un consentimiento previo puesto que, dadas las características del sistema, ni se guardaba la imagen ni ningún dato que permitiese identificar al usuario, no realizando tratamiento alguno de datos”. Los representantes de la parte reclamada han manifestado en general al contestar a los escritos de traslado de las reclamaciones interpuestas que han atendido las solicitudes ejercitadas por los usuarios, remitiéndoles las explicaciones de un modo exhaustivo, aclarándoles que el uso de los sistemas utilizados en sus centros deportivos no suponía un tratamiento de sus datos, puesto que estos sistemas únicamente analizan puntos concretos de la imagen del individuo creando un modelo numérico (plantilla) que funciona como una clave propia de cada usuario con la finalidad de acceso a las instalaciones. Indican que a partir de las plantillas no se puede, en ningún caso, recuperar la imagen personal del usuario ni siquiera deducir características físicas concretas de la misma. Manifiestan que por tanto no hay tratamiento de dato personal alguno. En concreto, han manifestado en el escrito de respuesta de 2-11-23 al traslado de las 3 primeras reclamaciones del presente expediente, además que: “La sociedad SIDECU, S.A. analizó diferentes modalidades de sistemas de acceso a sus centros deportivos, en virtud de los cuales se evitase, por un C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/93 lado, el acceso de personas a los centros que no tuviesen la condición de abonados y, por otro lado, que cumpliesen con la condición de evitar el tratamiento de datos adicionales e innecesarios para los que hubiera que obtener el consentimiento expreso del usuario. Con anterioridad al uso de este sistema de acceso los centros deportivos tenían instalados unos sistemas que también utilizaban complejos algoritmos matemáticos desarrollados por el fabricante NITGEN, en los que el usuario accedía a través de su huella dactilar, pero sin que, en ningún caso, el sistema pudiera almacenarla. Se trataba de un sistema similar al utilizado en la actualidad, pero el análisis de la plantilla numérica se realizaba por medio de la huella dactilar en vez del reconocimiento facial. Ese sistema ya fue objeto de análisis en el año 2022 por esa Agencia Española de Protección de Datos en otro expediente, siendo inadmitida finalmente la reclamación por parte de esa Agencia al entender que SIDECU había cumplido todos los trámites establecidos y que no procedía la supresión de dato alguno por nuestra parte al no llegarse a tratar datos biométricos del usuario. Sin embargo, el sistema presentó fallos de funcionamiento en el acceso (fallos mecánicos frecuentes, en todo caso), lo que motivó a SIDECU a buscar otro sistema que fuese similar y no invasivo o intrusivo en los derechos de los usuarios y, en particular, que no tratase datos o almacenase datos de los usuarios. Así, se obtuvo diferente información acerca de diferentes sistemas biométricos, optando SIDECU por el sistema de la empresa ***EMPRESA.1 y realizando un análisis de riesgos previamente a su adquisición. Conforme a las explicaciones detalladas por el fabricante, este sistema no almacena la imagen procesada del individuo como sí ocurre en otro tipo de registros, no realizando pues tratamiento de datos personales. Según la información que nos transmitió el fabricante, se crea un modelo con el algoritmo NIR, patentado por este fabricante, que utiliza algoritmos matemáticos complejos, generando un modelo numérico al usar información de alguno de los puntos de la captura. En ningún momento puede deducirse de este modelo características físicas de la persona. Esto es, los datos escaneados no quedan almacenados en el sistema y, mucho menos, en las bases de datos de SIDECU. En el momento del registro inicial de un usuario para la utilización de este tipo de sistemas, el sistema analiza puntos concretos de la imagen del individuo y crea un modelo numérico que funciona como una clave propia de cada usuario con la finalidad de acceso a las instalaciones. Así, el proceso posterior de identificación de la persona consiste en que, tras ponerse el usuario delante del sistema de reconocimiento facial, éste crea una nueva plantilla que se compara con las ya almacenadas. Si esta operación genera un resultado positivo, se considera al usuario correctamente identificado y se permite el acceso al centro deportivo. La plantilla codificada se asemeja pues a una clave alfanumérica que debiese ser tecleada para permitir el acceso a las instalaciones o a una tarjeta de acceso con chip, banda magnética o sistema RFID, por ejemplo, con la ventaja de que no se permite identificación personal de la persona a través de este sistema. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/93 Asimismo, a partir de las plantillas no se puede, en ningún caso, recuperar la imagen personal del usuario ni siquiera deducir características físicas concretas de la misma. No hay pues tratamiento de dato personal alguno. En consecuencia, con la información técnica facilitada por el fabricante se concluyó que la instalación de estos sistemas en los CENTROS SUPERA no suponían ningún riesgo para el tratamiento de datos de carácter personal de los usuarios, dado que los datos extraídos por los lectores de ***EMPRESA.1 no podrían ser en ningún caso desencriptados ni desmontados, estando únicamente en posesión del fabricante las claves para el algoritmo, sin que se almacenase ningún tipo de información sobre la imagen de los usuarios.” PUNTO 2. Información a los usuarios. En el documento de registro (procedimiento administración y recepción en los centros), formulario de inscripción a los centros, se recogen los datos personales del nuevo socio (nombre y apellidos, número de DNI, fecha de nacimiento, dirección, teléfonos, email, datos bancarios) y se informa de lo siguiente: “Con la firma del presente documento afirmo que he leído y acepto las condiciones de protección de datos, □ Ud. consiente y autoriza expresamente a que SIDECU, S.A. trate los datos que ha facilitado para realizar estudios estadísticos y para ofrecerle periódicamente información sobre productos, actividades, servicios y acciones comerciales de promoción y/o marketing relacionadas con proveedores de transportes, deportes, seguros, servicios inmobiliarios, financieros y bancarios, con el fin de informar de sus productos o servicios y hacer ofertas comerciales, incluyendo por medios de comunicación electrónica.” En este documento de registro existen varios enlaces, uno de “Protección de Datos”, en el que se ha comprobado que ofrece la siguiente información: “CLÁUSULA RESPONSABLE DEL TRAMIENTO DE DATOS PERSONALES Los datos que Vd. proporcione a fin de desarrollar el objeto del presente contrato, serán incorporados a las bases de datos propiedad de SIDECU, S.A., que actuará como Responsable del Tratamiento. Los datos referentes a datos personales y datos médicos relativos a salud que Vd. pueda facilitar, con la finalidad de la adecuada prestación de los servicios que solicite en cada momento, se emplearán única y exclusivamente a los efectos de cumplir con el objeto del presente contrato y, en particular, con las finalidades siguientes: gestión de clientes, premiar su fidelidad, mantenerlos informados (envío boletín de noticias), por cualquier medio (electrónico o no), de ofertas de productos y/o servicios y/o promociones relacionadas con las actividades propias del presente contrato y del objeto social de SIDECU, S.A. Con el fin de poder ofrecerle productos y/o servicios de acuerdo con sus intereses y mejorar su experiencia, podremos elaborar un perfil comercial en base a la información facilitada por Vd. No obstante, no se tomarán decisiones automatizadas en base a dicho perfil. De conformidad con la normativa vigente en materia de protección de datos de carácter personal, tiene derecho a ejercitar en cualquier momento sus derechos de acceso, rectificación, portabilidad, limitación, supresión u C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/93 oposición de los datos referentes a su persona incluidos en nuestras bases de datos ante el Delegado de Protección de Datos, acreditando debidamente su identidad; así como presentar una reclamación ante la autoridad de control estatal en caso de que el titular de los datos de carácter personal considere que se han vulnerado sus derechos. En todo caso, el consentimiento tiene carácter revocable, pudiendo Ud. retirar en cualquier momento el consentimiento prestado o ejercitar cualquier de los derechos mencionados en la forma indicada en la presente cláusula. Ud. responderá de la veracidad de los datos facilitados a SIDECU, S.A. reservándose éste la facultad de excluirle de cualesquiera actuaciones y/o servicios en caso de que facilite datos falsos, sin perjuicio de cualesquiera otras acciones que puedan proceder. Del mismo modo, Ud. es responsable de mantener actualizados los datos personales que haya facilitado a SIDECU, S.A. Los datos facilitados serán conservados y tratados por SIDECU, S.A. mientras se mantenga la relación contractual, mientras no se solicite su supresión y, en cualquier caso, hasta el vencimiento de los plazos legalmente exigibles” En el enlace de “condiciones generales” no se encuentra información de protección de datos. En el enlace Reglamento de Régimen Interno, que varía para cada uno de los centros, se encuentra la siguiente información de Protección de Datos: “1.8. A los efectos de la Ley Orgánica 15/1999 de 13 de Diciembre de protección de datos de carácter oficial, al inscribirse en la instalación se autoriza la utilización de los datos personales y su tratamiento informático para la gestión de la instalación y en su caso el envío de información comercial inherente a la gestión del Centro.” Los representantes de la parte reclamada indican que han colocado carteles informativos sobre el sistema de reconocimiento facial en todos los centros, aportando fotografía de su colocación así como el contenido del mismo que se reproduce a continuación: “¿Qué es un sistema de identificación biométrico? Este tipo de sistemas biométricos utilizan alguna característica física e intransferible de la persona para realizar su identificación o verificación. Los sistemas biométricos de ***EMPRESA.1, extraen los puntos de datos faciales de las imágenes sin procesar y crea una plantilla a partir de estos datos. ¿Qué ventajas tienen los sistemas biométricos? - Garantizan la identificación y verificación del usuario de una manera rápida, fácil y fiable. - Es una tecnología robusta ampliamente estudiada y probada. - Al utilizar una característica