1/79 Expediente N.º: EXP202209645 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Contenido ANTECEDENTES..........................................................................................................2 PRIMERO: Entrada de reclamaciones y documentación aportada............................2 SEGUNDO: Traslado de la reclamación a la parte reclamada...................................3 TERCERO: Admisión a trámite...................................................................................3 CUARTO: Escrito de reclamante 3.............................................................................3 QUINTO: Diligencia de acceso información por la Subdirección General de Inspección de Datos (SGID).......................................................................................3 SEXTO: Actuaciones previas de investigación...........................................................4 SÉPTIMO: Diligencia de incorporación de documentación........................................5 OCTAVO: Acuerdo de inicio de 2/10/2023..................................................................7 NOVENO: Alegaciones de 17/10/2023 al acuerdo de inicio.......................................7 DÉCIMO: Inicio de práctica de pruebas...................................................................12 DÉCIMO PRIMERO: Alegaciones del reclamado en su escrito de respuesta a práctica de pruebas..................................................................................................28 DÉCIMO SEGUNDO: Envío de propuesta de resolución.........................................28 DÉCIMO TERCERO: Alegaciones a la propuesta de resolución..............................28 HECHOS PROBADOS................................................................................................33 FUNDAMENTOS DE DERECHO.................................................................................42 I Competencia.......................................................................................................42 II Datos biométricos..............................................................................................42 III Datos biométricos como datos de carácter personal: Conexión con el artículo 4.1 del RGPD........................................................................................................51 IV Prohibición de tratamiento de datos biométricos..............................................56 V Responsable de la infracción.............................................................................59 VI Respuesta a las alegaciones............................................................................62 VII Tipificación de la infracción..............................................................................69 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/79 VIII Determinación de la sanción..........................................................................70 IX Adopción de otras medidas correctivas............................................................75 RESUELVE:................................................................................................................. 76 Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Entrada de reclamaciones y documentación aportada Con fechas 7/08 y 13/09/2022, tuvo entrada una reclamación de reclamante 1, el 16/09/2022 de reclamante 2, según figuran identificados en el ANEXO GENERAL para la reclamada. Las reclamaciones se dirigen contra LORO PARQUE, S.A. con NIF A38009023 (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes: Reclamante 1, manifiesta que compró una entrada conjunta a SIAM PARK y LORO PARQUE, de Tenerife y “se obliga a todos los visitantes a dar la huella mediante un lector”, para comprobar que la persona que entra en ambos parques es la misma, sin informar del tratamiento de datos a realizar cuando se compra la entrada. Aporta: -dos fotografías, donde se aprecia, sobre un tablero informativo (imagen de un puesto de entrada a SIAM PARK según observaciones de la imagen que acompaña en la reclamación).Consta en varios idiomas, el literal informativo: “este sistema es para el uso exclusivo de los visitantes que tengan los siguientes tickets- figurando entre otros el “TWIN TICKET” (TT), “ULTIMATE TENERIFE” y “VUELVE”-con el literal añadido en la parte inferior: ”este sistema no almacena la imagen de su huella, simplemente hace una lectura”. A su lado, del mismo color, un panel informativo “coloque su dedo índice de la mano derecha aquí, y siga las instrucciones del operador”. Reclamante 2, además aporta copia de hoja de reclamaciones de 18/08/2022 contra la reclamada. Señala que compró las entradas TT “junto con el billete de barco”. El 18/08/2022, al acceder a LORO PARQUE, “teniendo entrada y documento identificativo, DNI”, “me obligan a poner la huella digital en dispositivo electrónico para pasar, y al solicitar entrar sin poner la huella, me niegan el acceso y me dicen que solicite la devolución de la entrada”, sin ofrecer alternativa al sistema. En el pie de los billetes que aporta, figura que: “el segundo bono de TWIN TICKET (LORO+SIAM) deberá ser utilizado en los 15 días posteriores a la visita del primer parque, transcurridas estas fechas serán invalidados y sin derecho a devolución”. Indica que, al comprar la entrada, (bono de suplemento a barco) no se informa de este método de acceso Aporta copia de los “bonos asociados a suplemento” “TWIN TICKET” en el cuerpo de los billetes de barco, en los que figuran impresos nombres y apellidos y NIF/NIE de dos adultos y dos infantes con referencia a fecha embarque/trayecto: Gran Canaria/Tenerife, localizador C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/79 de bono, el mismo para los cuatro, número de billete con un numero secuencial y un número final del 1 al 4 en cada bono, manifestando que los compró en la naviera pues se ofrecen a todos los que compran billete con destino a Tenerife. SEGUNDO: Traslado de la reclamación a la parte reclamada. De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5/12, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), el 16/09/2022, se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 23/09/2022 como consta en el acuse de recibo que obra en el expediente. Responde en fecha 10/10/2022: 1. No tienen DPD, ni responsable de seguridad, porque no tienen obligación legal, por lo que no pueden responder aportando informes de los mismos. 2.Sobre la ausencia de información del tratamiento de la huella dactilar que se recoge a los visitantes que adquieren la entrada “TWIN TICKET”, “como sistema de verificación interno de que la persona que acude a ambos parques es la misma”, se les refiere que el tratamiento se encuentra inscrito “en el fichero huellas dactilares” desde 21/05/2010. “Cualquier otra información se puede obtener de los propios ficheros de la AEPD”. Acompaña escrito del Director de la AEPD de 21/05/2010 que le notifica que se ha inscrito el fichero “Huellas dactilares”. TERCERO: Admisión a trámite. Con fecha 14/10/2022, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por reclamante1, y con fecha 28/10/2022, para reclamante 2. CUARTO: Escrito de reclamante 3. Con fecha 3/11/2022, se recibe reclamación de reclamante 3, que se identifica en el ANEXO GENERAL, indicando que de la recogida de la huella no se informa en ningún lado antes de pasar los controles, ni la considera necesaria para los visitantes de los parques. Con fecha 24/11/2022 se admitió a trámite su reclamación. QUINTO: Diligencia de acceso información por la Subdirección General de Inspección de Datos (SGID). Por comprobación de la SGID, figura de la reclamada en “Monitoriza business”, a 14/03/2023, que es una S.A, con cifra de negocios (…) euros, empleados 41, con actividad de parques de atracciones y temáticos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/79 SEXTO: Actuaciones previas de investigación Con fecha 18/08/2023, en el marco de las actuaciones AI/00256/2023, AI/00257/2023 y AI/00258/2023, practicadas por la Subdirección General de Inspección de Datos con objeto de aclarar los hechos y en uso de las facultades conferidas por el artículo 58.1 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27/04 de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos) (en adelante RGPD), y el art. 67 de la LOPDGDD, se solicita a la reclamada la siguiente información relativa al sistema de control de acceso de los usuarios de sus instalaciones a través de huella dactilar. 1.- Copia del Registro de las Actividades de Tratamiento de datos personales, al que refiere el artículo 30 del RGPD. En concreto, se solicita toda la información relativa al tratamiento biométrico para el acceso con el sistema TT. 2.- Finalidad del tratamiento de dichos datos. 3.- Copia de la evaluación de impacto de protección de datos (en adelante EIPD). En el caso de que se hubiera considerado que no procedía realizar una EIPD, se solicita aportar la documentación justificativa. En tal caso, aportar la documentación acreditativa del análisis de riesgos efectuado, incluyendo toda la documentación elaborada, justificativa de los resultados obtenidos y de las medidas adoptadas. 4.- Explicación detallada del funcionamiento del sistema que controla el acceso al parque mediante huella dactilar. Motivo de la necesidad de su uso. 5.- Confirmación de las personas objeto de dicho tratamiento (por ejemplo, detallar si se utiliza para el acceso de todo el público en general o para el acceso de personas con entrada TWIN TICKET; detallar si es para adultos, niños o ambos; etc.). Con fecha 29/08/2023, la reclamada indica sobre los puntos 1 a 3, que no ha de llevar RAT, al serle de aplicación el artículo 30.5 del RGPD, ni en consecuencia tener la documentación que exigen en el punto 3. El artículo 30.5 del RGPD mencionado, señala que: “Las obligaciones indicadas en los apartados 1 y 2 no se aplicarán a ninguna empresa ni organización que emplee a menos de 250 personas, a menos que el tratamiento que realice pueda entrañar un riesgo para los derechos y libertades de los interesados, no sea ocasional, o incluya categorías especiales de datos personales indicadas en el artículo 9, apartado 1, o datos personales relativos a condenas e infracciones penales a que se refiere el artículo 10.” En cuanto a los puntos 4 y 5, señala: “LORO PARQUE, S.A. dispone de una oferta especial para usuarios de sus parques LORO PARQUE y SIAM PARK, denominada TWIN TICKET, de tal forma que el usuario de uno cualquiera de los parques puede visitar el otro con una rebaja de precio. Como las entradas no son nominativas, se utiliza un sistema de control de acceso mediante diez puntos de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/79 coincidencia de huellas digitales que se solicita a quienes voluntariamente quieran beneficiarse de la oferta comercial. Ese es el motivo por el que se toman las huellas digitales, que en ningún caso permite asociarlas a persona alguna, no constituyendo, por tanto, un dato personal sometido a tratamiento conforme establece, por ejemplo, los arts. 1.1, 2.1 y 4.1 del Reglamento (UE) 2016/679 del Parlamento Europeo y del consejo de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos). Se trata únicamente de un mecanismo que permite a LORO PARQUE, S.A. verificar que quien hizo uso de la entrada al LORO PARQUE (con independencia de su edad, domicilio, nacionalidad, sexo, raza, religión, etc.) es la que hace uso de la entrada a SIAM PARK (o al revés) beneficiándose de la rebaja de precio que se ofrece. El almacenamiento de los diez puntos de la huella dactilar se hace, única y exclusivamente, para poder constatar que la persona que entra a uno de los parques y, posteriormente accede al otro haciendo uso de la oferta TWIN