PS-00413-2022

1/50  Expediente N.º: PS/00413/2022 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Doña A.A.A., (en adelante, la parte reclamante), con fecha 14/05/2021, interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra METROPOLITAN SPAIN, S.L., con NIF B62936737 (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes: La parte reclamante es socia del gimnasio METROPOLITAN CLUB, en c/ Cisneros 67 de Santander. Se incorporó a ese centro en septiembre de 2020, y hasta el día 6/05/2021, se accedía mediante una pulsera y una tarjera identificativa en el ordenador de recepción. Desde la citada fecha, se ha impuesto como requisito a los usuarios o el acceso a sus instalaciones mediante huella dactilar. Se ha negado a ceder los datos de su huella, al entender que se trata de una petición excesiva de datos biométricos y le han comunicado que van a dar de baja como socia, sin más alternativa. Aporta copia de hoja de reclamación ante Consumo de 6 de mayo del 2021, ejemplar para enviar por el reclamante en 10 días a la D. Gral. que señala el formulario, sin que conste su presentación. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5/12, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 7/06/2021, como consta en el acuse de recibo que obra en el expediente. No se ha recibido respuesta a este escrito de traslado. TERCERO: Con fecha 14/08/2021, de conformidad y a efectos del artículo 65.5 de la LOPDGDD, la reclamación se consideró admitida a trámite. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/50 cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: Como consecuencia del requerimiento de información efectuado por la inspección a METROPOLITAN SPAIN, S.L., con fecha 21/03/2022, METROPOLITAN SPAIN, S.L. remite a esta Agencia la siguiente información y manifestaciones: 1. Indican que aportan información de METROPOLITAN al haber sido requerida, pero que acompañan otra información de LLEFISA SL, que es al titular del CLUB AQUA FLORANES donde la reclamada fue socia de 2/09/2020 a 1/06/2021. Indica que “la biometría se instaló en dicho Club en febrero 2021 como único modo de acceso unido a la pulsera” (punto 23 de su respuesta). 2. Precisa METROPOLITAN que, si bien el tratamiento de datos de salud está en principio prohibido, que el artículo 9.2.

1. a)del RGPD señala la excepción, limitándose a citarlo. Añade que: “la base de legitimación (artículo 6 del RGPD) en que se amparan estos tratamientos de datos personales, en este caso es el consentimiento del interesado al facilitar su huella para establecer el patrón biométrico y al firmar la normativa de socios donde se informa de dicho tratamiento.” 3. Aporta COPIA DE ESCRITO DE “METROPOLITAN SPORT CLUB & SPA”, (en lo sucesivo, el contrato) figurando la referencia en margen derecho a LLEFISA SL. Se contienen los datos personales de la reclamante. Así, en la parte “objeto del contrato” “fecha de alta” 2/09/2020”. Consta que la titular de la cuenta bancaria que figura autoriza a LLEFISA a realizar el cargo del pago de la cuota contratada. También consta: - “PROTECCIÓN DE DATOS: De acuerdo con la normativa vigente en protección de datos, podrá ejercer los derechos de acceso, rectificación, limitación, supresión, portabilidad y oposición al tratamiento de sus datos de carácter personal, así como revocación del consentimiento prestado para el tratamiento de los mismos, dirigiendo su petición a LLEFISA, SL., en C/ Cisneros nº 67, 39007 Santander o al mail dpo@clubmetropolitan.net. "Podrá presentar reclamación ante la AEPD". -Informa de la “NORMATIVA METROPOLITAN AQUA”, que inicia con: “1. Por mediación del presente documento, LLEFISA, S.L. (METROPOLITAN AQUAFLORANES) prestará los servicios de utilización de sus instalaciones y maquinaria deportiva con acceso al centro sito en C/ Cisneros nº 67, 39007 Santander” -En su punto 5, de “información y funcionamiento del Club”:” Todos los socios disponen de una pulsera personal e intransferible. Para poder acceder a las instalaciones es necesario el uso de un sistema biométrico junto con la pulsera de acceso. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/50 -Se alude a la condición de socio de METROPOLITAN, y se mencionan otros centros e instalaciones de METROPOLITAN en otras ciudades pudiendo tener acceso en los mismos. 