intransferible, no es posible el uso fraudulento de llaves remplazando la identidad de otras personas. ¿Privacidad y protección del usuario? Los sistemas biométricos de ***EMPRESA.1 no guardan la imagen procesada, crea una plantilla con el algoritmo NIR patentado por ***EMPRESA.1. Mediante complejos algoritmos matemáticos se genera la plantilla numérica utilizando la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/93 información de algunos puntos de la captura. En ningún se puede deducir a partir de la plantilla características físicas, el algoritmo de extracción sólo es conocido por el fabricante. Funcionamiento La plantilla de la cara no es una imagen en bruto. Se crea utilizando la tecnología y el algoritmo NIR patentados de ***EMPRESA.1, y la plantilla es un conjunto de datos que es una fusión de características 2D y 3D de la cara de un usuario la cual es adquirida por una cámara visual y una cámara NIR. Para proteger esta plantilla, se utilizan herramientas criptográficas y métodos de encriptación, como la encriptación AES de 256 bits.” PUNTO 3. Sobre el funcionamiento del sistema Sobre el funcionamiento del sistema, la parte reclamada repite en todos los escritos de respuesta que el programa de ***EMPRESA.1 que utiliza para realizar el reconocimiento facial de los socios no almacena la imagen facial sino una plantilla generada por un algoritmo matemático; y que a partir de la plantilla no es posible recuperar la imagen facial ni características físicas de la persona, manifestando que por tanto no se realizan tratamientos de datos personales. Para acreditar esta cuestión aportan un certificado del fabricante en cada uno de los cuatro escritos de respuesta donde se menciona que nunca se almacena la imagen facial en el dispositivo sino una plantilla que se genera y cifra, no siendo posible recuperar la imagen original del rostro a partir de la plantilla. No se realiza ninguna mención en este certificado sobre si se tratan o no datos personales. La empresa mantiene que el programa no implica tratamiento de datos personales a la vista de que: “(..) El segundo ordinal del artículo 4 del RGPD, señala que se entenderá por "tratamiento" de datos: «Cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.» Es por dicha razón que no puede entenderse como tratamiento de datos personales el caso que nos ocupa, pues no se encuentra dentro de la categoría de los mismos. Reiteramos que, a partir de las plantillas no se puede, en ningún caso, recuperar la imagen personal del usuario ni siquiera deducir características físicas concretas de la misma. No hay pues tratamiento de dato personal alguno.” Indican que no se utiliza ningún dispositivo adicional a la cámara del propio sistema (tarjetas o pulsaras identificadoras) realizándose la comparación 1 a N, es decir, comparando la plantilla obtenida en el momento de la entrada con las almacenadas en el sistema. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 18/93 En la segunda respuesta (respuesta al requerimiento de investigación), indican que únicamente se registra la fecha y hora de acceso, junto con el código del usuario (número de socio). Aportan como evidencia al respecto de esta cuestión la impresión de pantalla del sistema en la que se comprueba que se aprecian los siguientes datos para cada una de las entradas a uno de los Centros: fecha y hora, id del dispositivo (torno), Centro, Identificador del usuario, y resultado de la comparación, que en todos los casos listados figura como “Autenticación 1:N correcta (Cara)”. PUNTO 4. Registro Actividades de Tratamiento (RAT), Análisis de Riesgos (AR) y Evaluación de Impacto (EIPD) Junto con el segundo escrito de respuesta, se aporta también copia del RAT, en el que en el apartado 5 relativo al tratamiento de los datos personales de los clientes(abonados) en el que como fines del tratamiento se indica la “gestión de la relación con los clientes o potenciales clientes”. En la sección de categorías de datos tratados no se mencionan datos biométricos. Y acompañan también el Análisis de Riesgos, que se titula “ANÁLISIS DE RIESGOS PREVIO A UNA EIPD” y se refiere a la iniciativa de implantación de sistemas de reconocimiento facial de ***EMPRESA.1 para el acceso a los centros deportivos de GRUPO SUPERA. En este, se cita que no se van a tratar datos personales y como conclusión: “Según la información facilitada por el fabricante, la implantación del sistema de reconocimiento facial fabricado por ***EMPRESA.1 no supone ningún tratamiento de dato personal para los usuarios de los centros deportivos que accedan al mismo. El sistema genera una plantilla a partir de la imagen del usuario (la primera vez que accede) que no asocia a ninguna persona en particular, sino que simplemente analiza si el usuario que accede tiene o no derecho a ello. En particular, los datos extraídos por los lectores de ***EMPRESA.1 no podrían ser en ningún caso desencriptados ni desmontados, estando únicamente en posesión del fabricante las claves para el algoritmo, sin que se almacenase ningún tipo de información sobre la imagen de los usuarios. El sistema de reconocimiento facial tampoco se conecta a la base o listado de usuarios de los centros deportivos en ningún momento. Se aporta al presente informe el certificado emitido por el fabricante a tal efecto. En definitiva, no procede realizar ninguna Evaluación de Impacto al no existir tratamiento de datos al no poderse, en ningún caso, recuperar la imagen personal del usuario, ni siquiera deducir características físicas concretas de la misma, no pudiendo identificar a la persona. Se acuerda poner a disposición de los usuarios carteles informativos que informen acerca del nuevo sistema implantado y de sus características. Al no existir tratamiento de datos, ni poder ser considerado como tratamiento de categoría especial, tampoco procede recabar previamente el consentimiento del usuario. En cualquier caso, se podrá poner a disposición de los usuarios C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 19/93 alternativas de acceso en los casos en los que se nieguen a utilizar este sistema. En definitiva, se deduce que el sistema propuesto no resulta intrusivo ni atenta contra los derechos de los usuarios de los centros deportivos al no tratar ni almacenar su imagen personal ni ningún otro dato que permita identificarlos.” PUNTO 5. Medidas de seguridad En el RAT constan las siguientes medidas de seguridad para los tratamientos de datos de los abonados con carácter general: control acceso perimetral; control acceso CPD; seguridad hardware; control de dispositivos extraíbles; seguridad soluciones cloud; seguridad sistemas operativos; antivirus; segmentación red y firewall; seguridad aplicaciones; documentos en papel bajo sistemas de seguridad. En la documentación técnica aportada por el fabricante se cita: - “Devices are equipped with a secure tamper feature, which ensures the security of data stored in the devices. If the device is removed from the wall and tampered with, the secure data (biometric templates, User ID, Logs) within the device will automatically be deleted” que se puede traducir como: “los dispositivos están equipados con una función de manipulación segura que garantiza la seguridad de los datos almacenados en los dispositivos. Si el dispositivo se retira de la pared y se manipula, los datos seguros (plantillas biométricas, ID de usuario, registros) dentro del dispositivo se eliminarán automáticamente.” - También se cita que se utilizan técnicas de cifrado como 256bit AES, que existen pistas de auditoría sobre los accesos y que la tasa de falsos negativos es menor del 1% y la de falsos positivos menor que 0,00002%. SEXTO: Con fecha de 24/06/2024 se obtiene como evidencia la política de privacidad de SUPERA, en la que consta SIDECU como responsable del tratamiento de datos personales de la URL centrosupera.com, y se une al procedimiento. SÉPTIMO: Con posterioridad a la emisión del informe de actuaciones previas de investigación se han presentado y admitido a trámite las siguientes reclamaciones presentadas por socios de los diferentes centros deportivos en los que SIDECU ha instalado el citado sistema de reconocimiento facial, que se unen y acumulan dentro del presente expediente, dado que su contenido es análogo a las presentadas con anterioridad. - 25/06/2024. Se admite a trámite la reclamación de F.F.F., que fue presentada el 14-6-24. - 08/07/2024 Admisión a trámite de la reclamación presentada por G.G.G. el 26/06/204. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 20/93 - 07/10/2024. Admisión a trámite de la reclamación presentada por H.H.H. con fechas de 16/09/2024, y 27/09/2024. Así mismo, se une al presente procedimiento la denuncia interpuesta por J.J.J. informando de la instalación de un sistema de reconocimiento facial para acceder al “Centro Deportivo Supera Guadalquivir” con fecha de 2/08/2024. OCTAVO: De acuerdo con el informe recogido de la herramienta AXESOR con fecha de 12/03/2025, la entidad SIDECU es una empresa de tamaño grande constituida en el año 1993 dedicada a la gestión de instalaciones deportivas, y con un volumen de negocios de 16.154.950 euros en el año 2023. NOVENO: Con fecha de 13 de marzo de 2025 se expide Diligencia para incorporar al expediente electrónico la información que aparece publicada en la url de la entidad ***EMPRESA.1 ***EMPRESA.1 | Security & Biometrics (***EMPRESA.1.inc.com/es), en la que se ofertan diferentes sistemas y funcionalidades de la plataforma ***APP.1 de seguridad -que incluyen un sistema centralizado o distribuido de acceso a los centros con identificación basada en biometría-, y diversos productos de hardware como lectores biométricos de huella dactilar y reconocimiento facial. DÉCIMO: Con fecha de 2 de abril de 2025 se expide Diligencia para reflejar los centros SUPERA que se encuentran publicados en la URL centrossupera.com, que asciende a 33. FUNDAMENTOS DE DERECHO I. Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. II. Procedimiento Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 21/93 De acuerdo con el artículo 64 de la LOPDGDD, y teniendo en cuenta las características de las presuntas infracciones cometida, se inicia un procedimiento sancionador. El procedimiento tendrá una duración máxima de doce meses a contar desde la fecha del acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones, de conformidad con lo establecido en el artículo 64 de la LOPDGDD. Si en el plazo estipulado no efectuara alegaciones a este acuerdo de inicio, el mismo podrá ser considerado propuesta de resolución, según lo establecido en el artículo 64.2.