TICKET, es la misma. Los datos almacenados, por tanto, no permiten relacionarlos con persona determinada o determinable alguna, no teniendo utilidad de carácter comercial o de cualquier otro tipo, sino el expuesto.” SÉPTIMO: Diligencia de incorporación de documentación Con fecha 31/08/2023, se incorporan por el personal Inspector, la siguiente documentación obtenida de la consulta hecha a la página https://www.loroparque.com: -anexo 1: AVISO LEGAL. Impresión de pantalla, fechada a 17/08/2023, en la dirección electrónica https://www. loroparque.com/aviso-legal/ Tiene un apartado de “política de protección de datos”, que indica que: “El usuario y/o consumidor para poder contratar los diferentes servicios que ofrece LORO PARQUE SA, así como para la recepción de boletines informativos del parque, deberá registrar los datos solicitados como cliente”, “la persona que se registra autoriza expresamente a LORO PARQUE para que proceda a incluir en un fichero automatizado los datos de carácter personal que figuran en los campos del formulario por resultar necesarios para la adecuada prestación de sus servicios” Tiene un apartado m denominado “forma de pago”, en el que se informa que se admite la tarjeta de crédito o débito. En el apartado n, “envío”, se informa que el envío de los tickets se realiza a través del área de usuario en la plataforma y/o correo electrónico, puesto que es un producto virtual en formato PDF. Otro apartado: “Reglamento de Protección de Datos” que informa en el apartado de “Finalidades del tratamiento de datos: dependerá del motivo por el que el usuario haya contactado con nosotros” siendo uno, el de “gestionar las compras y peticiones hechos por el usuario a través de nuestras páginas web”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/79 Se informa que “los datos personales del usuario serán almacenados por LORO PARQUE por el tiempo legalmente permitido según el motivo por el que los datos nos fueron proporcionados por el usuario.” En el apartado de LEGITIMACIÓN, se indica que “Los datos personales proporcionados por el usuario tienen como finalidad última que Loro Parque pueda proporcionar los servicios ofertados y por usted aceptados”. Figura una dirección de e mail en la que el usuario pueden ejercer los derechos. -anexo 2: TÉRMINOS Y CONDICIONES DE VENTA Y SERVICIOS. Impresión de pantalla de https://www.loroparque.com/terminos-y-condiciones/, a 17/08/2023. Incluye una cláusula de POLÍTICA DE PROTECCIÓN DE DATOS en su letra f, en la que se informa en el mismo sentido y contenido sobre el registro de datos del usuario o consumidor y para el mismo fin que en AVISO LEGAL. Refiere conformidad de ello con normativa que a dicha fecha no se halla en vigor, la LO 15/1999 y el Real Decreto 1720/2007 que la desarrolla. También reproduce el literal que figura en AVISO LEGAL sobre el registro de datos como cliente en el formulario, y su inclusión en un fichero automatizado. Igualmente, figura una dirección de e mail en la que el usuario puede ejercer los derechos. -anexo 3: POLÍTICA DE PRIVACIDAD. Impresión de pantalla de https://www.loroparque.com/privacidad/ a 17/08/2023. En la misma se reproduce el mismo contenido que se indica en AVISO LEGAL. -Se aporta impresión ANEXO 4, de 30/08/2023, de una página del sitio oficial de venta de entradas on line al parque. en la dirección de https://tickets.loroparque.com/reservarEntradas.aspx?opc=20&m=INDIVIDUALTWIN&Ig=esES/ En la primera línea, informa: “Compre sus entradas TWIN TICKETS en solo unos minutos y viva una experiencia inolvidable”, abriéndose las pestañas para seleccionar. En la primera, se indica que se selecciona el día y el tipo de entrada que desea adquirir, en la segunda, que se seleccione la hora de la visita. En el paso 3, pestaña, “Introduzca sus datos de contacto” “incluya a continuación los datos de contacto del titular que va a realizar la compra”, con casillas de: Nombre/ email/ país/ código postal/ teléfono/ casilla de solicitar factura. “información básica sobre Protección de Datos”: responsable del tratamiento: Loro Parque Finalidad: gestión administrativa: emisión de entradas y control accesos a los recintos. Gestión contable y fiscal. Gestión estadística, comercial publicidad y marketing C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/79 Legitimación por la ejecución de un contrato”, y un apartado de información adicional para pulsar en el enlace. Finaliza con: “He leído y acepto la Política de Privacidad y de compras”. 4. Seleccione el método de pago OCTAVO: Acuerdo de inicio de 2/10/2023 Con fecha 2/10/2023, la Directora de la AEPD acordó: “PRIMERO: INICIAR PROCEDIMIENTO SANCIONADOR a LORO PARQUE, S.A., con NIF A38009023, por la presunta infracción del artículo 9 del RGPD, tipificada en el artículo 83.5.
- a)del RGPD, y calificada como muy grave a los solos efectos de la prescripción de la infracción en el artículo 72.1.
- e)de la LOPDGDD. “ a los efectos previstos en el art. 64.2
- b)de la LPCAP, la sanción que pudiera corresponder sería de multa administrativa, con sanción de 250.000 euros por una infracción del artículo 9 del RGPD.” NOVENO: Alegaciones de 17/10/2023 al acuerdo de inicio. Frente al acuerdo de inicio, se reciben alegaciones del reclamado el 17/10/2023, en las que manifiesta: 1-“Todas las entradas que vende para acceder a sus parques no son nominativas”. “Las entradas generan un código QR, y los sensores del software en los que los clientes ponen los dedos en un sistema prestado por empresa externa, “genera de forma directa una representación matemática que es lo único que obtiene finalmente LORO PARQUE, permitiendo con un alto nivel de certeza, constatar, que quien entra a uno de los parques es la misma persona que entra posteriormente en el otro, sin que podamos llegar a identificar a la persona que compró las entradas por procedimiento inverso, y por tanto llegar hasta la huella digital del cliente y por ende hasta su identificación.” Manifiesta la reclamada que únicamente crea una representación matemática de la huella digital que es lo único que se almacena, no almacenando ninguna imagen de la huella. Esta representación no permite identificar a persona física alguna, sin que sea posible emplear ingeniería inversa para crear la imagen de la huella digital real a partir de los datos almacenados. Añade que se ha de tener en cuenta que la representación matemática solo se conservará mientras la tarjeta o entrada en cuestión este vigente, y se destruirá de forma inmediata cuando deje de estarlo. Informa la reclamada que “la entrada TT-doble visita-no son dos entradas, sino un descuento comercial a la persona que adquiere las dos entradas, por lo que, para vincular las dos entradas con un mismo sujeto se realiza mediante la identificación dactilar, que en ningún momento se exige o se puede identificar al portador”. “La petición de documento de identificación solo se hace a los efectos de poder determinar el carácter de residente o no, por la diferencia de precio que se oferta a ello”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/79 “Ha encargado a profesionales externos, el programa y componentes que permiten acreditar que quién se beneficia de una rebaja de precio por la visita a los dos parques es siempre el mismo usuario, sin que se almacene durante todo el proceso, dato personal alguno del cliente. Reitera la reclamada que para comprobar si es la misma persona la que con el sistema, oferta TT, accede al segundo parque, utiliza una “representación matemática de la huella digital, que no sirve para identificar al cliente, porque no aporta dato personal alguno del mismo”, y “su sistema de verificación no almacena dato personal alguno, sino una representación matemática que, solo puede ser utilizada dentro del período de vigencia de la oferta comercial, quince días”, indicando que no ha de inquietar al cliente porque “su identidad no puede comprobarse una vez generada la representación matemática de la huella”, sin que se pueda realizar un “proceso de ingeniería inversa que permita a partir de la representación matemática de la huella, determinar que la misma pertenece a persona física alguna, determinada o determinable, o al menos, no sería posible sin un sistema complejísimo, identificar a la persona-no se puede razonablemente identificar a la persona.” “Nunca hemos usado dato personal alguno, según define el artículo 4.1 del RGPD a los efectos del TWIN TICKET para lograr la verificación de usuarios de la oferta comercial TWIN TICKET.” Reitera que la representación matemática de la huella digital utilizada no sirve para identificar al cliente, ni identifica personas, porque no aporta dato personal alguno del mismo, no se está utilizando dato personal alguno de los definidos en el artículo 4.1 del RGPD, “limitándose a comprobar que hay identidad de una representación matemática con otra”. Menciona el considerando 26 del RGPD, subrayando que los principios de protección de datos no deben aplicarse ni a información anónima ni a datos convertidos en anónimos de forma que el interesado no sea identificable o deje de serlo. Concluye que sancionar por ello supone una vulneración de los principios de legalidad y tipicidad. Aporta DOCUMENTO 1, foto imagen rectangular de “TWIN TICKET, solo de una cara, en el que figura: “Condiciones”, que contiene: -En la cara del papel impreso aportado, con letras en la parte derecha “TWIN TICKET”, con la imagen y el nombre de los dos parques, LORO PARQUE y SIAM PARK, se puede leer en la parte izquierda un literal informativo, “CONDICIONES: “El TT solo podrá ser utilizado por una persona, siendo esta la única beneficiaria de la visita a LORO PARQUE y SIAM PARK. En ningún caso es posible que las visitas a ambos parques sean efectuadas por personas diferentes. Una vez visitado el primer parque, tienes 6 meses para visitar el segundo Al acceder al primer parque, se le entregará este sobre con un ticket. Es imprescindible que dicho ticket se guarde y se presente en el momento de realizar la visita al segundo parque”. Debajo del TT, se acompaña foto de otro papel impreso distinto, literal: “TWIN TICKET ADULTO 1-2”, que el reclamado denomina en sus alegaciones “pequeña cartulina en la que se guarda el código QR generado” conteniendo según se aprecia: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/79 - un número de serie, para la visita de - LORO PARQUE, a una fecha y a una hora concertada - debajo un código QR, -no reembolsable. Válido 15 días, -Ticket intransferible “La AEPD tras la definición de dato personal, entiende que la representación matemática de una huella es un dato personal, lo que considera no es cierto en su caso, porque la representación matemática no permite hacer un camino inverso hasta la huella digital del cliente, y por ende hasta su identificación, no cabe emplear ingeniería inversa, pues la citada representación no dice nada sobre el cliente”, “así como el portador de la entrada tampoco es en ningún momento identificado nominadamente, es igual que el portador de una entrada de cine.” Manifiesta la reclamada que partiendo de la base de que sus sistemas no permiten identificar a través de la huella dactilar, que “Nunca se almacena la identificación, ni se relaciona con la entrada”. Al indicar el acuerdo que estos permiten la identificación de una persona, no les resultaría aplicable tal sanción, por error. Acota que ello se deduce de que no se cumplen los requisitos de la definición que se indica en el acuerdo de inicio, especialmente en su fundamento de derecho II en cuanto a la definición de sistemas biométricos, pues el uso que hace no permite identificar personas a través de la huella. Considera que, no tratando datos personales, no se cumple la premisa que define el tratamiento en el artículo 4.2 del RGPD. Estima que esta conducta no puede ser sancionable. 