4.Aporta también, un documento firmado por reclamante sobre: “AUTORIZACIÓN AL TRATAMIENTO DE DATOS PERSONALES” (en lo sucesivo, clausula protección de datos) donde consta que: “Le informamos que LLEFISA, SL cumple todos los requisitos establecidos en la normativa de Protección de Datos de carácter personal, RGPD 2016/679 (UE) y que todos los datos bajo nuestra responsabilidad vienen siendo tratados de acuerdo con las exigencias legales, guardándose las debidas medidas de seguridad que garantizan la confidencialidad de los mismos. Los datos personales que ha facilitado de nombre y apellidos, DNI, dirección postal y/o electrónica, así como el número de su tarjeta de crédito, serán tratados por LLEFISA SL, SL, con CIF B60422417 en c/ Cisneros nº 67, 39007-SANTANDER con la finalidad de gestionar su solicitud de incorporación como socio del gimnasio y finalidades inherentes como la gestión y cobro de recibos, la entrada en las instalaciones, la participación en eventos y máster class, etc. Con la finalidad de proteger la seguridad de las personas que acceden al centro y sus pertenencias, así como las propias instalaciones, METROPOLITAN opta por un sistema de acceso mediante el registro biométrico (código hash encriptado) y una pulsera personal que complementará el uso biométrico... Dichos datos biométricos no serán objeto de tratamiento en ningún caso por parte de METROPOLITAN. La biometría y la pulsera deben actuar conjuntamente para poder acceder al centro, no siendo operativos de manera independiente. Son condiciones del servicio necesarias para el buen funcionamiento del centro, y que en caso de no aceptarse nos impide prestar el servicio al socio. De acuerdo con la normativa vigente en protección de datos, podrá ejercer los derechos de acceso, rectificación, limitación, supresión, portabilidad y oposición al tratamiento de sus datos de carácter personal, así como revocación del consentimiento prestado para el tratamiento de los mismos, dirigiendo su petición a LLEFISA SL, c/ Cisneros nº 67, 39007-Santander.” 5. Manifiesta METROPOLITAN que “La finalidad del tratamiento es el acceso inequívoco e intransferible del usuario a las instalaciones del gimnasio.” 6. En relación con el funcionamiento del sistema y al proceso de acceso, manifiesta METROPOLITAN:  La ficha del usuario se almacena en el software PROVIS, el patrón se genera a través del algoritmo de encriptación, conocido solo por el fabricante NITGEN, imposibilitando que se pueda recuperar externamente para cálculo o reconstrucción de la huella.  “Cuando el usuario accede al gimnasio, se valida primero con una pulsera RFID. Una vez pasada la pulsera e identificado el usuario, si este tiene registrado en el sistema la necesidad de comprobar su patrón de huella construye C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/50 en tiempo real un nuevo patrón-que no se guarda- y que se compara 1 a 1 con el patrón almacenado.” A partir de la baja de un socio, ya no se conserva su patrón de huella. “Actualmente los usuarios no tienen otro sistema de acceso a las instalaciones del gimnasio.” 7. Aporta la siguiente documentación: 7.1- REGISTRO DE ACTIVIDADES DEL TRATAMIENTO (RAT) DE LA ACTIVIDAD “GESTIÓN ACCESO SOCIOS A CLUB”, donde consta, entre otros, que: a. El responsable del tratamiento es LLEFISA S.L. b. El ejercicio de derechos se realiza frente a METROPOLITAN SPAIN S.L., difiriendo del contenido que figura en la información proporcionada a la reclamante. c. El encargado del tratamiento es PROYECTOS VISUALES ZARAGOZA S.L. d. La base jurídica es el contrato mercantil y el consentimiento. e. Que la finalidad del tratamiento es la gestión de los datos personales de los abonados para permitirles el acceso a la instalación. f. Que entre los datos tratados consta la huella dactilar. g. Que en el apartado de “Periodo de conservación de los datos” consta: “Durante la vigencia de la condición de socio. Cuando se cause baja por cualquier motivo el socio entregará la pulsera de acceso y se eliminarán.” En el apartado de “categorías de destinatarios”, figura que “no se prevén”, igual que respecto a “transferencia internacional de datos”. 