5. f)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP). III. Cuestiones previas. 3.1. Datos personales objeto de tratamiento. Definición de los datos biométricos de carácter personal. Los sistemas de procesamiento de datos biométricos son métodos automáticos que se basan en recoger y procesar datos personales relativos a las características físicas, fisiológicas o conductuales de las personas físicas, entre las que cabe incluir las características neuronales de estas, mediante dispositivos o sensores, creando plantillas biométricas (también denominadas firmas o patrones) que posibilitan la identificación, seguimiento o perfilado de dichas personas. Como ya señaló el Dictamen 4/2007 del grupo de trabajo del artículo 29 (ART. 29 de la Directiva 95/46 CE, como organismo de la UE, de carácter consultivo e independiente), sobre el concepto de datos personales (WP136), de 20/06/2007, los datos biométricos pueden definirse como: “… propiedades biológicas, características fisiológicas, rasgos de la personalidad o tics, que son, al mismo tiempo, atribuibles a una sola persona y mensurables, incluso si los modelos utilizados en la práctica para medirlos técnicamente implican un cierto grado de probabilidad. Ejemplos típicos de datos biométricos son los que proporcionan las huellas dactilares, los modelos retinales, la estructura facial, las voces, pero también la geometría de la mano, las estructuras venosas e incluso determinada habilidad profundamente arraigada u otra característica del comportamiento (como la caligrafía, las pulsaciones, una manera particular de caminar o de hablar, etc.). Una particularidad de los datos biométricos es que se les puede considerar tanto como contenido de la información sobre una determinada persona (Fulano tiene estas huellas dactilares) como un elemento para vincular una información a una determinada persona (este objeto lo ha tocado alguien que tiene estas huellas dactilares y estas huellas dactilares corresponden a Fulano; por lo tanto, Fulano ha tocado este objeto). Como tales, pueden servir de «identificadores». En C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 22/93 efecto, al corresponder a una única persona, los datos biométricos pueden utilizarse para identificar a esa persona. Este carácter dual también se da en el caso de los datos sobre el ADN, que proporcionan información sobre el cuerpo humano y permiten la identificación inequívoca de una, y sólo una, persona.” El RGPD define el art.4.14 datos biométricos como una categoría de datos personales, señalando que son: “datos personales obtenidos a partir de un tratamiento técnico específico, relativos a las características físicas, fisiológicas o conductuales de una persona física que permitan o confirmen la identificación única de dicha persona, como imágenes faciales o datos dactiloscópicos”. (el subrayado es nuestro). Por su parte, el artículo 4.1 del RGPD, al definir los datos de carácter personal incide en esta misma finalidad de identificación única de la persona, señalando que ““1. Datos personales: toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona”. 83 Así pues, de acuerdo con lo previsto en el RGPD, para poder determinar si estamos en presencia de datos biométricos de carácter personal, deben concurrir los siguientes requisitos que se deducen de la interpretación conjunta del artículo 4.14 (definición de datos biométricos) y el artículo 4.1 del RGPD (definición de datos personales): (
6. i)La naturaleza de los datos: deben ser relativos a las características físicas, fisiológicas o conductuales de una persona física. Si el tratamiento requiere el registro previo de la imagen, huella dactilar, voz, iris,..etc; tiene en cuenta comportamientos, o diferencia características como la raza, sexo…etc, cumple con esta característica inicial, aunque no las almacene y solo las emplee para generar el patrón biométrico. (
7. i)La finalidad del tratamiento: los datos biométricos deben permitir o confirmar la identificación única de dicha persona. No todos los datos biométricos sirven para la identificación de personas físicas. Pero los sistemas biométricos dirigidos a permitir o confirmar la identificación única de una persona sí tratan datos biométricos de carácter personal. Las tecnologías biométricas permiten utilizar dos grandes tipos de sistemas biométricos que se dirigen a identificar de manera única a las personas, según señaló el Dictamen 3/2012 sobre la evolución de las tecnologías biométricas de 27/04/2012 del Grupo de Trabajo del Artículo 29, -órgano consultivo independiente europeo en materia de protección de datos, precedente del actual Comité Europeo de Protección de Datos- (en adelante, Dictamen 3/2012): C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 23/93 “-Identificación biométrica: la identificación de un individuo por un sistema biométrico es normalmente el proceso de comparar sus datos biométricos (adquiridos en el momento de la identificación) con una serie de plantillas biométricas almacenadas en una base de datos (es decir, un proceso de búsqueda de correspondencias uno-a-varios). (En adelante, 1:N) -Verificación/autenticación biométrica: la verificación de un individuo por un sistema biométrico es normalmente el proceso de comparación entre sus datos biométricos (adquiridos en el momento de la verificación) con una única plantilla biométrica almacenada en un dispositivo (es decir, un proceso de búsqueda de correspondencias uno-a-uno).”( En adelante, 1:1). Si bien esta cuestión ha sido objeto de diversas directrices y dictámenes, lo cierto es que desde la aprobación del RGPD se entiende que las menciones a "permitan" pueden entenderse a la identificación, la de "confirmen" a la autenticación. En ambos casos, sea verificación-autenticación, o identificación las técnicas utilizadas se basan en una concordancia estimada entre plantillas: la que se compara y la(
8. s)de referencia. Desde este punto de vista, son técnicas probabilísticas: la comparación deduce una probabilidad mayor o menor de que la persona sea efectivamente quien se ha de autenticar o identificar; y si esta probabilidad supera un determinado umbral en el sistema, definido por su usuario o su desarrollador, el sistema entenderá que existe una coincidencia. Pero, con independencia de las diferencias existentes entre ambos sistemas biométricos respecto a la probabilidad de errores, o desde el punto de vista de las medidas de seguridad, lo cierto es que la finalidad de ambas técnicas es la misma, toda vez que ambas se dirigen a identificar de forma unívoca a una persona, considerándose que ambas tratan datos biométricos de carácter personal. (
9. ii)Los medios y las formas de tratamiento: datos “obtenidos a partir de un tratamiento técnico específico”; que “permitan o confirmen la identificación única de dicha persona”. Ya desde el Dictamen WP80 del Grupo de Trabajo del Artículo 29 se señalaba que los sistemas biométricos son: «aplicaciones de las tecnologías biométricas que permiten la identificación automática, y/o la autenticación/comprobación de una persona. Se suelen utilizar aplicaciones de autenticación/comprobación para diversas tareas en campos muy distintos y bajo la responsabilidad de una amplia gama de entidades diferentes.» Y todo sistema biométrico dirigido a permitir o confirmar la identificación unívoca de las personas, para poder ser usado, ha de registrar antes la identidad del usuario en el sistema por medio de la captura de una serie de parámetros biométricos en bruto. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 24/93 Es preciso aclarar que la información biométrica de las personas (sobre las características físicas, fisiológicas o conductuales) puede procesarse y almacenarse de diferentes formas:
10. a)A veces, la información biométrica capturada de una persona se almacena y se trata en bruto, lo que permite reconocer la fuente de la que procede sin conocimientos especiales; por ejemplo, la fotografía de una cara, la fotografía de una huella dactilar (muestra) o una grabación de voz. Estas serán un dato personal pero según el artículo 4.14 del RGPD no serán un dato biométrico de carácter personal puesto que no se cumple con el requisito de que el dato biométrico en bruto haya sido procesada mediante un tratamiento técnico que permita su identificación por una máquina a través de un tratamiento automatizado. Por este motivo, las imágenes de una persona que figuran en un sistema de videovigilancia son datos personales según el artículo 4.1 del RGPD, pero no pueden considerarse datos biométricos de carácter personal (y de categoría especial según nuestro RGPD) si no se han tratado técnicamente de una forma específica con el fin de contribuir a la identificación única de esa persona a través de un sistema. Tal y como lo dispone el Considerando 51 del RGPD también se refiere expresamente a ello, cuando señala que: “El tratamiento de fotografías no debe considerarse sistemáticamente tratamiento de categorías especiales de datos personales, pues únicamente se encuentran comprendidas en la definición de datos biométricos cuando el hecho de ser tratadas con medios técnicos específicos permita la identificación o la autenticación unívocas de una persona física.” Y de la misma forma, la imagen digital o muestras tomadas de una huella dactilar (sea de su totalidad o algunos de sus fragmentos), tampoco se considerarán datos biométricos de carácter personal si no son procesadas para permitir la identificación de la persona a través de un tratamiento técnico específico ( que generalmente, es automatizado).