2- Aporta la reclamada en DOCUMENTO 4, copia del manual del fabricante del dispositivo lector de la huella dactilar (contenido sensible) y en DOCUMENTO 5, su traducción “no oficial“ de las páginas 11 y 12, al ser según manifiesta el reclamado, XELIOS el fabricante. El Manual “explica el proceso de extracción de minucias a partir de las imágenes de la huella, y como las comparaciones biométricas no utilizan la propia imagen durante su ejecución”. Se accede al DOCUMENTO 4, que se refiere a los productos software “***DISPOSITIVO.1 (…) de ***EMPRESA.1 (manual del software) en versión inglesa, nov 2018, que describe las funcionalidades en el registro y uso de las huellas dactilares. En el manual se pueden ver imágenes de distintos sensores. Del manual se destacan algunos aspectos, como: “3.1 “sobre las huellas dactilares”, especifica de la piel de los dedos de las manos y su composición dactilar, diferentes modelos de terminaciones o bifurcaciones (denominadas crestas, ridge) “de terminación”, y “de bifurcación”, con características únicas conocidas como minucias. “Estas minucias son características únicas que forman la base de cualquier sistema que usa las huellas dactilares para fines de identificación o autenticación” . 3.2 ¿Cómo funciona? 3.2.1. Adquisición de la imagen “efectuada con (...)” 3.2.2. Tratamiento de la imagen y detección de características Es un proceso de tres pasos: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/79 1-El software analiza la imagen en (…). La imagen (…) y obtener la (…) posible facilitando la detección de bifurcaciones, terminaciones y otras características de las minucias. 2-El software usa la (…) para determinar el (…) de la imagen de la huella, creando (…) para las crestas y valles 3- El sistema produce una lista de minucias-plantilla biométrica-resultante del análisis de (…) La plantilla biométrica es una representación matemática de la huella original del dedo basada en análisis de modelo de crestas. El tamaño máximo de la plantilla es de (...) y es usada durante el proceso de matching para compararla contra la plantilla previamente almacenada. 3.2.3 Matching (emparejamiento) Durante el proceso de verificación el sistema no compara imágenes de la huella, compara las minucias que fueron detectadas cuando se codificó la imagen de la huella. En las páginas que aportan traducidas, DOCUMENTO 5, figura la explicación que indica “el sistema produce una serie de minucias. La plantilla biométrica es una representación matemática de la huella dactilar original. No se trabaja sobre la huella sino sobre una representación matemática de la misma. Durante el proceso de verificación de sistema no compara imágenes de la huella dactilares. Compara las minucias detectadas durante la codificación de la imagen de la huella dactilar. No se comparan huellas sino minucias” 3-Aporta el reclamado DOCUMENTO 2, informe de 10/10/2023, de la entidad ***EMPRESA.3” “ticketing Solutions” denominado “Informe medidas seguridad protección de datos-Sistema control de validación de acceso con biometría-huella dactilar-, cliente LORO PARQUE”, sin detallar que papel en el tratamiento tiene encomendado esa entidad. Se accede a dicho DOCUMENTO 2, y se puede comprobar a los efectos de la reclamación, que se indica: 1. “Los sensores de huella ***DISPOSITIVO.1 son capaces de cifrar internamente la huella que capturan en el mismo momento de la propia captura de tal forma que el software que lanza la petición de captura dactilar recibe directamente el dato codificado. El proceso a seguir a nivel de código, utilizando el ***DISPOSITIVO.2 sería: -Crear una instancia del objeto de gestión -activar cifrado de minucias/imágenes capturadas en ***DISPOSITIVO.1. -Almacenar la clave de cifrado (...) en la memoria interna del sensor. La clave se guarda en el sensor de manera permanente así que solamente se debe realizar este paso una vez -capturar minucias/imagen de una huella a través del dispositivo ***DISPOSITIVO.1. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/79 -Obtener minucias (y/o imagen) de la huella capturada, datos que estarán cifrados en la clave (...) que está contenida en el sensor. -Cerrar conexión con el dispositivo tras su uso.” En el apartado “4.2 seguridad y anonimización”, indica que el cifrado de la huella dactilar asegura que la información biométrica de la persona esté protegida de manera sólida ya que se convierte en una forma ilegible sin el descifrado correspondiente, “además, la conversión de la huella en una clave cifrada contribuye a la anonimizacion de datos al separar de manera efectiva la información biométrica de cualquier otra información identificable”. “Al no almacenar la huella en su forma original se reduce la posibilidad de correlacionarla por sí misma con otros datos personales, disminuyendo el riesgo de identificación del individuo a partir de la huella fortaleciendo su privacidad.” Añade que este enfoque “promueve la anonimización al minimizar el riesgo de identificación de las personas a través de su huella dactilar, lo que cumple con los principios de privacidad y protección de datos”. En el apartado 5, se indica que el sistema utiliza la huella con fines de autenticación, la “retención es limitada al tiempo que sea necesario para identificar al visitante” “Los datos de la huella se conservarán únicamente mientras la tarjeta o entrada en cuestión este vigente, y se destruirán de forma inmediata cuando dejen de estarlo, protegiendo así la privacidad y seguridad de los usuarios.” Manifiesta la reclamada que opina sobre el citado informe del documento citado: 1. Sobre el apartado 4: “Medidas de seguridad específicas” se infiere que la reclamada nunca ha obtenido huellas digitales ni puntos de huellas digitales, sino que mediante los sensores de huella ***DISPOSITIVO.1, se cifra internamente la huella que captura en el mismo momento de la propia captura, de tal forma que el software que lanza la petición de captura dactilar recibe directamente el dato codificado”. “LORO PARQUE recibe directamente un dato codificado, no recibe una huella dactilar ni puntos de la huella. Por tanto, al recibir la reclamada un dato codificado, no recibe ningún dato de carácter personal de los definidos en el art 4.1 del RGPD.” 2. “la información biométrica de las personas está protegida de manera sólida, ya que se convierte en una forma ilegible sin el descifrado correspondiente, así como que la conversión de la huella en una clave cifrada contribuye a la anonimizacion de datos al separar de forma efectiva la información biométrica de cualquier otra información identificable.” 2.Considera la reclamada, que “al no almacenar directamente la huella en su forma original, se reduce la posibilidad de correlacionarla por sí misma con otros datos personales, datos a los que como hemos dicho no tiene acceso a la empresa informate, lo que disminuye el riesgo de identificación del individuo a partir de la huella”. Indica la reclamada que el informe “acredita que los datos digitalizados obtenidos se conservarán únicamente mientras la tarjeta o entrada en cuestión esté vigente, y se C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/79 destruirán de forma inmediata cuando deje estarlo, protegiendo así la privacidad y seguridad de los usuarios 3. El reclamado manifiesta que “no comparte dato personal alguno con la empresa de Software ***EMPRESA.2, “fabricante de los dispositivos que consiguen la representación matemática de la huella que permitiera a esta, llegado el improbable caso de querer hacerlo, identificar al titular de las minucias”, considerando que “la persona no puede ser razonablemente identificable ni con ayuda de terceras personas”. Señala que ***EMPRESA.2 “tendría que poder acceder a nuestras bases de datos para poder relacionar los datos encriptados con una persona concreta”. Aclara que dicha empresa garantiza que “no se trabaja con huellas digitales, sino con representaciones matemáticas de la misma”, y que “en el proceso de verificación, el sistema no compara imágenes de huellas dactilares sino unas nubes de minucias que al compararse entre sí, procesa una puntuación, que si supera el umbral determinado, se supone que las dos plantillas proceden del mismo dedo, pero nunca nos permite identificar a quien pertenecía el dedo en cuestión, por lo que en ningún caso esas plantillas pueden ser consideradas como datos personales a efectos del RGPD.” 4.Solicita la nulidad en base al artículo 47.1.
- e)de la LPACAP, al imputar unos hechos referidos al tratamiento de datos personales en los que no se produce identificación del usuario, de los que no es responsable, causando indefensión. Añade que tampoco concurre culpabilidad en su conducta, con cita del artículo 28 de la Ley 40/2015, de 1/10, de Régimen Jurídico del Sector Publico (LRJSP). También alega la reclamada, “anulabilidad aplicando el artículo 48.1 de la LPACAP en relación con el 29.3 de la LRJSP”, por infringir el principio de proporcionalidad en la cuantía de la sanción, considerándola arbitraria, y que solo tiene en cuenta su facturación, sin contenerse la graduación conforme señala el citado artículo. DÉCIMO: Inicio de práctica de pruebas Con fecha 3/07/2024, se abre un período de práctica de pruebas, recogiéndose el envío el 12/07/2024. Con objeto de asegurar su entrega, se reiteró el escrito el 8/07/2024, que figura recogido el 10/07/2024 En el mismo se disponía. 1. Se dan por reproducidos a efectos probatorios la reclamación interpuesta por los tres reclamantes (remisión al ANEXO GENERAL del acuerdo de inicio) y su documentación, los documentos obtenidos y generados durante la fase de admisión a trámite de la reclamación, y el informe de actuaciones previas de investigación que forman parte del procedimiento AI/00256/2023. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/79 2. Asimismo, se da por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio del procedimiento sancionador referenciado, presentadas por LORO PARQUE, S.A., y la documentación que a ellas acompaña. 3. Se accede en GOOGLE el día de hoy, para consultar ***EMPRESA.2, y figura la web ***WEB.1, informando que es sociedad fabricante y creadora de sistemas biométricos, basada en la tecnología del líder mundial en el campo de la Biometría, ***EMPRESA.1, que, con más de 35 años de experiencia en el mercado e implantada actualmente en más de 80 países, cuenta con las bases de datos más grandes del mundo. “Desarrollamos sistemas propios, basados en la huella dactilar, que hoy en día se aplican en áreas tan variadas como Banca, Sanidad, Deportes, etc.” También se efectúa en GOOGLE una búsqueda con el termino ***EMPRESA.1 el mismo día indicando la web idemia.com, que es una empresa multinacional desarrolladora de software, relacionada con criptografía y sistemas de biometría, con sede en Francia. 4-Se accede a GOOGLE el día de hoy, y se busca en la web loroparque.com, https://www.loroparque.com/terminos-y-condiciones/, incorporándose al procedimiento “términos y condiciones de compra y servicios”, figurando en el apartado f.