7.2- ANÁLISIS DE RIESGOS, fechado a 30 de enero de 2020, figura referencia a que el análisis “realizado por METROPOLITAN SPAIN SL”, y en el margen figura el nombre de la Compañía que lo realiza. En el apartado de “RIESGOS DE CUMPLIMIENTO NORMATIVO” y en el apartado “asociados al cumplimiento normativo” indica que se trata del uso de la huella digital, y, además: - “RIESGO: No facilitar toda la información requerida por los apartados 1 y 2 del art. 13 en el momento de recoger los datos, cuando se obtengan del interesado ¿Por qué? La cláusula informativa facilitada por la empresa para el tratamiento de datos biométricos es completa, pero en algunos casos se deberá explicar personalmente. Medidas correctoras: Facilitar información completa. Tener en cuenta que la información debe facilitarse también a los socios ya existentes”. 7.3- EVALUACIÓN DE IMPACTO, fechada a 5/02/2021, “Metropolitan Spain SL”, “AQUA FLORANES. Santander, perteneciente a LLEFISA SA. Sistema de apertura mediante control biométrico” (pág. 48 punto 6) realizado por la misma empresa que el análisis de riesgos visto en el punto 7.2, firmado por DPD de METROPOLITAN. Consta que: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/50 “la EIPD se realiza sobre el tratamiento de los datos de los socios del responsable del tratamiento con la finalidad de controlar el acceso al gimnasio. Los datos tratados son la huella dactilar o aquellos datos identificativos necesarios a incluir en la pulsera de identificación del socio, con la finalidad de que el sistema reconozca al interesado y permita, mediante esta identificación, acceder al gimnasio. Asimismo, se identifica fecha y hora del acceso” “2.- Procedimiento de comparación de los datos captados con los datos almacenados El usuario (socio) cuando accede al gimnasio se válida primero con una pulsera RFID. Una vez pasada la pulsera e identificado el usuario, si éste tiene registrado en el sistema la necesidad de comprobar su patrón de huella construye en tiempo real un nuevo patrón que se compara uno a uno con el patrón almacenado a través de los algoritmos internos de NitGen. Este patrón es generado en tiempo real y no se guarda” “3.- Criterios para la codificación y el almacenamiento de la información captada Se almacena en el perfil del usuario un patrón generado a través del algoritmo de encriptación en posesión del fabricante NitGen. No se almacenan datos en bruto.” Según indica el informe, LLEFISA es responsable del tratamiento en el gimnasio al que pertenecía la reclamada y en el de “Palacio Santa Ana Madrid”. También alude a otros gimnasios en los que el responsable es METROPOLITAN. a. Existe un riesgo residual para los derechos y libertades que no excede de un nivel medio. b. Que, con relación a la necesidad y proporcionalidad del tratamiento, manifiesta que: “Partiendo del cumplimiento de una de las condiciones de licitud del tratamiento tasadas en el artículo 6, numeral 1º letra b), dado que el mismo se produce como actividad encuadrada dentro de la ejecución del contrato de socio, que el socio lee y firma en el momento de darse de alta como socio y que regula la relación entre el interesado, el socio, y el responsable del tratamiento, el Club METROPOLITAN AQUA FLORANES, debemos analizar la necesidad y la proporcionalidad de este tratamiento. A Io anterior, hay que añadir que los datos son recogidos para el acceso y uso del gimnasio y los socios no pueden ser identificados para otros fines distintos a dicho acceso, permaneciendo en tanto que socios del gimnasio; en el contrato se informa del procedimiento de huella digital y si el cliente está conforme firma el contrato y accede al Club, y si no está conforme, no pasa a ser socio. “ 7.4- Aporta copia de contrato de encargo del tratamiento, firmado y fechado a 30 de diciembre de 2018, siendo el responsable del tratamiento LLEFISA. S.L., (Metropolitan Aqua Floranes) y encargado del tratamiento PROYECTOS VISUALES ZARAGOZA S.L. En el mismo constan, entre otros apartados: a. El objeto del encargo es el servicio de instalación y mantenimiento de la aplicación de gestión y control de acceso a las instalaciones deportivas. b. Que el encargado deberá tratar los datos existentes en la aplicación PROVISPORT cuyo contenido habitual son datos de socios y usuarios del Club de “las siguientes tipologías: datos de identificación y contacto, accesos biométricos al club deportivo (cóC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/50 digos hash) …” 7.5.