11. b)Otra opción -la que emplean los sistemas biométricos como el presentees que esta información biométrica se manifieste en forma de plantilla biométrica o patrón biométrico (código alfanumérico). En estos casos, la información biométrica bruta capturada es tratada técnicamente por un software de manera que solo se extraen de la misma ciertas características o rasgos (como fragmentos de la muestra de huella o puntos de la imagen de la cara…etc) y se salvan como una plantilla biométrica, llamado “vector” o “patrón biométrico” que permite la identificación de su titular de forma automatizada. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 25/93 Las Directrices sobre el uso de las tecnologías de reconocimiento facial dictadas por el Consejo de Europa el 28/04/2021 (Guidelines on Facial Recognition, Council of Europe), definen la plantilla biométrica como “una representación digital de las características únicas que se han extraído de una muestra biométrica y se almacenan en una base de datos biométrica”. Una plantilla biométrica o patrón biométrico es una forma de escritura de una característica biométrica humana, como un rostro o una huella dactilar, que se manifiesta en forma de código alfanumérico, de manera que sea interpretable por una máquina de forma eficiente y eficaz para un propósito o propósitos determinados. La plantilla biométrica no está orientada a ser interpretada por una persona, como una fotografía, sino que está orientada a ser tratada en un proceso automatizado, es decir, ser eficiente y eficazmente interpretable por una máquina. Esta forma de almacenamiento permitiría singularizar a un individuo y ejecutar acciones de forma automática, perfilar o inferir información sobre un sujeto como actitudes o patrones de comportamiento, etc. En otras palabras, la plantilla o patrón biométrico es la forma de medición de las características “físicas, fisiológicas o conductuales de una persona física” que son procesadas para asignar un código identificador único a cada individuo, de forma que éste pueda ser interpretado automáticamente al realizar cada lectura por el software y los dispositivos de hardware asociados a un sistema de verificación/identificación de la identidad biométrico, permitiendo la comparación de los datos y verificación de la identidad de forma automatizada. En definitiva, según el artículo 4.14 del RGPD, para que exista un tratamiento de datos biométricos de carácter personal se requiere, precisamente, que se aplique sobre la información biométrica tomada en bruto (imagen digital de la huella, cara, grabación de voz…etc) un procesamiento técnico (software o programa como el utilizado en el presente supuesto) del que se obtenga un “patrón biométrico” de las muestras recogidas. Por ello, el patrón biométrico o plantilla biométrica es verdaderamente el dato biométrico de carácter personal al que se refiere el artículo 4.14 del RGPD, puesto que la muestra en bruto de la huella dactilar o la cara, iris, voz…etc de una persona no permite identificar a la misma de forma automatizada. En consecuencia, siempre que se emplee un sistema biométrico que procese características físicas, fisiológicas o conductuales de las personas en bruto para convertirlas en un patrón o plantilla biométrica que pueda interpretar una máquina de forma automatizada para verificar la identidad de una persona de forma unívoca, no hay duda de que se estarán tratando datos biométricos de carácter personal que están sometidos a las obligaciones que el RGPD establece, siendo considerados de categoría especial, y requiriendo la previa elaboración y superación de una EIPD. - Características y riesgos del tratamiento de los datos biométricos de carácter personal. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 26/93 Los sistemas que tratan datos biométricos de carácter personal emplean una tecnología que puede ser realmente intrusiva y requiere de un debate ético y jurídico sosegado, toda vez que puede tener efectos muy adversos en los valores fundamentales y la integridad humana. Véanse solo alguna de sus características especiales y piénsese en el impacto significativo que producen cuando se comprometen estos datos-generando riesgos adicionales en los derechos y libertades de los interesados-, en comparación a cuando se tratan otro tipo de datos de carácter personal: - Los sistemas biométricos están estrechamente vinculados a una persona, dado que pueden utilizar una determinada propiedad única de un individuo para su identificación. Cada individuo tiene impresiones dactilares únicas que muestran características específicas que pueden medirse para decidir si una impresión dactilar corresponde con una muestra registrada. Por lo tanto, son únicos, permanentes o definitivos en el tiempo y la persona no puede liberarse de ellos, no se pueden cambiar nunca, ni con la edad, por lo que el daño creado en caso de compromiso-pérdida o intrusión en el sistema es irreparable en este caso. A diferencia de una contraseña, en caso de pérdida, los datos de nuestra huella dactilar o cara no se pueden cambiar. - Además, debido a que los datos biométricos son propios de una persona y perpetuos, el usuario puede utilizar los mismos datos en diferentes sistemas. - Mientras que los métodos tradicionales de autenticación como las contraseñas requieren una coincidencia del 100% de carácter por carácter para permitir que el usuario acceda por ejemplo a una cuenta o aplicación (métodos deterministas), los métodos de biometría se denominan “probabilísticos”, porque se basan en la probabilidad de que el usuario que intenta acceder a un determinado dispositivo o aplicación sea la misma persona que el usuario registrado. Podemos medir el rendimiento de un sistema biométrico a partir de tres características principales. Estas son: tasa de falsos rechazos (FRR), tasa de falsas aceptaciones (FAR) y tasa de errores iguales (ERR). La tasa de falsos rechazos representa la probabilidad de errores de detección por parte de un sistema biométrico, lo que significa que no puede reconocer a un usuario cuyas características biométricas ya están en la base de datos. En caso de rechazo, la persona debe verificar su identidad de nuevo. Desde una perspectiva de seguridad y protección, esta tasa no significa que sea necesariamente un resultado negativo. Cada método biométrico, ya sea lectura de cara, de huella dactilar, huella palmar, iris, etc., tiene diferentes valores para diferentes tasas en función de las cuales un sistema rechaza o acepta las entradas. Por último, cabe señalar que el Dictamen 11/2024 de 23 de mayo de 2024 del CEPD sobre el uso del reconocimiento facial para racionalizar el flujo de pasajeros del aeropuerto recuerda y confirma la necesidad de considerar el elevado nivel de riesgo que conllevan este tipo de tratamientos biométricos y hace hincapié en la necesidad de evaluar sus riesgos e impacto, y en especial, en determinar si existen medios alternativos menos intrusivos para lograr la finalidad de que se trate (verificar la identidad de los alumnos que se presentan al examen en este caso), con menciones C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 27/93 como las siguiente: “Como observación preliminar, el Comité recuerda que el uso de datos biométricos y, en particular, de tecnología de reconocimiento facial conlleva mayores riesgos para los derechos y libertades de los interesados. Se refiere al tratamiento de datos biométricos a los que se concede una protección especial en virtud del artículo 9 del RGPD. Antes de utilizar dichas tecnologías, incluso si se consideraran especialmente eficaces, los responsables del tratamiento deben evaluar el impacto en los derechos y libertades fundamentales de los interesados y considerar si medios menos intrusivos pueden alcanzar su finalidad legítima del tratamiento”. 3.2. Los datos biométricos de carácter personal como de categoría especial y alto riesgo. Tal y como se ha señalado, de acuerdo con el artículo 4.14 del RGPD (en relación con el artículo 4.1 del RGPD) son datos biométricos de carácter personal todos aquellos que: (
12. i)sean relativos a las características físicas, fisiológicas o conductuales de una persona física; (
13. ii)su finalidad sea la de permitir o confirmar la identificación única de una persona física (incluyendo sistemas de autenticación 1-1 e identificación 1-N); (iii) y que se sometan a un tratamiento técnico específico dirigido a permitir o confirmar la identidad unívoca de las personas de forma automatizada (que de lugar a la generación, archivo, explotación y destrucción de plantillas biométricas obtenidas de las muestras del dato capturado en bruto). Tras la aprobación del actual RGPD, y a diferencia del régimen aplicable con anterioridad al mismo, siempre que se realice un tratamiento de datos que sean biométricos de carácter personal de acuerdo con la definición del artículo 4.14 del RGPD, estos serán: (
14. i)considerados como datos personales de categoría especial según el artículo 9 RGPD, cuyo tratamiento está prohibido de forma general si no se dispone de una de las excepciones reguladas en dicho precepto (