- POLÍTICA DE PROTECCIÓN DE DATOS, dentro del apartado II “Condiciones generales de venta y servicios” “El usuario y/o consumidor, para poder contratar los diferentes servicios que ofrece LORO PARQUE, S.A., así como para la recepción de boletines informativos del Parque, deberá registrar los datos solicitados como cliente, declara que toda la información suministrada a la hora de registrarse es verdadera, completa y precisa y, que de conformidad con la Ley Orgánica 3/2018 de 5 de diciembre de Protección de Datos Personales, y garantía de los derechos digitales, así como del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016, la persona que se registra AUTORIZA EXPRESAMENTE a loroparque.com para que proceda a incluir en un fichero automatizado los datos de carácter personal que figuran en los campos del formulario por resultar necesarios para la adecuada prestación de sus servicios. Se indica que el Responsable del fichero es la entidad mercantil LORO PARQUE, S.A., cuyos datos han sido facilitados al inicio de estas CONDICIONES GENERALES DE VENTA, a efectos del ejercicio de los derechos de acceso, rectificación, supresión, limitación, cancelación y oposición previstos en la Ley y el Reglamento (UE).” “Para conocimiento de nuestros clientes, les comunicamos que las entradas denominadas TWIN TICKET, SEGUNDAS VISITAS, IN PARK, TARJETAS ANUALES, son entradas al portador, no identificando al titular o poseedor de las mismas, por lo que, para vincular las entradas con el adquirente, se ha establecido un sistema de verificación mediante la obtención de minucias, que configuran una representación matemática que, no es huella del mismo, sin que sirva dicha representación para la identificación de persona física alguna, no teniendo otra finalidad que la de poder constatar que quién se benefició de una oferta promocional, es quien utiliza el producto adquirido, y sin que sea posible relacionar posteriormente la representación matemática con el usuario que adquirió nuestro producto comercial.” 5.SE SOLICITA A LA RECLAMADA C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/79 A- Sobre la inclusión de la información que se subraya, informe de la fecha en que ha sido incluida, acreditándolo y expliquen o aclaren si la hubiera, la diferencia que entienden existe en sus alegaciones cuando se refieren a “representación matemática”, vs. “plantilla biométrica”. Se recibe respuesta el 1/08/2024. Sobre esta, solo manifiesta que “es una representación matemática que se saca tras realizar una plantilla biométrica. La información que se guarda no es un dato biométrico, sino que se genera de manera encriptada y sin posibilidad de revertir el procedimiento. Se genera una representación matemática. Su aspecto es el de una combinación de números y letras generadas de manera encriptada”. B- Explique ¿en qué consisten las entradas que refieren, subrayadas? ¿a qué dan derecho? ¿cómo se pueden adquirir?, ¿quién?, ¿cómo se han de pagar y por quién?, y ¿qué datos se han de registrar? Aporte impresión de las pantallas. Indique para que se usan esos datos registrados. Respondió que las entradas se pueden adquirir por distintos canales de venta, página web, taquilla presencial y también existen acuerdos de comercialización de agencias y operadores de turismo. La reclamada explica que a nivel de página web, el proceso se desarrolla: -Se accede a la web en la sección de tickets, seleccionando TT (De las otras entradas o tipos de ticket SEGUNDAS VISITAS, IN PARK, TARJETAS ANUALES, también al portador, no manifiesta aspecto alguno). “Se elige el tipo de entrada, según la edad de la persona que vaya a acceder y la fecha en que se quiere visitar Loro Parque y Siam Park. Posteriormente, se piden los datos de compra. NOMBRE, EMAIL NÚMERO DE TELÉFONO y CÓDIGO POSTAL. El cliente tiene que marcar que ha leído y acepta las Políticas de privacidad y si quiere o no, recibir publicidad y/o factura. Luego se paga, a través de una pasarela de pago segura con una entidad bancaria y se le envían las entradas por correo electrónico al email indicado. Aporta las imágenes que se ven en la web, figurando que las de adultos son para edad superiores a 11 años, y los niños, de “3 a 11 años”, gratis de 0 a 3 años. Manifiesta que “Puesto que esta entrada Twin Ticket, otorga el derecho de acceso al portador de la entrada a ambos parques, para validar que es la misma persona que entra a los dos parques y usa la misma entrada, es por lo que en el primer acceso se le hace una captura de las minucias de su huella, que, tras realizar una encriptación, lo convierte en una representación matemática.” C- Explique y confirme si las entradas o tickets que figuran subrayadas son no nominativas, aunque al adquirirlas se haya exigido datos del adquirente. Explique ¿porque resulta necesario y proporcional establecer el mecanismo del uso del sistema biométrico de recogida de la huella dactilar para” vincular las entradas con el adquirente”.? C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/79 Indique, si no existe otro sistema alternativo idóneo que no prevea el registro de huella y posterior verificación en la visita al segundo parque. Se hace notar que esta expresión “vincular las entradas con el adquirente”, no había sido efectuada anteriormente por la reclamada. Responde que ninguna entrada es nominativa. El comprador de las entradas puede ser una persona y las que accedan al parque otras distintas. “El mecanismo de captar las minucias y generar de manera encriptada una representación matemática, viene de la necesidad de poder vincular que la misma persona que tiene una entrada TWIN TICKET, es la que accede a ambos parques por este derecho comprado. No que la entrada se intercambia entre personas”. Responde que “no se ha definido otro método alternativo”, y que: “efectivamente las entradas no están vinculadas por el adquirente. La entrada y la captura de minucias, lo que vincula es a la persona que haga uso del acceso a un parque, con esa misma entrada y persona, al acceso al segundo parque, para usar y obtener la promoción del Twin Ticket.” D-Explique en el supuesto de que solo hubiera un adquirente que da los datos de la compra y es la persona que va a acceder con la entrada TWIN TICKET (TT). Si, de acuerdo con la información de la cláusula f, de- POLÍTICA DE PROTECCIÓN DE DATOS: ¿considera que se está vinculando la entrada con el adquirente como dice la información, a través de la huella?, ¿cómo se producen dichos vínculos en cuanto a sus sistemas de información y uso de la huella? Respondió que “se vincula con el acceso, no con el proceso de compra. Es obvio que, si el adquirente y la persona que accede es la misma, hay una relación. Son dos procesos distintos el de la compra y el del acceso. No obstante, la representación matemática resultante de solicitar las minucias en el acceso, no es relacionable con ningún dato del adquirente. En el proceso de compra se pide nombre y email: A.A.A. con email ***EMAIL1 y número de teléfono ***TELÉFONO.1 A.A.A. accede con su entrada Twin Ticket a Loro Parque, se le captan las minucias y se genera la representación matemática. (...)…… A los 2 meses A.A.A. con email ***EMAIL1 y número de teléfono ***TELÉFONO.1 compra otra entrada Twin Ticket y al hacer uso de ella, se le captan las minucias y se genera una representación matemática. (…)…. ¿Qué relación se puede establecer?, solo que cuando vaya a acceder al segundo parque la representación matemática se parezca en un 95% a la primera y le dé acceso. pero no tiene ninguna validez más. E-Se solicita que informen sobre, si ¿Puede una persona adquirir las entradas para otras, sin que sea el, el que acuda a visitar los parques? ¿En ese caso, se tomarían los datos de la huella del adquirente que no va a acudir al parque? ¿Se tomarían de que persona/s?, y qué ¿título tendrían que llevar? ¿Cómo vinculan en ese caso al adquirente con los datos de la huella? C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/79 Responde que “Son dos procesos distintos, el de compra y el de acceso. La compra la puede realizar una persona y dar la entrada a otra para que acceda. A una persona que compra no se le hace la captura de minucias, nunca, porque en el proceso de compra solo se adquiere el derecho a la entrada. Es en el proceso de acceso, cuando se hace la captura de minucias y es a esa persona a la que se la valida el acceso a los dos parques con su entrada Twin Ticket.” G- ¿Si siguen disponiendo de los tickets “ULTIMATE TENERIFE TICKET”, y “VUELVE”, para los que según se deduce de la reclamación 1, ¿se había de usar el registro de la huella dactilar para el acceso?, y ¿que incluyen y que datos se han de proporcionar.? Responde que “Estos tickets no están a la venta. No obstante, nunca se pide el registro de huella dactilar, se hace la captura de 10 minucias, se encriptan y se guardan como una representación matemática. Incluso si son comprados en la taquilla, no se pide ni datos al adquirente, por tanto, es imposible establecer una relación”. H-Confirme si en el año 2022, figuraba en condiciones generales de la venta y prestación de servicios, o en AVISO Legal, la información de que el acceso con la oferta TT incluía el registro de huella dactilar y su motivo. No responde. 6. Se solicita a la reclamada, copia del contrato o contratos suscritos con la empresa externa que le gestione el sistema de reconocimiento biométrico con lectura de huella dactilar que tiene implantado para el control de acceso a los dos parques con el TT, vigente a la fecha en que se producen los hechos. Indicar el papel que efectúa la entidad ***EMPRESA.3. Responde que aporta copia de contrato en DOCUMENTO 2 firmado con ***EMPRESA.3 denominada en el contrato ***EMPRESA.3, y sus anexos, documentos “3 y 4”. Cabe destacar del contrato los siguientes aspectos: -“CONTRATO DE PRESTACIÓN, ASESORAMIENTO E INSTALACIÓN DE UN SISTEMA DE VENTA Y RESERVA DE ENTRADAS, CONTROL DE ACCESO Y ACTIVIDADES DE LOS PARQUES QUE INTEGRAN LA ENTIDAD LORO PARQUE, ASÍ COMO EL MANTENIMIENTO DE DICHO SISTEMA” de 13/07/2020. En objeto del contrato, en la cláusula primera, se indica que tiene como tal, la implementación en los parques dependientes de Loro Parque de un sistema de asesoramiento, así como la instalación integral de los trabajos y licencias software incluidos en el documento “solución de venta y reserva de entradas- control accesos y actividades, y su mantenimiento” En la copia del contrato, documento 2, la cláusula primera se indica que “***EMPRESA.3 dispone de recursos humanos y técnicos necesarios y suficientes para la correcta prestación de los suministros objeto del presente contrato”. En “alcance y suministro de los servicios contratados” cláusula tercera, se indica que “incluirá el asesoramiento de la instalación del sistema de venta y reserva de entradas, control de acceso y actividades de los parques que integran la entidad LORO PARQUE, así C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/79 como el mantenimiento de dicho sistema, incluyendo todo lo necesario para el funcionamiento del objeto del contrato.” En la cláusula cuarta, “plazo de entrega” sobre la entrada en vigor del contrato, se precisa que se desarrollará en fases. En la cláusula sexta: “obligaciones de ***EMPRESA.3”, se indica que “***EMPRESA.3 aportará los recursos que sean necesarios para llevar a cabo la más correcta prestación de los suministros objeto del presente contrato, ***EMPRESA.3 se obliga a que el personal que contrate conozca y acepte por escrito su dependencia exclusiva de esta Sociedad con absoluta exención de responsabilidad aún a título subsidiario de LORO PARQUE.” “Las actividades ***EMPRESA.3 deberán realizarse con la debida diligencia atendiendo en su caso correctamente al público usuario y a los trabajadores o empleados de LORO PARQUE O DE SU GRUPO DE SOCIEDADES”. En dicho contrato no se alude a si el contratista accede o no a datos personales. Describe la FASE I de la implantación del sistema: “objeto: software instalación y puesta en servicio de la FASE 1”, (duración desde la firma del contrato hasta 1/08/2020) contenida en el ANEXO I del contrato, aportado, como DOCUMENTO 3, titulado en formato Manual una “propuesta de alcance: Fase 1””presentación de la solución ***EMPRESA.3” que comprende “servicio de venta, reserva y control de accesos”, conteniendo el detalle de las especificaciones de dicha solución y aludiendo a la reserva de los clientes de los tickets, al pago, facturación, y cuestiones de la plataforma cuyo software gestiona, pudiendo destacarse: En el apartado 2.1 “Taquillas. aplicación de venta en la taquilla: (...)” se indica como funcionalidades, entre otras, la de “localizador: canje de reservas y reimpresión de ventas online” También dispone de la opción 2.1.1.7 Solicitud de datos del visitante: nominar entradas, para tener el control sobre quien realiza la visita. En funcionalidades adicionales se indica que, al finalizar la venta, se pueden realizar funcionalidades adicionales como: “impresión de ticket individual en función del tipo de venta con un código QR que permite el control de accesos a los espacios” “2.1.1.17. Localizador Todas las operaciones de venta o reserva online que se realizan desde la administración o el checkout generan un localizador que se puede consultar y gestionar en esta opción del menú” En el punto 3.1.2 se indica que “se podrá comprobar si un localizador, ticket o albarán ha accedido a través de un punto de acceso concreto a un centro específico” “2.2. Control de Acceso (...). El control de accesos del sistema será capaz de validar los distintos formatos de códigos de barra y códigos QR emitidos por las distintas plataformas de venta. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/79 Con los periféricos de lectura adecuados incorporado en los dispositivos de accesos, el Sistema ***EMPRESA.3 soporta la incorporación de sistemas de lectura de tarjetas y pulsera RFID, así como validación de parámetros biométricos, como son la huella dactilar y el reconocimiento facial. En el caso de realizar la nominación de los visitantes en cada una de las entradas, bonos, promociones, etc. que se emiten en el momento de la venta o reserva, se puede verificar en el punto de acceso la identidad del visitante por medio de la lectura de código OCR del documento de identidad o pasaporte. La información obtenida en el momento del acceso se guarda en la BBDD con toda la información estructurada de modo tal que se puede vincular con toda la información relativa a la venta, reserva, abonado … correspondiente. De este modo se obtiene la total, trazabilidad de las operaciones. Todos los códigos seguirán el mismo esquema de codificación, que incluye distintos datos para poder hacer las validaciones configuradas y unos dígitos de seguridad para verificar que el código pertenece al sistema. Las validaciones que un control de acceso realiza dependen del tipo de control asociado al tipo de entrada del ticket. Así, configurando dos tipos de control distintos, se podría hacer que el tipo de entrada “Invitación VIP” de una visita no controlase la hora de acceso, mientras que una entrada “General” sí lo hiciera y no pudiera pasar hasta que la sesión no estuviera cercana a su inicio.” Los tipos de control se pueden configurar con distintas validaciones, como ejemplos, para el día que se reservó, dentro del rango horario configurado, días de la semana que se permite el acceso según tipo de entrada, definición de número de veces que una determinada entrada puede pasar el control de acceso, define un rango de fechas entre las cuales es válido el acceso de esa entrada, o sin acceso: si por algún caso hubiera que prevenir el uso inapropiado de un producto del catálogo del sistema se podría asociar la validación: “Sin acceso”, que directamente impide que la entrada sea aceptada en el control de accesos. “Los distintos equipos que se pueden utilizar para los controles de acceso con los que es capaz de trabajar el sistema comparten una BBDD común para la validación de las entradas donde se puede configurar qué se debe tener en cuenta a la hora de permitir o no la entrada: horario, un único acceso o varios, validez durante un rango de fechas, etc. Fuera de esa BBDD común, cada tipo de control de acceso supone un submódulo del sistema, pues tienen sus propias particularidades: Tornos. El control mecánico de los tornos se lleva a cabo con electrónicas específicas que se comunican con el núcleo del sistema de control de accesos para determinar si se debe abrir el paso o no. Atril con unidad lectora. Las lectoras de códigos de barras se conectan a un ordenador y muestran en pantalla si una entrada es válida o no. En caso de no ser válida se emite un pitido y se destaca el motivo por el que no permite el acceso: fecha, código de barras incorrecto, hora, entrada ya utilizada… C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/79 PDA. Las PDA ofrecen al encargado del control de acceso una mayor movilidad. Requieren de una conexión de red inalámbrica. El trabajo en local del control de accesos propuesto reduce al mínimo el tiempo de servicio ante la lectura de las entradas, mejorando notablemente la experiencia del visitante.” “2.3. Venta segunda visita – inpark. El Sistema ***EMPRESA.3 es multi-aforo y multi-recinto por lo que permite la venta y emisión de diferentes productos (entradas, bonos, promociones, abonados) con posibilidad de realizar varios accesos a uno o varios de los Parques del Grupo según las características definidas en el momento de definir el producto. Tal y como se detalla en el punto anterior de Control de Accesos se puede verificar los accesos posteriores a la primera visita por medio de sistema biométrico (huella o reconocimiento facial) o identificación por DNI o pasaporte.” “2.4.2. Checkout (…) “7. Ventana de confirmación o denegación de la compra. En el caso de confirmación se envía automáticamente al cliente un email con los datos de su compra, que incluyen un QR que utilizará para acceder directamente a la visita o actividad comprada. Los documentos de compra, aunque son personalizados según imágenes y creatividades especificadas por el cliente, son similares a los que se muestran a continuación:” Figurando en pantalla el documento que lleva en el lado derecho un código QR y en el izquierdo un numero de localizador, fecha de la visita, cantidad de entradas y precio, datos del titular, email, cód. postal provincia y país, fecha de visita-Información protección de datos. Además, se contienen las distintas utilidades que se pueden obtener con la plataforma, listados de informes, de ventas, de entradas etc. Describe la FASE 2 y 3: “objeto: software instalación y puesta en servicio de la fase 2 y 3” (duración desde la finalización, instalación y puesta de servicio de la fase 1, hasta el 30/09/2020, la fase 2, y desde esta hasta 31/12/2020 la fase 3, contenidas en el ANEXO II, que es aportado como DOCUMENTO 4. Se solicita denominación del equipo instalado, modelos de Software y hardware utilizados en concreto para la operativa del reconocimiento digital para accesos con el TT. Manifiesta que: “son equipos de la marca ***EMPRESA.1, modelo ***DISPOSITIVO.1 suministrados por la empresa ***EMPRESA.2” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/79 Manifiesta la reclamada que al cliente que se quiere beneficiar de la oferta económica de TT, “se le adquiere la imagen con (...)”, se le solicita que informe ¿quién lleva a efecto este trámite, donde se almacena la imagen tomada y si se pasa a alguna otra/s localizaciones.? Respondió que: “la captura de las minucias que hace la cámara (...) y su encriptación automática en dicho dispositivo genera una representación matemática que se almacena en equipamiento informático de Loro Parque SA, securizado y cuyo uso es exclusivo para el sistema de venta de entradas y validación de accesos. En la única localización física donde se guardan estos datos en la infraestructura tecnológica de Loro Parque SA, tanto en su entorno de producción, como de copias de seguridad”. 7. Informen también si este sistema y el contrato se utiliza también para el acceso con otras entradas/tickets distintos del TT, en concreto los que figuran subrayados en el punto 4. Respondió que: “Sí, así es, se utilizan para todos los tipos de entradas que se comercializan”. 8. Informen a qué base de datos se refieren cuando explican que ***EMPRESA.2 “tendría que poder acceder a nuestras bases de datos para poder relacionar los datos encriptados con una persona concreta”. Contenido de esa base de datos, ¿con que datos se forma?, el origen y momento en que se nutre dicha base de datos y finalidades, sujetos que engloba y producto de qué relación, contenido, origen de esos datos, finalidad, período de conservación. Respondió que: “Base de datos Microsoft SQL que hace la labor de (…) de toda la solución de ticketing” Lo conforman todos los datos necesarios para la venta de entradas y posteriormente proporcionar el acceso a los parques. Se empieza a nutrir desde el momento de la compra, donde se generan las entradas para el acceso. Luego estas entradas deben de ser validadas en el control de acceso físico al parque y se comprueba que dichas entradas, códigos QR, existen o no y se valida o no el acceso. Finalidad, que el sistema de ventas de entradas y acceso funcione y tengan información contra la que validarla”. 9.Sobre la afirmación que la entrada genera un código QR, se ruega que informen: - ¿con qué datos de la entrada genera el QR?, ¿en qué momento?, y ¿qué datos contiene dicho QR?, ¿si son de la entrada o hay más?, -¿qué fines tiene?, -¿Si se ha de portar tanto para el primer acceso como para el segundo con TT? - ¿Si el QR es objeto de lectura junto con la huella?, - ¿Si el resto de las entradas no nominativas, también generan dicho QR? Respondió que: “Son datos de la entrada, se genera con el número de operación, número de entrada, localizador de la compra, etc.…. Nunca con datos que suministre el comprador. ¿Qué fines tiene? Permitir y validar el acceso de las entradas compradas. - ¿Si se ha de portar tanto para el primer acceso como para el segundo con TT? Sí, pero se puede llevar en formato físico, papel o digital, móvil. Si el QR es objeto de lectura junto con la huella, Claro, se lee el QR, se detecta que es una entrada TT y en ese caso se pide la lectura de las minucias, tanto si es el primer acceso, como el segundo. Si se intenta leer una tercera C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/79 vez, se indica que la entrada está utilizada y no se pide lectura de minucias. Si el resto de las entradas no nominativas también generan dicho QR: Todas las entradas generan QR y los Twin Tickets no son entradas nominativas, el acceso a ambos parques es que se asocia con un individuo, pero se desconoce cualquier dato de esta persona que accede al parque.” 10.Dispositivo, espacio o lugar en el que se almacenan las plantillas biométricas producto del primer registro de la huella dactilar de los usuarios del TT. ¿Si a esas plantillas almacenadas se suma algún dato o elemento? ¿Quién tiene acceso a estas plantillas, y, quien gestiona ese almacenamiento, que modelo de software es utilizado? ¿Con que seguridad cuenta este sistema donde se almacenan las plantillas? Respondió que: “No se suman con ningún dato, se almacena en una tabla dedicada de la Base de Datos. Nadie accede a esas plantillas, solo el sistema. El almacenamiento es gestionado por Loro Parque SA, (...) para dotar de máxima seguridad física. Se cuenta con seguridad física y lógica, así como tecnologías de seguridad perimetral para proteger este sistema”. 11.Breve resumen explicativo técnico del íter del funcionamiento en la práctica de la implantación del sistema por el que se gestionaba en 2022 la recogida de huella dactilar que se utiliza como medio de control de acceso al segundo parque en el TT, en especial referencia al sensor, sistema de almacenamiento de las plantillas, e interconexión del mismo. También, sobre el sistema usado para crear las plantillas biométricas, características generales del algoritmo utilizado para dicha función, si dicho algoritmo se usa para generar la misma plantilla en diferentes sistemas biométricos, y en qué fase o momento/s se aplica el algoritmo, con que fines. Respondió que: “El sistema es el mismo en 2022, que en 2024. Mismo proceso, misma captura de minucias, misma (…).” El resto de las cuestiones no se atienden. 