- Informe de “octubre 2019” firmado por la DPD de METROPOLITAN, sobre “viabilidad de la implantación de un sistema biométrico para acceder a las instalaciones de los centros Metropolitan”. Entre otras indicaciones señala que a los datos relativos a huellas dactilares se les debe aplicar el régimen previsto para las categorías especiales de datos previsto tanto en el artículo 9 como en otros artículos del RGPD. De acuerdo con estas consideraciones, el tratamiento de datos biométricos requerirá no solo la concurrencia de una de las bases jurídicas establecidas en el art. 6 del RGPD, sino que, también deberán concurrir alguna de las excepciones previstas en el art. 9.2 del RGPD. 7.6- Escrito de NITGEN Biometrics Solutions, de NITGEN Co, Ltd., con sede en Corea del Sur, sobre los datos de la huella extraídos por sus lectores. Indica que “no pueden ser desencriptados ni desmontados por ninguna entidad no autorizada”, y que “las únicas claves para el algoritmo están en posesión de NITGEN y no están disponibles para el personal que distribuyen o compara el equipo” “Una vez escaneado y convertido al patrón de huella de NITGEN, la imagen escaneada se destruye. Todo lo que queda es un modelo matemático que no puede ser decodificado para obtener la imagen de la huella original”. - “Que el número total de personas con huellas dactilares almacenadas actualmente son 1356.”, que coincide con el número total de usuarios dados de alta. QUINTO: Como consecuencia del requerimiento de información efectuado a METROPOLITAN SPAIN, S.L., por la inspección, con fecha 10/05/2022, la citada entidad, remite a esta Agencia la siguiente información y manifestaciones: 1.Aporta copia de “contrato de corresponsabilidad” entre LLEFISA S.L. (METROPOLITAN AQUA FLORANES), y METROPOLITAN SPAIN, S.L., firmado y fechado a 25 de mayo de 2018. En el EXPONEN, figura: “Ambas empresas han determinado conjuntamente los objetivos y los medios del tratamiento, por lo que son consideradas corresponsales del tratamiento de los socios del Club deportivo AQUA FLORANES” En clausulas, primera, figuran marcadas cruces en: “Objetivo común con respecto al procesamiento” “Procesamiento de datos personales para el mismo propósito” “Utilización del mismo conjunto de datos personales - base de datos de socios-para el procesamiento entre ambos responsables” “Diseño del proceso conjunto” “Reglas comunes de manejo de información entre ambos responsables” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/50 En la segunda, se indica que son corresponsables respecto del tratamiento de datos personales relativos a la gestión de socios del “CLUB AQUA FLORANES.” “los tratamientos a realizar son”: alta y baja socio, control acceso a instalaciones y gestión cuotas. En la cláusula tercera: “0bligaciones de los corresponsables del tratamiento”, se indica. - Los corresponsables se obligan a responder a los interesados ante el ejercicio de sus derechos ante cualquiera. - “Los corresponsales en el momento de la recogida de los datos, deben facilitar la información relativa a los tratamientos de datos que se van a realizar, incluyendo la identidad de los diversos responsables del tratamiento, para ello se hace mención en las altas de socios a LLEFISA SA, titular de la instalación de Santander y a METROPOLITAN SPAIN SL titular de la marca METROPOLITAN y de la gestión de centros deportivos” - “Los corresponsables notificarán al resto de los responsables del tratamiento, las violaciones de seguridad de datos…” sin precisar quienes son esos otros “responsables del tratamiento” En el 6, se indica: “realizar conjuntamente las evaluaciones de impacto relativas a la protección de datos, cuando proceda” 2.Aporta copia de facturas y pedidos y contratos a nombre de METROPOLITAN SPAIN SL DE 19/01/2017, “DOS SERVIDOR sql”, SERVICIO CONTRATADO “CLOUD”, según METROPOLITAN, “servidores donde está ubicado el software de PROVIS”. 