15. ii)y el tratamiento de los mismos será considerado de “alto riesgo” según el artículo 35 del RGPD. Hay que tener presente que la evolución tecnológica en esta materia está avanzado a un nivel agigantado e imparable, máxime en los últimos años en la que la tecnología biométrica puede combinarse con técnicas de inteligencia artificial. La regulación anterior al actual RGPD databa del año 1995, donde todavía no se aplicaban tecnologías biométricas en el ámbito de la identificación de las personas. Por ello, la anterior “Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respeta al tratamiento de datos personales y a la libre circulación de estos datos” no hacía referencia alguna al concepto de datos biométricos. Únicamente se contenía una definición de lo que se consideraba como dato personal en el artículo 2 de la Directiva. Y al no existir entonces los datos biométricos, tampoco se incluían entre las categorías especiales de datos personales cuyo tratamiento estaba prohibido -con excepcionespor el anterior artículo 8. En este sentido, hay que tener en cuenta que la aprobación del RGPD ha supuesto un cambio de paradigma en materia de protección de datos personales que pretende C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 28/93 garantizar aún más a los ciudadanos el control de sus datos personales, estableciendo unos estándares de protección elevados y adaptados al entorno digital en que vivimos. Esto es, siempre que se traten datos de carácter personal, de cualquier tipo que sean, el responsable deberá cumplir con los principios y obligaciones previstos en la normativa de protección de datos para todo tipo de datos personales. Pero cuando los datos personales a tratar sean biométricos cuya finalidad sea la identificación unívoca de las personas, se debe considerar además que -a diferencia de lo que sucedía bajo el régimen anterior al RGPD- desde la entrada en vigor del RGPD el 25 de mayo de 2018 según su artículo 9, los datos biométricos de carácter personal que encajen en la definición del artículo 4.14 del RGPD están considerados como datos personales de categoría especial según lo previsto en artículo 9 del RGPD, cuyo tratamiento está generalmente prohibido, salvo que concurra alguna de las excepciones previstas en el artículo 9.2 del RGPD. Lo que no exime de que siempre deba existir además una base de licitud prevista en el artículo 6 del mismo, entre otros muchos requisitos y principios que deberá cumplir aquel que decida optar por este tipo de tratamientos. Así pues, de acuerdo con el artículo 9.1 del RGPD, queda prohibido el tratamiento de datos biométricos cuando sean: “datos biométricos dirigidos a identificar de manera unívoca a una persona física”. Es necesario recalcar que la calificación de los datos biométricos como datos de categoría especial implica, necesariamente, la observancia de una especial cautela por el responsable a la hora de determinar si es posible llevar a cabo un tratamiento de datos de esta naturaleza. Entre otras cosas, y además de existir una excepción que permita salvar la prohibición del artículo 9.1 del RGPD, de que exista una base de licitud del artículo 6 del RGPD y de que se cumplan los principios del RGPD, el sujeto que pretenda implantar sistemas de datos biométricos, (en este caso, SIDECU) debería haber analizado previamente la concurrencia de los preceptivos criterios de necesidad, idoneidad y proporcionalidad del tratamiento. Esto es, quien pretenda instaurar un tratamiento de datos personales de esta naturaleza debe, antes que nada, asegurarse de que se supere lo que se ha denominado en la jurisprudencia como “el triple juicio de proporcionalidad”, planteándose en especial si el tratamiento de datos biométricos es idóneo, proporcionalidad, y sobre todo, necesario. Si existen otros sistemas no biométricos que permitan conseguir la misma finalidad de identificar-verificar la identidad de las personas con eficacia y seguridad, no será necesario iniciar tratamientos biométricos, y, por tanto, implantar este sistema se considerará contrario al RGPD. Este juicio debe ser el punto de partida de su análisis, pues sólo en caso de que estos métodos superen el citado triple juicio, se exigirá el cumplimiento de otros requisitos o garantías. Por otra parte, además de ser datos de categoría especial, el tratamiento de datos biométricos se considera de siempre alto riesgo a tenor de lo previsto en el apartado 4 del artículo 35, que dispone que “La autoridad de control establecerá y publicará una lista de los tipos de operaciones de tratamiento que requieran una evaluación de impacto relativa a la protección de datos de conformidad con el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 29/93 apartado 1”, dado que consta entre los tratamientos incluidos en la Lista de tipos de tratamiento de datos que requieren evaluación de impacto relativa a la protección de datos, hecho público por la AEPD en desarrollo de la previsión contemplada en el apartado cuarto del referido artículo 35. No hay duda del carácter de alto riesgo de los datos biométricos, habida cuenta de que todos los datos biométricos que se dirijan a identificar de manera unívoca a una persona cumplen con al menos dos de los 3 criterios contenidos en dicha lista, puesto que le son aplicables los correspondientes a los números 4, 5 y 10 de dicho documento (aquellos que impliquen el uso de categorías especiales de datos; el uso de datos biométricos y los que impliquen la utilización de nuevas tecnologías o un uso innovador de tecnologías consolidadas). Por tanto, desde la entrada en vigor del RGPD, cuando un tratamiento es de “alto riesgo”, como sucede con los métodos de control de presencia o acceso basados en métodos de fichaje biométricos, es obligatorio realizar siempre una evaluación de impacto (EIPD), de acuerdo con lo previsto en el artículo 35.1 del RGPD, debiendo esta EIPD ser previa al inicio del tratamiento, pero realizarse a su vez de forma continua. Y no bastará con realizarla, sino que la misma deberá considerarse válida, porque cumpla con los requisitos previstos en el citado artículo, en especial, que contenga como mínimo la información del art. 35.7 del RGPD, que señala lo siguiente: “La evaluación deberá incluir como mínimo:
16. a)una descripción sistemática de las operaciones de tratamiento previstas y de los fines del tratamiento, inclusive, cuando proceda, el interés legítimo perseguido por el responsable del tratamiento; b)una evaluación de la necesidad y la proporcionalidad de las operaciones de tratamiento con respecto a su finalidad; c)una evaluación de los riesgos para los derechos y libertades de los interesados a que se refiere el apartado 1, y
17. d)las medidas previstas para afrontar los riesgos, incluidas garantías, medidas de seguridad y mecanismos que garanticen la protección de datos personales, y a demostrar la conformidad con el presente Reglamento, teniendo en cuenta los derechos e intereses legítimos de los interesados y de otras personas afectadas”. En conclusión, el responsable que trate datos biométricos de carácter personal deberá ser consciente de que este tratamiento está calificado como un tratamiento de alto riesgo que requiere la previa elaboración y superación de una EIPD, que cumpla con todos los requisitos previstos por el citado artículo 35 del RGPD, y que está tratando datos de categoría especial, por lo que deberá justificar que concurre una de las excepciones del artículo 9.2 del RGPD, antes de iniciar o continuar con dicho tratamiento. Lo que se producirá, con carácter general, tanto cuando se empleen métodos de identificación basados en sistemas de detección de huella dactilar como los basados en sistemas de reconocimiento facial. 3.3. Análisis del supuesto presente: tratamiento realizado por el nuevo sistema de registro de jornada implantado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 30/93 3.3.1. Datos personales objeto de tratamiento. En el presente supuesto, consta acreditado que la empresa reclamada SIDECU es gestora y propietaria de la cadena de gimnasios Supera, que dispone de varios centros deportivos situados en el territorio nacional y fuera de éste, de acuerdo con lo que se ha hecho constar en la Diligencia de 2-4-25. En relación con el presente procedimiento, se han presentado un total de 9 reclamaciones contra la implantación del nuevo método de acceso mediante reconocimiento facial a 5 centros deportivos SUPERA gestionados por SIDECU (Entrepuentes de Sevilla, San Diego de Coruña, La Lanera de Palencia, Palero Superior de Valladolid, y Guadalquivir de Sevilla), así como 2 denuncias contra el sistema presentadas por FACUA y un particular. SIDECU ha presentado 3 escritos de contestación a los traslados de las reclamaciones que se le han realizado por esta Agencia, así como un escrito de respuesta al requerimiento de información realizado por el inspector durante la fase de actuaciones previas de investigación. Y ha reconocido los siguientes hechos: - En primer lugar, que ha implantado un nuevo método de acceso en 5 de sus centros deportivos basado en el software de reconocimiento facial desarrollado por ***EMPRESA.1, y que previamente a este sistema, implantó un método de acceso basado en la detección de huella dactilar que vino a sustituir el anterior de acceso mediante tarjeta identificativa. Incluso manifiesta haber habilitado a raíz de las reclamaciones presentadas en el centro de Entrepuentes de Sevilla un método de acceso mediante exhibición de DNI. Así pues, en su 1ª Respuesta al traslado de las reclamaciones, SIDECU, manifiesta que: “Con anterioridad al uso de este sistema de acceso los centros deportivos tenían instalados unos sistemas que también utilizaban complejos algoritmos matemáticos desarrollados por el fabricante NITGEN, en los que el usuario accedía a través de su huella dactilar, pero sin que, en ningún caso, el sistema pudiera almacenarla. Se trataba de un sistema similar al utilizado en la actualidad, pero el análisis de la plantilla numérica se realizaba por medio de la huella dactilar en vez del reconocimiento facial. (…) Sin embargo, el sistema presentó fallos de funcionamiento en el acceso (fallos mecánicos frecuentes, en todo caso), lo que motivó a SIDECU a buscar otro sistema que fuese similar y no invasivo o intrusivo en los derechos de los usuarios y, en particular, que no tratase datos o almacenase datos de los usuarios. Así, se obtuvo diferente información acerca de diferentes sistemas biométricos, optando SIDECU por el sistema de la empresa ***EMPRESA.1 y realizando un análisis de riesgos previamente a su adquisición. Conforme a las explicaciones detalladas por el fabricante, este sistema no almacena la imagen procesada del individuo como si ocurre en otro tipo de registros, no realizando pues tratamiento de datos personales. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 31/93 - En su 2ª Respuesta, contestando al requerimiento de información durante la fase de investigación, SIDECU amplía información, señalando que: “Actualmente el referido sistema de reconocimiento facial se encuentra instalado en cinco centros deportivos, siendo el número total de usuarios de dichos centros de 36.483. Uno de esos centros es el de Entrepuentes de Sevilla, el cual cuenta actualmente con 8.978 usuarios (a fecha 4/01/2024). De estos usuarios del centro deportivo Entrepuentes un total de 26 usuarios han manifestado su oposición al sistema de acceso, habilitándose por parte de SIDECU una alternativa de acceso mediante identificación en la recepción del centro mediante la exhibición del Documento Nacional de Identidad al personal de dicho centro deportivo y la apertura manual del tomo de acceso”. - De acuerdo con lo que se hace constar en las Diligencias de 30 de abril de 2024 y 13 de marzo de 2025, la entidad con la que la empresa reclamada dice haber contratado la implantación del nuevo método de acceso a los centros deportivos mediante reconocimiento facial es ***EMPRESA.1, que ha venido a sustituir al anterior de acceso mediante huella dactilar de NITGEN, de acuerdo con la información publicada en su sitio web (***EMPRESA.1.inc.com/es), oferta entre sus productos lectores biométricos y es especialista en desarrollar e implantar varios métodos de acceso que emplean técnicas de identificación basadas en el reconocimiento facial (***APP.2 y ***APP.3), además de ofertar métodos de acceso basados en la detección de huella dactilar (***APP.1), que son compatibles con las tarjeta identificativas (tarjeta RFID). - No obstante, la empresa reclamada no ha aportado los contratos suscritos con ***EMPRESA.1 para el suministro de este software de reconocimiento facial ni el previamente suscrito con NITGEN para el sistema de acceso mediante huella dactilar, ni aporta documentación acreditativa alguna al respecto. La reclamada no ha concretado tampoco cuáles fueron las fechas de implantación/puesta en marcha de cada método de acceso en los centros, y durante cuánto tiempo han coexistido en el tiempo, no habiéndose concretado cuál ha sido el ciclo de vida del tratamiento realizado por la reclamada con la finalidad de controlar el acceso de sus socios a sus centros. También manifiesta la reclamada que ha colocado carteles informativos en los 5 centros y aporta sus fotografías, pero no señala cuando, y en las fotografías no aparece fecha alguna de la que pueda deducirse cuando fueron difundidos en cada centro. No obstante, centrando el objeto del presente procedimiento en el sistema de reconocimiento facial frente al que se han presentado todas las reclamaciones y denuncias que forman parte del expediente, si existen evidencias de que este nuevo sistema de reconocimiento facial se implantó, al menos desde julio- agosto de 2023 y que permanece en la actualidad: o Las 9 reclamaciones y las dos denuncias se han presentado ante esta Agencia entre el 4/8/23 y 16/09/24. o La empresa aporta el intercambio de correos mantenido con los 9 reclamantes, en los que se observa que los primeros correos electrónicos remitidos por los mismos en relación con este nuevo sistema datan del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 32/93 mes de agosto de 2023 en adelante. - o La reclamación presentada por C.C.C., señala que hasta “aproximadamente julio de 2023”, el procedimiento de acceso a las instalaciones del centro de Entrepuentes ha sido mediante un torno controlado por tarjeta magnética y un sistema biométrico de reconocimiento de huella dactilar, y que a partir de entonces se instaló el nuevo método de acceso por reconocimiento facial sin que se informase a los socios sobre su utilización, por lo que estuvo siendo utilizado como sistema alternativo hasta que la empresa decidió implantarlo como método obligatorio para todos los socios, desactivando los métodos anteriores. o Y por otra parte, la presentada por F.F.F., señalando que el “En el Centro de Deporte y Ocio La Lanera de Palencia se ha implantado un sistema de acceso mediante el sistema de análisis biométrico facial (llevando ya instalado unos 10 años también el acceso mediante tarjeta y detección de huella). El análisis biométrico facial se ha realizado a los usuarios sin informarles en absoluto del riesgo de los datos que están aportando y sin un consentimiento escrito de ello”. Por otra parte, al contestar al requerimiento de información realizado por el inspector (escrito de 19/01/24), la empresa señala que no ha elaborado una Evaluación de Impacto del Tratamiento, por considerar que no trata datos personales de categoría especial, y aporta los siguientes documentos: o Como documento nº3. Hoja de registro de eventos por el programa ***EMPRESA.1. Donde se observan los siguientes tipos de datos que se captan al registrar la entrada al centro: FECHA/ PUERTA/ ID-DISPOSITIVO/TORNO ENTRADA/ GRUPO USUARIO(centro entrepuentes)/ USUARIO (códigos numéricos)/EVENTO (en todos aparece: Auntenticación 1:N (Cara). o Como documento nº 6, copia del Registro de Actividades del Tratamiento de GRUPO SIDECU, cuyo apartado 5 relativo al tratamiento de los datos personales de los clientes(abonados) en el que como fines del tratamiento se indica la “gestión de la relación con los clientes o potenciales clientes”. En la sección de categorías de datos tratados no se mencionan datos biométricos. o Como documento nº 5 dice aportar el análisis de riesgos realizado. Se trata de un documento de 2 páginas, fechado el 2-9-22 y realizado por SUPERA, que se titula “ANÁLISIS DE RIESGOS PREVIO A UNA EIPD”, que no contiene un apartado de descripción ni de finalidad del tratamiento, sino que se refiere a: “FECHA. 2-9-22 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 33/93 INICIATIVA: Implantación de sistemas de reconocimiento facial de ***EMPRESA.1 para el acceso a los centros deportivos de GRUPO SUPERA”. MOTIVACIÓN: Innovación en los sistemas de acceso a los centros deportivos de SUPERA como consecuencia de los fallos de seguridad existentes… DATOS PERSONALES OBJETO DE TRATAMIENTO: Se marca NO. CONCLUSIÓN: Según la información facilitada por el fabricante, la implantación del sistema de reconocimiento facial fabricado por ***EMPRESA.1 no supone ningún tratamiento de dato personal para los usuarios de los centros deportivos que accedan al mismo. El sistema genera una plantilla a partir de la imagen del usuario (la primera vez que accede) que no asocia a ninguna persona en particular, sino que simplemente analiza si el usuario que accede tiene o no derecho a ello. En particular, los datos extraídos por los lectores de ***EMPRESA.1 no podrían ser en ningún caso desencriptados ni desmontados, estando únicamente en posesión del fabricante las claves para el algoritmo, sin que se almacenase ningún tipo de información sobre la imagen de los usuarios. El sistema de reconocimiento facial tampoco se conecta a la base o listado de usuarios de los centros deportivos en ningún momento. Se aporta al presente informe el certificado emitido por el fabricante a tal efecto. En definitiva, no procede realizar ninguna Evaluación de Impacto al no existir tratamiento de datos al no poderse, en ningún caso, recuperar la imagen personal del usuario, ni siquiera deducir características físicas concretas de la misma, no pudiendo identificar a la persona. Se acuerda poner a disposición de los usuarios carteles informativos que informen acerca del nuevo sistema implantado y de sus características. Al no existir tratamiento de datos, ni poder ser considerado como tratamiento de categoría especial, tampoco procede recabar previamente el consentimiento del usuario. En cualquier caso, se podrá poner a disposición de los usuarios alternativas de acceso en los casos en los que se nieguen a utilizar este sistema. En definitiva, se deduce que el sistema propuesto no resulta intrusivo ni atenta contra los derechos de los usuarios de los centros deportivos al no tratar ni almacenar su imagen personal ni ningún otro dato que permita identificarlos.” - La única documentación técnica que hace referencia a las características, y funcionamiento del software de reconocimiento facial contratado con ***EMPRESA.1 son los certificados que aporta SIDECU de forma reiterada, en sus cuatro escritos de respuesta. Se trata de dos certificados emitidos por ***EMPRESA.1, en los que no consta fecha ni firma, redactados en inglés, que son los siguientes: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 34/93 1. Certificado de cumplimiento del RGPD, referido al funcionamiento y características técnicas de los sistemas de detección de huella dactilar y reconocimiento facial desarrollados por ***EMPRESA.1. 1. Certificado de Protección de Datos Faciales, centrado en el funcionamiento y características técnicas del sistema empleado para el reconocimiento facial, cuya publicación en el sitio web de ***EMPRESA.1 en castellano ha sido unida al procedimiento mediante Diligencia del inspector, expedida el 2 de noviembre de 2023. - Y por último, es de relevancia la información contenida en la respuesta dada a la reclamación del C.C.C., en la que al contestar sobre la supuesta filtración de datos de la base de datos de ***EMPRESA.1, la reclamada informa de que almacena las plantillas biométricas en sus servidores informáticos: “Les informamos que tras consultarlo con el fabricante y analizar los sistemas implantados, no es posible que ninguna supuesta filtración haya afectado a las plantillas correspondientes los usuarios de nuestros centros deportivos, por cuanto éstas se guardan en nuestros propios servidores informáticos (dotados de los oportunos sistemas de seguridad), sin que en ningún caso la compañía suministradora de los equipos de acceso biométrico haya podido tener acceso a los mismos”. Una vez expuestos todos los datos que la reclamada, y reclamantes han aportado acerca de la implantación del nuevo método de acceso de estos centros deportivos, la cuestión controvertida principal del procedimiento estriba en determinar cuál es la naturaleza jurídica de los datos que trata el software de reconocimiento facial ***EMPRESA.1 (***APP.2/***APP.3) empleado para realizar la identificación de los socios que acceden a los 5 centros deportivos de la reclamada en la actualidad. En los 4 escritos presentados ante esta