12.Responda a la cuestión de si se recoge solo la huella de un dedo o más dedos para cada usuario y el motivo de la segunda o sucesivas recogidas. Respondió que: “la captura de minucias se realiza solo de un dedo.” 13. Explicación de cómo funciona el sistema cuando por ejemplo acude el usuario a visitar el segundo parque con el TT, cuando se introduce el dedo en el lector, ¿con que otro elemento coteja esa introducción?, ¿dónde figura almacenado? Fecha hasta la que se conserva, y si después del plazo se bloquea o se destruye (acreditándolo) Y ¿qué sucedería si se utiliza la huella una vez transcurrido el período de vigencia del TT de quince días o el de vigencia de la entrada? Indique quién es el responsable de ese almacenamiento, de su bloqueo y su destrucción en su caso (aportando acreditación de ello). Respondió que: “Primero se hace la lectura del QR para saber que esa entrada es un Twin Ticket. Se coteja la representación matemática con la tomada en la primera lectura y si tiene un porcentaje de coincidencia superior al 95% se le concede el acceso. Cuando las entradas son leídas dos veces, ya no te permite usarlas más, por tanto, a la tercera lectura no lanza el proceso de captación de minucias. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/79 Las entradas no tienen vigencia, si están sin usar, se puede usar. El bloqueo lo hace automáticamente el sistema con las lecturas de la entrada Twin Ticket. 1ª lectura te deja y te pide la primera captura de minucias y genera representación matemática A, 2ª lectura te deja y te pide la segunda captura de minucias y genera representación matemática B, compara ambas representaciones matemáticas y si A y B se parecen en un 95% se permite el acceso. 3ª lectura la entrada da error, pone entrada ya utilizada y no pide captura de minucias. No hace comparación alguna más.” 14. Información en caso de que se almacene la plantilla biométrica en el sensor de lectura, ¿qué información se queda en dicho sensor?, objeto de ello, y ¿si se traslada en ese momento alguna información a las bases de datos del reclamado?, objeto. Respondió que: “En el sensor no se almacena nada. Hace todo el proceso de captura de minucias, encriptación y generación de representación matemática, que envía a la BBDD.” 15. El sistema motivo/fin por el que cuando la persona que accede al parque con el TT al pasar el dedo por el sensor, el código de la huella que recoge el software (empresa contratada) pasa a los sistemas de la reclamada (así se manifiesta en sus alegaciones) y si ese código que está en los sistemas de la reclamada es usado después, explicando para qué, y cuánto tiempo se almacena y porqué ese período. Respondió que: “la captura de minucias genera de (…). Esta representación matemática queda a la espera de que se haga la segunda captura de minucias, se genere de manera (…) una segunda representación matemática y se haga una comparación entre las dos. Hasta que no se haga esta segunda captura de minucias, se genere de manera encriptada una segunda representación matemática, esa primera representación se queda esperando a la segunda.” 16. Además, confirmen lo que manifestaron en su respuesta al traslado de la reclamación, respecto al uso del registro de la huella para verificar que la persona que accede en el segundo parque es la misma que la que accedió al primero, (a pesar de ser entradas no nominativas) no se tratan datos personales, y que esta consideración fue tomada sin ningún informe o dictamen que hubiera analizado el funcionamiento del sistema biométrico con el equipo del sistema biométrico que le da soporte. Indique si este punto ha variado. Asimismo, se solicita que informen si consideraron respecto a las reclamaciones (año 22) tomar en cuenta el examen de la necesidad y proporcionalidad del tratamiento con fin de control de acceso a los parques con entrada TT no nominativa o similares, a través de huella. En particular detallando el análisis efectuado sobre las alternativas del citado uso del registro de huella para acceder. Respondió que: “no se registra y no se lee la huella, se hace una captura de minucias, de manera encriptada se genera una representación matemática y cuando se hace la segunda captura y representación matemática se comparan, las representaciones matemáticas, por tanto, es por eso por lo que se dice que es la misma persona la que accede a ambos parques”. 17.Para la contratación de los servicios se indica en AVISO LEGAL de su web, protección de datos, que se han de registrar los datos como cliente. Se solicita copia del formulario con los datos que recababan en 2022 al adquirir entradas de TT, y si existe diferencia con los que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/79 recaban ahora, y denominación del Registro de Actividades de Tratamiento- RAT -del que forman parte estos datos. Aporta en su repuesta, captura de pantalla, indicando que es el formulario de datos del 2022. “Es el que hay ahora mismo en SIAM PARK”. El formulario dispone de los campos: “(incluya los datos de contacto del titular que va a realizar la compra)”, Nombre, E Mail, País, Teléfono, Código Postal y la opción de casilla a marcar de “solicitar factura”). En el pie se contiene información “básica” sobre el tratamiento, responsabilidad de LORO PARQUE SA, entre otros aspectos: finalidad “gestión administrativa, emisión de entradas y control de acceso a los recintos. Gestión contable y fiscal. ”Legitimación: por ejecución de un contrato”, y ofrece información adicional en un enlace. En el pie de la información constan las casillas para marcar de haber leído y aceptar las políticas de privacidad y de compras, y otra para consentir envío de información comercial. Añade que son los mismos datos que se solicitan ahora. Sobre el RAT no detalló su denominación. 18. Copia del (RAT) que tengan relación con los datos recogidos de CLIENTES para la adquisición de tickets de acceso a los parques, indicar si se incluye los de clientes que adquieran la modalidad de entrada TWIN TICKET, y el resto de los tickets no nominativos arriba subrayados, vigentes en 2022. De acuerdo con la información proporcionada por la reclamada en su web, figuran datos de clientes que se incorporan a ficheros, efectuándose tratamientos sobre ellos, considerándose que no son ocasionales sino habituales entendiéndose que se cumplen las circunstancias del artículo 30.5 del RGPD. Respondió que: “Son dos procesos distintos el de la compra y el del acceso”. No aporta el RAT del tratamiento de datos de clientes en la compra de tickets a través de sus webs, a pesar de que informa que se trataran automatizadamente tales datos. 19.Respecto del INFORME, DOCUMENTO DOS que aportaron en alegaciones, manifestaron que “Finaliza el informe solicitado por LORO PARQUE, S.A., acreditando que los datos digitalizados obtenidos, se conservarán únicamente mientras la tarjeta o entrada en cuestión esté vigente, y se destruirán de forma inmediata cuando deje de estarlo, protegiendo así la privacidad y seguridad de los usuarios” A tal efecto, se les solicita que informen cual es la referencia utilizada para establecer en sus sistemas que la entrada o tarjeta está vigente, donde está almacenado ese dato y quien es su responsable y que proceso se sigue para inhabilitar el acceso si la entrada no está vigente, quien establece internamente los módulos para inactivar e impedir el acceso. También sobre los datos digitalizados-obtenidos, ¿a qué datos se refieren? y ¿dónde se sitúan?, entendiendo que existe relación con la entrada, detalle ¿en qué consiste esta.? Respondió que: “La entrada se deshabilita una vez que ha sido leída las veces que tiene definida. En caso de un Twin Ticket tiene dos lecturas, una por parque, por tanto, cuando se ha leído dos veces, ya queda desactivada, inhábil, inoperativa, sin que se pueda volver a usar. El sistema es el que valida cuantas veces se ha leído una entrada y en caso de un Twin Ticket si se ha leído dos veces y se lee una tercera, dará entrada usada y el personal del control de acceso no debe de dejar acceder al cliente con una entrada usada.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 24/79 20. Número de clientes/usuarios registrados en su web cuando adquieren la entrada del TT en 2022. Informen del número de personas que accedieron a los dos parques en 2022 con el TT. Si no tuvieran datos de aquel año, pueden dar de otro año-aportando preferentemente impresión del soporte en el que en su caso se visualice o figuren dichos números. Responde que: “No aparece una contabilidad diferenciada con respecto del resto de entradas”. 21. Copia impresa del reverso de TWIN TICKET para verificar si tiene contenido, cual es el mismo. En la aportada como DOCUMENTO 1 en sus alegaciones no se aporta la otra cara. Respondió aportando en la parte izquierda, imagen rectangular del TT, con logos de los dos parques y debajo reza en su literal “consultar condiciones de uso en el acceso a los parques” figurando las páginas web. 22.Informe, si se dispone de entrada TWIN TICKET, ¿si esa entidad exige también que se porten los tickets en papel impreso? ¿Si al acceder a la primera visita con el TT o el de VISITA ANUAL, en el primer acceso, se registra la fecha o la fecha de inicio como la de la compra de los tickets?-¿Cómo se marca la primera visita al parque con ticket TT para que no se vuelva a acceder al mismo? Respondió:” Se puede llevar la entrada Twin Ticket con el QR asociado, tanto en papel como en un soporte digital, móvil, fotografía, siempre y cuando se pueda leer el QR adecuadamente. La entrada TWIN TICKET solo queda invalidada cuando se ha leído dos veces, hasta entonces es válida. Cuando se ha leído dos veces la entrada ya no es válida. En el caso de PASE ANUAL, la entrada tiene vigencia de un año, con un acceso permitido al día. Pasado este año que empieza a contar desde la emisión de la tarjeta, ya no es válido el acceso y en consecuencia el PASE ANUAL”. 23.FORMULARIO que utilizaban en 2022 y 2023 para registrarse en su web, con objeto de adquirir la oferta de entrada TWIN TICKET, dirección web en la que se hallaba o halla, en la actualidad información que se proporcionaba sobre protección de datos. Respondió que en “2022 hasta ahora” la dirección web es https://tickets.siampark.net/sereservarEntradas.aspx?opc=21&m=INDIVIDUALTWIN&lg=esES. Solo aporta captura de pantalla de del formulario que aparece para rellenar los datos de contacto del titular que va a realizar la compra y la información básica sobre protección de datos. Clicando en ella, conduce a la página de tickets de siampark, venta oficial de entradas, https://tickets.siampark.net/ “compre sus entradas TWIN TICKETS en solo unos minutos…”, que consta de CUATRO PASOS. 1-Seleccione el día y tipo de entradas que desea adquirir 2 Seleccione la hora en que quiere visitarnos 3-Introduzca sus datos de contacto 4-Seleccione el método de pago Iniciando seleccionar la fecha, aparece después el desplegable de tickets separados: adulto, niño o TWIN TICKET niño free (de 0 a 2 años), para agregar número de entradas. En la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 25/79 información de la imagen de cada ticket “i”, clicando ahí, figura el literal: “Multiplica tu experiencia por dos: Loro Parque y Siam Park con una sola entrada y ahorra 10 euros. Tienes seis meses para visitar Siam Park desde la fecha de tu visita a Loro Parque.” Al seleccionar el día/continuar, sale por cada parque, primero, Loro Parque, una franja horaria “seleccione la hora en la que quiere visitarnos” que no se puede modificar, y el indicador “Ir a paso 3” en el que clicando sale el formulario de “datos de contacto del titular que va a realizar la compra”, con datos de nombre, e mail, país, código postal, y teléfono como datos obligatorios. Debajo figura “información básica sobre protección de datos”, destacando “legitimación por ejecución de un contrato”, finalidad: “gestión administrativa. Emisión de entradas y control de accesos a los recintos, y en información adicional y detallada sobre protección de datos figura para clicar en “este enlace”. Finaliza con las dos casillas para aceptar y marcar “he leído y acepto las políticas de privacidad y de Compra”, y de consentir para envío de información comercial. Si se clica en el enlace de información adicional y detallada, lleva a otra página de siampark, con información, en la que consta, dentro de “Condiciones generales de venta y servicios”, el apartado: “