3. Que “la ficha de usuario” en el software PROVIS son una serie de registros relacionados entre sí en una base de datos, siendo el software PROVIS un “ERP de gestión, facturación y control de accesos especializados para centros deportivos”. -En la base de datos del software PROVIS se almacena un patrón generado a través del algoritmo privado del fabricante NitGen. En la pulsera RFID que portan los socios solo se almacena un UID (identificador único), no se almacena ningún patrón. Añade que “El lector RFID activa el lector de huella, este no da un acceso directo”. 4. Manifiesta que la opción de configuración, “Permite búsqueda en frio”, que significa búsqueda de huellas de tipo 1: N, no está seleccionada. Aporta captura de pantalla de sus sistemas donde consta la opción “Permite búsqueda en frio” sin seleccionar. 5. Aporta extracto de base de datos con las 100 últimas bajas de usuarios donde constan los campos “ID Persona” y “Última fecha de baja”. Aportan extracto de base de datos con los 100 últimos borrados de huella con los campos, entre otros, “Fecha” e “ID Persona”. Que, en el extracto de borrado de huellas, el campo “Fecha” toma valores entre “25/05/2021” y “25/04/2022”. Se comprueba en dichos extractos que constan usuarios dados de baja de los cuales no consta borrado de su huella. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/50 6. Se aportan tres extractos de base de datos solicitados con relación al “número total de personas de las cuales tienen huellas dactilares almacenadas”, “número total de personas dadas de alta en el sistema de acceso por huella”, y “número total de personas dadas de alta como usuarios del gimnasio” siendo dichos extractos aportados idénticos y con un número total de personas en cada caso de 1387. Que los tres extractos anteriores constan obtenidos con los mismos parámetros de búsqueda y consta en cada uno de los tres listados el siguiente texto; “Generado el jueves, 05 de mayo de 2022 a las 12:38:00”. 7. Con fecha 13/07/2022, se comprueba que en la url https://provis.es/wpcontent/uploads/2019/05/MANUAL-Completo.pdf consta el manual del software PROVISPORT para “gestión y control de accesos en instalaciones deportivas” donde consta una pantalla del software similar a la aportada por el denunciado y consta asimismo en este manual que “Si permite búsqueda en frío el lector de huella, permitiendo de esta manera, la posibilidad de poder autentificar clientes utilizando únicamente su huella dactilar sin introducir previamente ningún número PIN”. SEXTO: Con fecha 3/08/2022, la Directora de la AEPD acordó: “INICIAR PROCEDIMIENTO SANCIONADOR a LLEFISA, S.L., con NIF B60422417, por la presunta infracción: - Del artículo 13 del RGPD, tipificada en el artículo 83.5.
2. b)del mismo RGPD, y a efectos de prescripción, calificada como leve en el artículo 74.
3. a)de la LOPDGDD. - Del artículo 7 del RGPD, tipificada en el artículo 83.5.
4. a)del RGPD, y a efectos de prescripción, calificada como muy grave en el artículo 72.1.
5. c)de la LOPDGDD. “a los efectos previstos en el art. 64.2
6. b)de la LPCAP, las sanciones que pudiera corresponder serían de multas de 2.000 €, y de 15.000 €, según lo especificado, sin perjuicio de lo que resulte de la instrucción.” SÉPTIMO: De acuerdo con el certificado de notificación telemática, figura, con el siguiente resultado: Fecha de puesta a disposición: 05/08/2022 11:54:03 Fecha de rechazo automático: 16/08/2022 00:00:00. Con el fin de garantizar la recepción del acuerdo, en aplicación del artículo 41.6 del RGPD, y al no existir dirección de correo electrónico del reclamado, ni dispositivo electrónico para ser informado de la puesta a disposición de la notificación en sede electrónica, se remitió vía postal el acuerdo de inicio, siendo recibido por la reclamada. OCTAVO: Con fecha 31/03/2021, se recibe escrito de LLEFISA. La persona que realiza las alegaciones, además de delegada de protección de datos, es la misma que presentó las respuestas en nombre de METROPOLITAN durante el traslado de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/50 reclamación, figurando también con esta categoría en dicha entidad, y la que presentó toda la documentación. Indica que METROPOLITAN estuvo vinculada con LLEFISA hasta agosto 2022. Solicita el sobreseimiento del expediente, y se archiven las actuaciones. Manifiesta: 1.No puede considerarse reclamada a LLEFISA porque la reclamante señala como tal a METROPOLITAN SPAIN SL y el traslado de la reclamación se le hizo a dicha entidad, no siendo LLEFISA responsable de las gestiones de METROPOLITAN. 