Agencia y en todas las respuestas a las reclamaciones de los socios que se han aportado a este procedimiento, SIDECU niega que el software de reconocimiento facial empleado actualmente para permitir el acceso de sus socios trate datos biométricos personales de categoría especial, en incluso, que trate datos personales de ningún tipo, en base a la siguiente argumentación: - En su primera contestación al traslado de las tres primeras reclamaciones presentadas ante esta Agencia, SIDECU explica los motivos por los que entiende que “según les ha explicado el fabricante” el software ***EMPRESA.1 de reconocimiento facial no trata datos biométricos de categoría especial, ni tampoco datos personales, y que por ello entiende que no genera ningún riesgo, y que no deben cumplirse los requisitos previstos en la normativa de protección de datos personales. En términos literales: “Si bien es cierto, que en la documentación de alta de usuario no aparece contemplada la autorización para la recogida de datos personales relativos al uso de datos biométricos o de categorías especiales, ello es debido a que, atendiendo a las características del funcionamiento del sistema de acceso, no solo no se guarda la imagen de los usuarios por parte de SIDECU, S.A. como teórico responsable del tratamiento, sino que no se C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 35/93 conserva ningún tipo de dato personal, pues la plantilla generada por el sistema no permite la asociación a ninguna persona concreta. Tal y como señaló esa Agencia Española de Protección de Datos en su Informe 36/2020, no se trata de un tratamiento de datos como tratamiento de categoría especial, pues no identifica, en ningún caso, de manera unívoca a una persona física. Los CENTROS SUPERA únicamente acceden a registros de entrada y salida y presencia en las instalaciones obteniendo exclusivamente información correspondiente a las horas y número de personas, pero no a su identificación personal. Asimismo, el segundo ordinal del artículo 4 del RGPD, señala que se entenderá por “tratamiento” de datos: ”Cualquier operación o conjunto de operaciones realizadas sobre datos personales 0 conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción . Es por dicha razón que no puede entenderse como tratamiento de datos personales el caso que nos ocupa, pues no se encuentra dentro de la categoría de los mismos. Reiteramos que, a partir de las plantillas no se puede, en ningún caso, recuperar la imagen personal del usuario ni siquiera deducir características físicas concretas de la misma. No hay pues tratamiento de dato personal alguno. La generación de las plantillas mediante los complejos algoritmos matemáticos desarrollados por ***EMPRESA.1 no permite que el sistema guarde la imagen ni que la plantilla generada se asocie a usuarios concretos, por lo que no puede existir tratamiento de datos si éstos no se someten a ninguna de las operaciones recogidas en el artículo antes referido. El funcionamiento de este sistema queda al margen de la aplicación del artículo anteriormente mencionado del RGPD, ya que, en ningún caso, puede someterse al cumplimiento de lo dispuesto por la normativa en materia de protección de datos a un sistema de mero control de acceso que no trata dato personal alguno, pues ni los recoge, ni los conserva, ni permite la identificación de las personas. En consecuencia y al no existir ningún tratamiento de datos personales, no resulta pues aplicable el contenido de la normativa relativa a protección de datos personales ni, por ello, el deber de notificación de tratamiento de datos, motivo por el cual nuestra entidad no ha procedido previamente a solicitar su consentimiento para el uso de su imagen pues, como indicamos, no se trata ni almacena en ningún caso.” - En el escrito de 19/01/24 contestando al requerimiento de información realizado durante la fase de investigación, al describir el funcionamiento técnico del programa, se insiste en que el sistema no almacena la imagen, y se señala que el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 36/93 algoritmo NIR patentado por el fabricante obtiene un “modelo numérico que funciona como una clave propia de cada usuario con la finalidad de acceso a las instalaciones”, y “plantilla que funciona como una clave alfanumérica” sin ser consciente de que ésta es la plantilla biométrica que se considera el verdadero dato biométrico personal, en lugar de la imagen. No obstante, contrariamente a lo que mantiene la reclamada, lo que realmente se deduce de la documentación técnica de la fabricante es que el software de reconocimiento facial desarrollado por ***EMPRESA.1 trata datos biométricos personales considerados como de categoría especial por el artículo 9.1 del RGPD. Es de señalar que los certificados del fabricante, que están redactados en inglés, se describe lo que es un sistema de procesamiento biométrico común, al que se aplica un algoritmo que genera plantillas biométricas y las almacena, sin almacenar las imágenes de las que toma la muestra, y otras herramientas criptográficas que cifran posteriormente las plantillas biométricas de los socios. Pero en ningún caso se afirma en estos certificados que el sistema no trate datos personales de ningún tipo, como alega la reclamada. A la vista de los dos certificados aportados, no cabe duda de que al emplear el software de reconocimiento facial desarrollado por ***EMPRESA.1 como método de identificación de los socios que acceden y salen de las instalaciones de sus centros deportivos, SIDECU está tratando los datos biométricos personales de los socios que emplean dicho método de acceso, puesto que se cumplen los 3 requisitos que establece el artículo 4.14 del RGPD: 1. En primer lugar, los datos que el programa utiliza para realizar las comprobaciones de identidad se basan en características físicas, fisiológicas o conductuales de una persona física. La propia empresa reclamada reconoce que estuvo utilizando durante un tiempo un programa como método de identificación de las personas que acceden a sus centros deportivos basado en la lectura de la huella dactilar de los socios, y, que posteriormente y ante los fallos de funcionamiento detectados, ha contratado e implantado un método de acceso a 5 de sus centros deportivos basado en la identificación mediante reconocimiento facial, que requiere la lectura del rostro de los socios para poder ser identificados y permitirles dicho acceso. Por lo que no cabe duda de que ambos métodos, el anterior y el actual, tratan datos personales basados en rasgos biológicos de los socios. Centrándonos en el actual sistema de reconocimiento facial cuya implantación ha sido objeto de las reclamaciones que dan origen al presente procedimiento, el certificado de protección de datos faciales de SUPERA no deja lugar a dudas, como veremos seguidamente al transcribirlo, que el sistema obtiene un patrón facial a partir de una muestra que se obtiene de los puntos de los extremos de la cara. 2. En segundo lugar, de la documentación aportada se desprende también que la finalidad del sistema de reconocimiento facial (al igual que los anteriores de huella dactilar/tarjetas magnéticas) es “la identificación de los socios que entran C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 37/93 /salen de los centros deportivos al objeto de permitirles acceder a los mismos” (o lo que es lo mismo, en palabras del artículo 9 del RGPD, la identificación unívoca de los socios). En el presente supuesto, al contestar a requerimiento de investigación SIDECU manifiesta que el software empleado para realizar el reconocimiento facial se basa en un sistema de identificación de 1 a varios (1-N), por lo que no hay duda alguna de que se dirigía a identificar de forma unívoca a los socios que tienen acceso al club. Y al describir el funcionamiento de ***EMPRESA.1 señala que: “el sistema analiza puntos concretos de la imagen del individuo y crea un modelo numérico que funciona como una clave propia de cada usuario con la finalidad de acceso a las instalaciones.”, y “Así, el proceso posterior de identificación de la persona consiste en que, tras ponerse el usuario delante del sistema de reconocimiento facial, éste crea una nueva plantilla que se compara con las ya almacenadas. Si esta operación genera un resultado positivo, se considera al usuario correctamente identificado y se permite el acceso al centro deportivo”. Ello se deduce así mismo del documento nº3 que fue aportado por la misma junto con tal escrito: Hoja de registro de eventos por el programa ***EMPRESA.1. Donde se observan los tipos de datos que se captan al registrar la entrada al centro, en el que aparece como evento registrado en todos los casos: Autenticación 1:N (Cara). Así como, del proceso de identificación que describen los certificados del fabricante a los que se hará referencia seguidamente. 