- f)Política de protección de datos: “Para conocimiento de nuestros clientes, les comunicamos que las entradas denominadas TWIN TICKET, SEGUNDAS VISITAS, IN PARK, TARJETAS ANUALES, son entradas al portador, no identificando al titular o poseedor de las mismas, por lo que, para vincular las entradas con el adquirente, se ha establecido un sistema de verificación mediante la obtención de minucias, que configuran una representación matemática que, no es huella del mismo, sin que sirva dicha representación para la identificación de persona física alguna, no teniendo otra finalidad que la de poder constatar que quién se benefició de una oferta promocional, es quien utiliza el producto adquirido, y sin que sea posible relacionar posteriormente la representación matemática con el usuario que adquirió nuestro producto comercial.” De ello se deja constancia en diligencia de acceso de 14/08/2024 También indica que desde “ 2023 hasta ahora” Dirección web – https://www.loroparque.com/ticketsonline/es/paso0 Seleccionar la opción TWIN TICKET” Resultando si se accede la opción de compra de entrada TWIN TICKET, conteniendo lo mismo que si se entra por la página de entradas en siampark del en cuanto a tipos de entradas ofertadas y operativa para cumplimentar el formulario En el apartado de política de privacidad, si se clica, figura bajo el título de “política de privacidad” a destacar: - el interesado (usuario) que facilite a “LORO PARQUE, S.A.” datos de carácter personal a través de redes sociales o plataformas online queda informado que el responsable del tratamiento de los datos personales que nos proporcione será: “LORO PARQUE, S.A. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 26/79 -Como responsable del tratamiento, “LORO PARQUE, S.A.” solicitará expresamente autorización al usuario a la presente política de privacidad . (…) 7”VIII- ¿A PARTIR DE QUÉ EDAD PUEDE EL USUARIO ACCEDER A NUESTROS PRODUCTOS Y SERVICIOS? Como regla general y conforme establece el nuevo Reglamento General de Protección de Datos, en su artículo 8, cuando se aplique el artículo 6, apartado 1, letra a), en relación con la oferta directa a niños de servicios de la sociedad de la información, el tratamiento de los datos personales de un niño se considerará lícito cuando tengo como mínimo 16 años. Si el niño es menor de 16 años, tal tratamiento únicamente se considerará lícito si el consentimiento lo dio o autorizó el titular de la patria potestad o tutela sobre el niño, y solo en la medida en que se dio o autorizó. 24. Indiquen el período de tiempo desde el que se lleva utilizando la recogida de huella dactilar para acceso con tickets TT y el resto que conlleve este tipo de acceso. Respondió que “no mantenemos un registro de las modificaciones que se hacen en las páginas web”. 25.En sus alegaciones al acuerdo de inicio indicaron que: “La petición de documento de identificación solo se hace a los efectos de poder determinar el carácter de residente o no, por la diferencia de precio. “nunca se almacena la identificación, ni se relaciona con la entrada.” A tal efecto, se le solicita indiquen si ello es aplicable a todas las entradas, también a los TT y que documentos emplean para verificar la identidad de la persona y si efectuasen sus sistemas algún sistema de verificación de dicha comprobación. Respondió que:” Se pueden adquirir TWIN TICKET en los puntos de venta autorizados (hoteles, agencias de viaje, quioscos). Estos serían puntos de venta (se vende únicamente un código QR). Posteriormente el cliente, hace uso de los TWIN TICKET, mediante el sistema de verificación a que se refiere el presente procedimiento para acceder a los parques. También se aplican a los TWIN TICKET y a todas las entradas que tiene la denominación de RESIDENTE. Al cliente se le pide que enseñe el DNI o certificado de empadronamiento y si reside en la Comunidad Autónoma Canaria, tiene derecho al descuento de residente. No se utiliza ningún sistema, solo la supervisión física y visual de este dato en la documentación aportada y no se verifica la identidad de la persona, sino su lugar de residencia y si es Canarias se le puede aplicar el descuento de residente fijado”. 26. Aporten si disponen, de análisis de necesidad y proporcionalidad del sistema de uso de dato biométrico-huella dactilar que aconseje el uso de dicho sistema, desde cuando se viene usando, y análisis de riesgos del tratamiento de datos personales. Respondió que: “No se aplican para el sistema que se describe, porque no se recogen datos biométricos ni huella dactilar”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 27/79 27.Informe sobre las diferentes formas de adquisición de los TT fuera de la web de la reclamada, ¿dónde se pueden adquirir?, y si los datos que se piden por esos terceros autorizados a dicha venta son los mismos que los de la propia web de la reclamada. Reclamante 2 aporta copia de los “bonos asociados a suplemento” “TWIN TICKET” en el cuerpo de los billetes de barco, en los que figuran impresos nombres y apellidos, localizadores: el mismo para los cuatro billetes, (...), nº billete: (el mismo número para los cuatro billetes, (...) a (...), secuenciales seguidos), y NIF/NIE/tarjeta residente de dos adultos y NIF de dos infantes, fecha caducidad con referencia a fecha embarque/trayecto: Gran Canaria/Tenerife, y códigos de barras en cada billete del bono, manifestando que los compró en la naviera FRED.OLSEN Express, “pues se ofrecen a todos los que compran billete con destino a Tenerife”. Se solicita a la reclamada ¿porque en dichos tickets figuran todos los datos de los asistentes y si fueron incorporados al fichero de clientes de esa entidad.?” Respondió que: “En estos casos el cliente para Loro Parque es la Agencia, no el cliente final con el que trabaja la Agencia. Una demostración más que están separados los procesos de compra, en este caso el comprador es la Agencia y, en este caso el que accede es el cliente final de la Agencia. Sobre el caso que se expone, los datos que almacene (...) es cuestión suya, en lo que concierne a LORO PARQUE SA, los datos que se almacenan son los datos que proporcione (...) y se les remite las entradas que nos solicita comprar, ni más ni menos. Luego esas entradas que llevan un QR son validadas en el control de acceso, simplemente viendo si son válidas o no, independientemente de la persona que las haya comprado o si ha venido en barco, avión o a pie. En el caso de que estas entradas que (...) haya pedido comprar entrada Twin Ticket, a sus clientes finales les habrán llegado los QR, los cuales se leerán en el control de acceso, se detectará que es un Twin Ticket, se les pedirá la lectura de las minucias, se generará de manera encriptada una representación matemática y luego en su segunda lectura de dicho QR, se hará lo mismo y si ambas representaciones coinciden en un 95% se les permitirá el acceso con esa entrada Twin Ticket.” 28.Explique lo que quiere decir en sus alegaciones cuando indica, solo sobre lo subrayado: “las entradas, generan un código QR, y los sensores en los que los clientes ponen los dedos, mediante un sofisticado sistema de software informático prestado por empresa externa y especialista en la materia, genera de forma directa una representación matemática”, (se solicita que indique si esa representación es la plantilla biométrica, además, si se refiere en la primera entrada o acceso o en la segunda visita o acceso con TT). Respondió que “No es una plantilla biométrica, es una representación matemática. Un Twin Ticket tiene dos accesos y la captura de minucias, generación encriptada de una representación matemática se genera en la lectura 1 y 2, pero en la segunda lectura, se hace una comparativa entre ambas representaciones matemáticas y si tienen una semejanza superior al 95% se permite el acceso”. 29.-En el ANEXO 4, que se extrajo en actuaciones previas, para la adquisición de entradas on line en la información que se proporcionaba, figuraba en finalidad, emisión de entradas y control de accesos a los recintos, si bien indican que la entrada es no nominativa, aclare esta información, y aporten copia de este formulario en la actualidad con las mismas casillas para introducir los datos y la información que ahora exista. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 28/79 Respondió que: “Son dos procesos distintos: Compra, donde se hace una operación de compra de entradas que llevan asociados unos QR que dan derecho al acceso a los recintos. Acceso, procedimiento de lecturas de los QR antes indicados. Pero los intervinientes de ambos procesos no tienen por qué ser las mismas personas, por tanto, no hay una relación entre los datos de compra y los datos de acceso.” DÉCIMO PRIMERO: Alegaciones del reclamado en su escrito de respuesta a práctica de pruebas. El reclamado, junto a su respuesta en pruebas, realiza las siguientes alegaciones: 1-En el acuerdo de inicio de 2/10/2023, en la parte final, se informa que la duración del procedimiento es de 9 meses desde la fecha del acuerdo de inicio, por lo que considera que el expediente ha caducado a partir del 2/07/2024, según lo que determinaría el artículo 64.2 párrafo quinto, de la LOPDGDD, y con los efectos de archivo previstos en el artículo 25.1.
- b)de la LPACAP. 2- Nulidad del procedimiento, por vulneración del principio de responsabilidad (art 28.1 de la LRJSP), estimando que concurre por pedir en pruebas diversos documentos e información, lo que demostraría que no se tenía conocimiento previo suficiente para imputar a esta parte falta alguna. Se imputa primero un hecho ilícito sin prueba suficiente, y luego se abre un período probatorio sin atender las alegaciones hechas en fase previa, en respuesta al acuerdo de inicio: “para que se aporte documentos, aclaraciones y manifestaciones nuevas, que intenten demostrar la culpabilidad de LORO PARQUE, S.A. Ello implica que se está poniendo la carga de la prueba de los hechos imputados sobre el administrado investigado y no sobre la administración instructora.” “La reclamada no puede ser sancionada al no haber prueba de existencia de ilícito administrativo en la gestión del TWIN TICKET ni a título de dolo ni a título culposo. La reclamada adoptó todos los medios a su alcance para conseguir no tener dato personal alguno de los clientes que usan dicho producto”. DÉCIMO SEGUNDO: Envío de propuesta de resolución. Con fecha 6/09/2024, se remitió propuesta de resolución al reclamado, con el literal: “PRIMERO: Que por la Directora de la Agencia Española de Protección de Datos se sancione a LORO PARQUE, S.A., con NIF A38009023, por una infracción del artículo 9 del RGPD, tipificada en el artículo 83.5
- a)del RGPD, y calificada como muy grave a los solos efectos de la prescripción de dicha infracción, en el artículo 72.1.