2.La lectura que figura en el contrato que firma la reclamante sobre: “La biometría y la pulsera deben actuar conjuntamente para poder acceder al centro, no siendo operativos de manera independiente. Son condiciones del servicio necesarias para el buen funcionamiento del centro, y que en caso de no aceptarse nos impide prestar el servicio al socio.”, mantenemos que en la frase “nos impide prestar el servicio al socio. LLEFISA, SL, no se refiere a impedir que una persona sea socia como ha querido reflejar la denunciante pretendiendo que esta AEPD considere como un defecto de consentimiento por no ser libre.” Sobre la manifestación: “Que el sistema de biometría se instaló en este Club Aqua Floranes en febrero de 2021 como único modo de acceso unido a la pulsera”, no se corresponde con la realidad: no era el único modo de acceso. En ningún momento se obtuvieron los datos biométricos de la reclamante, y, sin embargo, durante el tiempo que continuó siendo socia del club, hasta el mes de junio de 2021, hizo uso de las instalaciones entrando por el control de accesos sin usar en ningún momento la biometría, dado que se respetó su negativa a darla y así mismo sucede con otros socios. Esta afirmación, se corrobora con el registro de los accesos de la reclamante a las instalaciones sin acceso biométrico hasta la fecha de su baja y con la copia de su ficha donde consta que no existe ninguna biometría grabada (aporta Documentos núm.1). En el mismo figura listado Excel, nombre y apellidos, por fecha, desde 1/02 a 6/05/2021 (búsqueda hasta 31/07/2021), hora entrada y salida y el cómputo del tiempo consumido como “permanencia”. En ese listado, no figura relación alguna de tarjeta ni sistema de acceso. También acompaña la ficha PROVISPORT de la reclamante que contiene sus datos y fotografía, y de la que se extrae o se ve el listado Excel anteriormente señalado y un número de tarjeta. También se aporta un registro de accesos a la instalación de otros socios, “fichas PROVISPORT” sin biometría grabada, así como imágenes de sus fichas (aporta documento núm.2). En el mismo, según indica, se corrobora la no obligatoriedad de tener la biometría registrada para acceder a las instalaciones. En cuanto a que se indica en el punto 6, que “actualmente los usuarios no tienen otro sistema de acceso a las instalaciones, “se debe matizar, pues “existen sistemas alternativos para acceder a las instalaciones, como el “control manual de acceso por entrega de DNI para su comprobación en la recepción, mediante el cotejo de la fotografía que consta en la ficha de PROVIS versus el DNI. Sin embargo, se prioriza el sistema de control con pulsera y código hash para agilizar los accesos y dar total autonomía al socio para entrar y salir del establecimiento sin esperar que recepción abra el torno o puerta de acceso.” 3.El tipo de datos que se tratan para acceder a las instalaciones mediante huella dactilar son biométricos, pero no de carácter especial, contando que existe diferenciación C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/50 entre los procesos que implican identificación biométrica y los que implican verificación/autenticación biométrica. En la primera, se comparan los datos adquiridos en el momento de la identificación con una serie de plantillas almacenadas en una base de datos, el proceso de búsqueda es uno a varios. Considera que estos serían los considerados de especial protección, encuadrados en la prohibición general y excepciones del artículo 9 del RGPD. En el segundo tipo de procesos, se comparan los datos adquiridos en el momento de la verificación con una única plantilla biométrica almacenada en un dispositivo, el proceso de búsqueda es de uno a uno. Estima que el sistema empleado para el control de acceso de los usuarios a las instalaciones del gimnasio en Santander al que acudía la reclamante, “autentifica que la persona que porta la pulsera y que pone el dedo en el sistema es la misma”. Considera que estos, que son los que utiliza para su control de acceso, no serían de especial protección y no entrarían en la prohibición que establece el artículo 9.1 del RGPD. Junto a esta consideración, decaería la circunstancia agravante de la infracción del artículo 83.2.