3. En tercer lugar, porque el software de reconocimiento facial (***APP.2/***APP.3) de ***EMPRESA.1 que ha contratado para servir de método de identificación de los socios que accedan a sus centros deportivos realiza un procesamiento técnico de las imágenes en bruto obtenidas de los socios (fotografía de la cara), mediante el que se extrae los puntos de datos faciales de las imágenes captadas en bruto y se crea una plantilla biométrica o patrón facial a partir de estos datos. Patrón facial que se genera y que se almacena para realizar cada lectura o comprobación de identidad que se realiza cada vez que se registra la entrada y salida del centro utilizando los dispositivos de reconocimiento facial instalados por la empresa. Ello se deduce claramente de la documentación técnica del fabricante en los que ***EMPRESA.1 certifica que el software empleado genera una plantilla o patrón biométrico en forma de código identificador de cada socio, que se encripta y almacena: o C/ Jorge Juan, 6 28001 – Madrid Por una parte, el “GDPR Compliance Statement” (Certificado de cumplimiento del RGPD), emitido por ***EMPRESA.1, señala expresamente que durante el proceso de registro se genera una plantilla (template) de la cara/huella que no se guarda en el servidor o en el dispositivo directamente. Sino que la plantilla se crea, y se encripta en base a un algoritmo diferente en función de donde va a ser almacenada (en el servidor, dispositivo, o smartcard), que son los diferentes medios que www.aepd.es sedeaepd.gob.es 38/93 permite adquirir la fabricante de acuerdo con lo que consta en los servicios ofertados en su página web según la Diligencia expedida en el presente procedimiento. (…) Each element of sensitive data handled by the ***EMPRESA.1 system is protected by the following mechanisms: - Fingerprint / Face templates: During the process of enrollment, the raw image of the fingerprint / face is never stored in the device or server. Instead, a template is created, which is also encrypted by 128bit AES, 256bit AES, DES/3DES depending on the location where it is stored (Device, Server, SmartCard). (Traducción al español por esta Agencia): “Cada elemento de datos sensibles manejados por el sistema ***EMPRESA.1 está protegido por los siguientes mecanismos: Plantillas de huellas dactilares / caras: Durante el proceso de inscripción, la imagen en bruto de la huella digital / cara nunca se almacena en el dispositivo o servidor. En su lugar, se crea una plantilla, que también está encriptada por AES de 128 bits, AES de 256 bits, DES/3DES dependiendo de la ubicación donde se almacene (Dispositivo, Servidor, SmartCard). o Y por otra parte, en el “Face data protection certificate” (Certificado de protección de datos faciales), se detalla exactamente como se produce el proceso de generación, almacenamiento del patrón facial o plantilla, así como el proceso de comparación realizado para verificar la identidad: La versión original aportada indica que: “***EMPRESA.1 Inc(hereafter ***EMPRESA.1), certify that ***EMPRESA.1 ***APP.2 extracts the face data points from the raw images and create a template from this data and does not keep the raw images in the device. The face template is not a raw image. It is created by using ***EMPRESA.1’s patented NIR technology and algorithm, and the face template is a dataset which is a fusion of 2D and 3D feature of a user's face which is acquired by a visual camera and NIR camera. In order to secure this template, cryptographic tools and encryption methods are used such as 256bit AES encryption making it very difficult to access the necessary data to reverse engineer the process. The ability to reduplicate the original image and prove the identity via a face recognition expert is not possible. ***APP.2 also calculates a matching score when executing an authentication. The matching score is a calculation of the match between a pre-registered face template and the actual face to be authenticated. The matching score helps protect ***APP.2 against spoofing. ***EMPRESA.1 also certifies that FAR(False Acceptance Rate) and FRR(False Rejection Rate) in face recognition algorithm in ***APP.2 are as below. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 39/93 ▶ FRR: Less than or equal to 1% ▶ FAR: Less than or equal to 0.00002% (1/5,000,000.” Mediante diligencia del inspector de 12 de diciembre de 2023 se refleja la versión en español de este mismo certificado que se halla publicada en el sitio web de ***EMPRESA.1, que coincide con el aportado por la reclamada en inglés: “***EMPRESA.1 Inc., (en adelante ***EMPRESA.1), certifica que ***EMPRESA.1 Face Station 2 y ***APP.3 extraen los puntos de datos faciales de las imágenes en bruto y crean una plantilla a partir de estos datos. La plantilla de rostro no es una imagen en bruto. Se crea utilizando la tecnología y el algoritmo NIR patentados de ***EMPRESA.1. La plantilla de la cara es un conjunto de datos que se obtiene de la fusión de las características en ZD y 3D del rostro de un usuario. adquiridos a través. de una cámara visual y una cámara NIR… Para asegurar esta plantilla, se utilizan herramientas criptográficas y métodos de encriptación. como AES de 256 bits. lo que dificulta el acceso a los datos necesarios para realizar ingeniería inversa en el proceso. La capacidad de duplicar la imagen original para luego tratar de autenticar suplantando identidad de un usuario en un reconocimiento facial experto no es posible. ***APP.2 y ***APP.3 también calculan una puntuación de coincidencia al ejecutar una autenticación. La puntuación de coincidencia es un cálculo entre una plantilla de cara previamente registrada y la cara actual que se pretende autenticar.(…) ***EMPRESA.1 también certifica que el FAR (Tasa de Falsa Aceptación — False Acceptance Rate por sus siglas en inglés) y FRR (Tasa de Falso Rechazo - False Rejection Rate por sus siglas en inglés), en el algoritmo de reconocimiento facial en ***APP.2 y ***APP.3 son los siguientes: FRR: Menor o igual al 196 — FAR; Menor :— igual al 0.00002% (1/5,000.000)(…)” A la vista de las evidencias aportadas, no cabe duda de que la reclamada ha interpretado erróneamente la documentación técnica o instrucciones del fabricante del software de reconocimiento facial así como el contenido del informe número 0036/2020 del gabinete jurídico de esta Agencia que cita en sus respuestas, que fue dictado en relación con el expediente E/05454/2021 de fecha 27 de julio de 2021, con ocasión de una consulta realizada sobre el uso de datos biométricos por parte de universidades e instituciones educativas (reconocimiento facial como método de evaluación de los alumnos), realizando un análisis del concepto y algunos de los requisitos de los datos biométricos de categoría especial del artículo 9.1 del RGPD que habían sido objeto de consulta. A la vista de las manifestaciones realizadas, se observa que la reclamada ha llegado a la conclusión de que este software no trata datos biométricos de categoría especial, porque parte de varias premisas erróneas: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 40/93 - Primero, al entender que el dato biométrico personal (de categoría especial) al que se refiere el artículo 4.14 del RGPD es sólo la imagen de la cara de los socios o abonados, en lugar de considerar también la plantilla biométrica o patrón facial que se genera por el programa. La argumentación de la empresa se ha basado principalmente en entender que el dato biométrico personal al que se refiere el artículo 4.14 del RGPD es la imagen de la cara obtenida en bruto (información biométrica en bruto), y no la plantilla biométrica (patrón facial extraído de varios puntos de la imagen de la cara), por lo que al no almacenarse las imágenes, considera que no está tratando datos biométricos de categoría especial. Cuando es precisamente al revés, puesto que como ya se ha explicado en el Fundamento de Derecho 3.1 es la plantilla/patrón facial la que es el dato biométrico de categoría especial, y no la imagen (ni los fragmentos tomados de la misma). Para argumentar que ***EMPRESA.1 no trata datos biométricos de carácter personal, la parte reclamada describe el funcionamiento del programa sin percatarse de que está describiendo lo que es un sistema de procesamiento biométrico que genera, almacena y explota una plantilla biométrica para realizar la identificación de los socios que acceden a su centro, que cumple con las 3 características y requisitos del artículo 4.14 del RGPD (y por ende, del artículo 9.1 del RGPD). Y por ello, tal y como se ha aclarado en el apartado 3.1 de este acuerdo, siempre que se emplee un sistema que genera este patrón facial o plantilla biométrica que se utiliza para verificar la identidad de las personas que acceden/salen de un recinto, se cumplirán los requisitos del artículo 4.14 del RGPD, y del artículo 9.1 del RGPD, lo que es el caso planteado en este supuesto. - En segundo lugar, entiende erróneamente que el código alfanumérico que genera el sistema (plantilla o patrón facial) no es un dato personal de acuerdo con la definición del artículo 4.1 del RGPD, toda vez que “a partir de las plantillas no se puede, en ningún caso, recuperar la imagen personal del usuario ni siquiera deducir características físicas concretas de la misma”. Señala la reclamada que: “Según la información que nos transmitió el fabricante, se crea un modelo con el algoritmo NIR, patentado por este fabricante, que utiliza algoritmos matemáticos complejos, generando un modelo numérico al usar información de alguno de los puntos de la captura. En ningún momento puede deducirse de este modelo características físicas de la persona.(…) Asimismo, a partir de las plantillas no se puede, en ningún caso, recuperar la imagen personal del usuario ni siquiera deducir características físicas concretas de la misma. No hay pues tratamiento de dato personal alguno”. No obstante, como se ha dicho anteriormente, el hecho de que no se pueda reconstruir la imagen de la huella (información biométrica en bruto) a partir de la muestra capturada por los dispositivos para generar el patrón biométrico, es habitual en los sistemas de procesamiento de datos biométricos, así como no C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 41/93 almacenar las imágenes originales completas, pero ello no implica que: (
18. i)no se traten datos biométricos de carácter personal, puesto que se genera y almacena un patrón biométrico, aunque no se almacene la imagen de la cara; (
19. ii)ni tampoco implica que no pueda ser descifrada la identidad del titular de la cara como alega la reclamada, puesto que el patrón biométrico permite singularizar a un individuo y verificar que es él y sólo él, a través de “elementos propios de la identidad física, fisiológica, genética, psíquica” que se manifiestan bajo la forma de un código alfanumérico, y este código es susceptible de ser descifrado por un sistema automatizado, sin necesidad de disponer de la muestra o dato en bruto de la huella. Lo que plantea la reclamada es necesario en los sistemas tradicionales de verificación manual o presencial realizados persona-persona (por ejemplo, mediante la comprobación de su DNI por el personal de la empresa), en los que si es necesario comparar imágenes, por lo que sería necesario conocer las características físicas de la persona para comprobar su identidad por otra persona. Pero ello