7. g)por no ser datos especialmente protegidos y sus implicaciones. 4.Sobre el carácter incompleto de la imputación del artículo 13 del RGPD, indica:
8. a)“La normativa firmada por la reclamante se produjo antes de la implementación del acceso biométrico”, “y por ello la información del nuevo sistema de acceso se informaba mediante la cartelería colocada en la recepción, la publicidad del sistema NITGEN y una persona en los accesos del torno”. Adjunta documento 11 que consiste en una hoja titulada: “METROPOLITAN Sport Club & Spa Tratamiento de datos personales” sin fecha. Inicia con “METROPOLITAN cumple todos los requisitos establecidos en el RGPD…”, destacando que los datos facilitados, se incluyen los biométricos, son tratados por METROPOLITAN con la finalidad de gestionar su solicitud de incorporación como socio del gimnasio y finalidades inherentes, como la gestión y cobro de recibos, el acceso a las instalaciones. El plazo de conservación de los datos biométricos consta en el registro de actividades, es hasta que se deja de ser socio del Club o hasta que se ejercía el derecho de limitación o supresión. “En relación con la posible comunicación de datos a terceros”, la inexistencia de tal comunicación y por un aspecto de minimizar el texto en el redactado de la normativa en aquel momento por la plantilla existente, no se hizo mención de que “los datos biométricos no se comunicarían a terceros”, mención para la responsable obvia a partir del Análisis de Riesgos y la EIPD. Al no producirse ni realizarse elaboración de perfiles, no se había mencionado este, considerando que “si no se hace un determinado tratamiento de datos no era necesario mencionarlo”. En la “normativa de socios” de AQUA FLORANES “actual”, ya se menciona los tres apartados referidos. Aporta documento 12 que, según manifiesta, contiene una normativa de socios actual, que permite constatar que no existe infracción continuada del derecho de información, y que no ha habido beneficio como consecuencia de no haber informado del plazo de conservación de datos. Se visiona el documento 12 que trata de un modelo, no se contiene fecha de implantación, que contiene las Cláusulas del contrato de uso de las instalaciones del Club, “normativa socio” en el que se integra ahora el apartado: “autorización al tratamiento de datos personales por la entidad”. Se contiene: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/50 “Le informamos que LLEFISA, SL cumple todos los requisitos establecidos en el RGPD 2016/679 (UE) y que todos los datos bajo nuestra responsabilidad vienen siendo tratados de acuerdo con las exigencias legales, guardándose las debidas medidas de seguridad que garantizan la confidencialidad de estos. Los datos personales que ha facilitado de nombre y apellidos, DNI, dirección postal y/o electrónica, así como el número de su tarjeta de crédito o su cuenta bancaria, serán tratados por LLEFISA SL, con CIF B60422417 en c/ Cisneros nº 67, 39007-Santander con la finalidad de gestionar su solicitud de incorporación como socio del gimnasio y finalidades inherentes como la gestión y cobro de recibos, la entrada en las instalaciones” “Con la finalidad de proteger la seguridad de las personas que acceden al centro y sus pertenencias, así como las propias instalaciones, se opta por un sistema de acceso mediante el registro biométrico (código hash encriptado) y una pulsera personal que complementará el uso biométrico. Dichos datos biométricos no serán objeto de otro tratamiento por parte de LLEFISA, SL ni por el proveedor de servicios informáticos, a excepción de los servicios de mantenimiento. El plazo de conservación de dichos datos personales no excederá del momento en que cause baja el socio por cualquier circunstancia o de su solicitud de supresión. No se adoptarán decisiones automatizadas ni se elaborarán perfiles con dichos datos. La biometría y la pulsera deben actuar conjuntamente para poder acceder al centro, no siendo operativos de manera independiente. Son condiciones del servicio necesarias para el buen funcionamiento del centro y el control de acceso para solamente los socios. Podrán utilizarse medios alternativos de acceso.” Finalmente, se informa entre otros ejercicios de derechos, que puede ejercer la revocación del consentimiento prestado para el tratamiento de estos, dirigiendo su petición a LLEFISA. 5.Sobre la falta de consentimiento del socio al momento de firmar la normativa, “son condiciones del servicio necesarias para el buen funcionamiento del centro, y que en caso de no aceptarse, nos impide prestar el servicio al socio”, considerando que se trata de la seguridad de las personas y enseres (máquinas, aparatos, instalaciones, etc.,), “no al acceso al gimnasio”, para lo cual, no hay nada mejor que acreditar que las personas que entran son realmente socios del centro, quienes por su propio interés, cuidarán de sus pertenencias y de los equipos y máquinas con las que practican deporte. El consentimiento al tratamiento de los datos biométricos o no, en ningún caso condicionaba la condición de socio, aceptación y firma de la normativa, puesto que existía otra posibilidad de acceder. Con tales finalidades, LLEFISA, SL ha introducido el control de acceso biométrico, para asegurarse del buen funcionamiento del centro y de la seguridad de las pertenencias de los socios, siendo que casi la totalidad de socios lo han tomado como una mejora de la calidad y seguridad del centro, y algunos (poquísimos) no les ha parecido bien por las causas que sean y no han querido dar el patrón de huella para que, junto con la pulsera, accedan a las instalaciones, a los que se sumarian que en “algunas personas de edad avanzada”, no ha sido posible obtener su patrón, y han seguido entrando sin hacer uso de la biometría. A efectos de acreditar que cuenta con el consentimiento para levantar la prohibición del tratamiento de datos biométricos, conforme señala el artículo 9.1.
9. a)del RGPD, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/50 LLEFISA acredita el consentimiento del interesado con la firma de la normativa de socios. “También es un acto afirmativo claro el de proceder técnicamente a la captura del patrón de huella en el dispositivo (pulsera)”. El consentimiento del socio se da en el contexto de la normativa de socios, especificándose los diferentes tratamientos de datos personales de los mismos. A esto, se suma que AQUA FLORANES tiene colocada en 2021 una cartelería informativa en la recepción del centro. Adjunta documento 11, que consiste en una hoja “Tratamiento de datos personales”, con información, no sobre LLEFISA, sino sobre METROPOLITAN como la entidad que trata los datos. Se indica, además del registro biométrico y la pulsera que “Otra de las formas de identificación para el acceso podrá ser con la imagen del socio visualizada momentáneamente en una pantalla en la recepción. En caso de no aceptarse los sistemas de identificación de acceso, el Club no podrá prestar servicios al socio ni permitir su acceso a las instalaciones.” Indica que de ese cartel también se desprende la otra posibilidad existente para acceder al centro, solicitud de DNI en el acceso y comparativa con la imagen que se muestra en la pantalla del ordenador de recepción. Solo la no aceptación de alguna de las dos posibilidades condicionaba que no pudiera ser socio del gimnasio, pero en ningún momento se condicionaba la posibilidad de ser socio a la aceptación de la huella biométrica, como se ha pretendido por la denunciante. El consentimiento no debe considerarse libremente prestado, cuando el interesado no goza de verdadera o libre elección, o “no puede denegar o retirar su consentimiento sin sufrir perjuicio alguno.” En este caso, no se ha producido perjuicio alguno a la denunciante ni al resto de los socios, al existir conjuntamente otra posibilidad de acceso al centro sin huella dactilar, la de la imagen del socio visualizada momentáneamente en una pantalla de recepción, “y prueba de ello son los Excel aportados de todos los accesos entre 1/02 a 31/07/2021, fecha de su baja por la circunstancia que fuera”. Estima que “el consentimiento se ha dado libremente pues LLEFISA no está en desequilibrio claro con el denunciante o socios en general, puesto que ni AQUA FLORANES es el único centro deportivo al que pueden acudir los ciudadanos de Santander, ni obliga a ser socio exigiendo la huella dactilar del mismo” A fecha de la denuncia, LLEFISA está solicitando un consentimiento para el tratamiento de datos biométricos que no se consideraban a tenor del criterio de la AEPD como categoría especial de dato, y que el socio presta “válidamente y de forma expresa”, y ofreciendo “medios alternativos para acceder a las instalaciones”, “sin imponer el tratamiento de datos biométricos de forma obligatoria para poder acceder a las instalaciones”. “Cuando se puso en marcha el control de acceso biométrico junto con la pulsera, una persona del equipo de recepción se encargaba de informar personalmente a los socios en su acceso al club, siendo que el consentimiento más evidente se manifestó con la acción personal y física de cada socio en procedimentar técnicamente la obtención de la huella” 6.Con referencia al ANÁLISIS DE RIESGOS de fecha 30/01/2020, indica que correspondía al sistema de tratamiento de METROPOLITAN AQUA FLORANES por lo que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/50 algunos de los riesgos en el mismo, puestos de manifiesto no se corresponden con la situación real en relación con el responsable LLEFISA, SA, que tiene objeto de este Procedimiento Sancionador. Un mes antes de la implementación del sistema de control de accesos con pulsera y código hash, se firma la EIPD para LLEFISA, en 31/12/2020. El documento de EIPD de 5/02/2021 se refería a METROPOLITAN. Adjunta documento 4 en el que se ve, “AQUA FLORANES SANTANDER- sistema de apertura mediante control biométrico”. A destacar:  “