- e)de la LOPDGDD, con una multa de 250.000 euros, SEGUNDO: Que por la Directora de la Agencia Española de Protección de Datos se ordene a LORO PARQUE, S.A., con NIF A38009023, en virtud del artículo 58.2.
- f)del RGPD, que en el plazo de 30 días desde que la resolución que ponga fin a este procedimiento sea ejecutiva, acredite haber procedido al cumplimiento de la medida del fundamento de derecho VI, concretada en la prohibición del tratamiento de datos analizado.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 29/79 DÉCIMO TERCERO: Alegaciones a la propuesta de resolución. Con fecha 23/09/2024 se recibieron alegaciones de la reclamada, en las que manifiesta: 1-Reitera que -“la AEPD considera que el sistema utilizado por LORO PARQUE, S.A. permite identificar personas a través de la huella dactilar, lo que es erróneo”. -“la AEPD, considera que la representación matemática de una huella es un dato personal, lo que no puede ser tenido por cierto, porque la representación matemática no permite hacer un camino inverso hasta la huella digital del cliente y, por ende, hasta su identificación (No cabe emplear "ingeniería inversa"). La representación matemática de la huella, no nos dice nada sobre el cliente.” -“No habiendo hecho prueba la AEPD de la afirmación de la reclamada de que no es posible revertir el proceso utilizado de tal forma que al final, pueda identificarse al dueño de las minucias que formaron la representación matemática, no puede ser calificada de errónea.” -“En ningún momento se graba la huella dactilar de los clientes, ni, lógicamente se almacenan, siendo, por lo demás, que el sistema utilizado no es reversible, no permitiendo llegar, por un procedimiento inverso, a reconstruir una huella digital completa que permitiera identificar a su titular. Si esto es así, que lo es, y la AEPD no ha probado lo contrario, no se nos puede aplicar el RGPD, ni la LOPDGDD.” -“la representación matemática de la huella, que es lo único que obtiene LORO PARQUE, S.A., no nos proporciona dato personal alguno sobre persona alguna, por lo que es imposible obtener datos identificativos de la persona.” -“Se debe considerar, por tanto, que si para comprobar que quien entra en un parque con la oferta TWIN TICKET es la misma que entra en el segundo parque, se utiliza una representación matemática de la huella digital, que no sirve para identificar al cliente, porque no aporta dato personal alguno del mismo, no se está utilizando dato personal alguno de los protegidos por el RGPD, art. 4.1” - “el fabricante de los dispositivos que consiguen finalmente la representación matemática, ***EMPRESA.2, nos garantiza que no se trabaja con huellas digitales. sino con representaciones matemáticas de la huella digital original, y que, durante el proceso de verificación, el sistema no compara imágenes de huellas dactilares, sino unas "nubes de minucias" que, al compararse entre sí, procesa una puntuación. Cuando la puntuación supera un umbral determinado, se supone que las dos plantillas proceden del mismo dedo, pero nunca nos permite identificar a quién pertenecía el dedo en cuestión, por lo que, en ningún caso esas plantillas pueden ser consideradas como datos personales a los efectos del RGPD, quedando excluidas, del objeto del RGPD” -“según nos indica ***EMPRESA.2. se explica el proceso de extracción de las minucias a partir de las imágenes de huella, y cómo las comparaciones biométricas no utilizan la propia imagen durante su ejecución.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 30/79 2-LORO PARQUE, “pretendiendo el control de accesos para su producto TWIN TICKET, solicita a empresas externas que le proporcionase un sistema informático que permita su correcta gestión con todas las garantías para los derechos de las personas que acceden a los parques. LORO PARQUE, S.A., es un mero cliente de las empresas que prestan los servicios de control de accesos. En efecto, tal y como consta en el expediente administrativo, ***EMPRESA.3, nos proporcionaron el software y ***EMPRESA.2, el hardware, necesarios para ello. Se nos garantizó, porque esa era nuestra idea, que con sus sistemas no había posibilidad de obtener dato personal alguno de los clientes en lo relativo al control de accesos y que el proceso automatizado no nos proporcionaría la huella digital de los clientes, sino una representación matemática, que impedía relacionarla con las minucias obtenidas y, por tanto, con la huella de origen, siendo, además un procedimiento irreversible, esto es, que no permitía llegar a identificar a nuestros clientes, haciendo el camino inverso con el resultado de final de proceso. Si no hay datos personales, según ya hemos acreditado, no se puede considerar a LORO PARQUE, S.A. como responsable de infracción alguna, según refiere la AEPD por remisión al RGPD y a la LOPDGDD.” “Al no utilizar su sistema dato personal alguno, e intentar aplicar la legislación de protección de datos, se está vulnerando los principios de tipicidad y de legalidad previstos en la Ley 40/2015 de 1/10.” “ La AEPD utiliza conceptos que o se definen en la normativa de protección de datos, como el de “plantilla biométrica”, por lo que se infringe el principio de tipicidad y se acude a definiciones contenidas en Dictámenes y Directrices que no se recogen expresamente en la norma sancionadora.” 3-“Los códigos matemáticos no identifican personas tal y como hemos acreditado con los informes técnicos aportados, solo recogen la validez de las entradas y los códigos QR a ellas asociadas, sin que existan mecanismos que permitan asociar un dato con una persona, aunque estén en principio fuera del alcance del que posea esos datos, y ni siquiera con ayuda de terceras personas se puede razonablemente identificar a las personas cuyos datos se tratan”. 4- “LORO PARQUE, S.A., se limita a crear dos códigos QR, sin relación alguna con dato personal alguno que permita identificar a los usuarios de los mismos, y mediante un complejo sistema de software prestado por empresa externa que impide, que, mediante un camino inverso, partiendo de las minucias de las huellas (que no las huellas dactilares), se pueda determinar una huella dactilar completa, que permita identificar a su titular.” 5- “LORO PAROUE, S.A., en cualquier caso, no almacena datos personales, no almacena la huella dactilar y, no proporciona información personal alguna, dato personal alguno del cliente a los prestadores del servicio, y, por ende, no está infringiendo el art. 9 del RGPD, o, al menos, está adoptando las precauciones técnicas necesarias para que así sea.” 6- “hemos probado, a diferencia de la AEPD, que el sistema contratado por LORO PARQUE, S.A. para el control de acceso a los parques mediante las entradas tipo TT, llevan dos procedimientos paralelos que no se cruzan en ningún momento: el proceso de venta (que no C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 31/79 es objeto de este procedimiento) y el proceso de acceso (que no prueba la AEPD infrinjan precepto alguno de la legislación aplicable a la materia.” “En ningún punto de nuestros sistemas se cruzan los procesos de compra con la comprobación de la plantilla. Es decir, no se "casan" los datos de venta con la plantilla generada. Son dos procesos distintos. Uno, es el proceso de venta y, otro, es el proceso de acceso, que como se puede comprobar (la AEPD, no lo hizo) no están ligados el uno con el otro, y así, una persona, por ejemplo, puede comprar dos entradas y dárselas a dos personas distintas para que accedan a los parques, de ahí, que los datos de venta nada tengan que ver con los accesos. También puede darse el caso de que una persona realice una compra de tres entradas y sólo una sea para ella. En este caso, el único dato de venta se referiría a una persona, que no le identifica, por mucho que ponga su nombre y email en el proceso de compra. Que eso sea así evidencia que los datos de compra y de acceso no se cruzan, pues no hay dato alguno de las otras dos personas, distintas del adquirente, que utilizan las entradas. Se trata de dos procesos distintos (Venta y Acceso) y los datos no se encuentran ligados, de tal forma que, aunque el adquirente "on line" compre una sola entrada TT para sí mismo, no se encontraría perfectamente identificado. 7- “Solo pretende conseguir un argumento que permita sancionar, sin prueba alguna, a una empresa que con el sistema de acceso no utiliza dato biológico alguno que permita identificar al cliente, ni saber nada más de él, pues los datos guardados, abstraídos de cualquier otra consideración, no identifican personas, sino usuarios anónimos de un producto comercial, de precio rebajado y de adquisición voluntaria. Ni LORO PARQUE, S.A., ni las empresas colaboradoras: ***EMPRESA.3, y ***EMPRESA.2., pueden por sí mismas, ni a través de terceros intervinientes, acceder a dato personal que permita identificar a persona alguna, puesto que, las representaciones matemáticas. no permiten ser revertidas hasta conseguir una huella digital, que, como tal, permitiría identificar a su titular.” 8- “Ni LORO PARQUE, S.A., ni sus empresas colaboradoras, obtienen la huella digital del cliente, que al ser única y distinta para cada persona, permitiría aplicar al proceso la legislación que regula los datos personales y, entre ellos, a los datos biométricos, pero lo dicho, en ningún momento se graba la huella dactilar de los clientes, ni, lógicamente se almacenan, siendo, por 10 demás, que el sistema utilizado no es reversible, no permitiendo llegar, por un procedimiento inverso, a reconstruir una huella digital completa que permitiera identificar a su titular. si esto es así, que lo es, y la AEPD no ha probado lo contrario, no se nos puede aplicar el RGPD, ni la LOPDGDD.” ” según informa la Comisión Europea en https://commission.europea.eu/law/law-topic/data-protection/reform/what-personaldata es (Que se aporta como documento número TRES), a la pregunta ¿QUÉ SON LOS DATOS PERSONALES?, proporciona la siguiente Respuesta: "Los datos personales son cualquier información relativa a una persona física viva identificada o identificable. Las distintas informaciones, que recopiladas pueden llevar a la identificación de una determinada persona, también constituyen datos de carácter personal.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 32/79 -“No hay prueba alguna que determine que el sistema utilizado por LORO PARQUE, S.A., almacene toda la huella del cliente; que los datos de compra de los TT se puedan relacionar con la base de datos generada para comprobar el acceso de usuarios de las tarjetas TT.” 9-Manifiesta la reclamada que la AEPD efectúa manifestaciones carentes de toda prueba o meras hipótesis como: -En el folio 50/67, en que se indica que “se podría dar el caso de que otras entidades que utilizaran un sistema standard de recogida de muestras como el de la reclamada, pudiera tener plantillas generadas con el mismo algoritmo, asociando además la plantilla a la identidad de las personas, con lo que igualmente, se estarían tratando datos de carácter personal, al poder ser identificable.” -“En el folio 49/67: Dado que la vigencia de este tipo de entradas es por un tiempo, que puede establecer en la propia oferta la reclamada, se reconoce de 15 días, 6 meses o anual. La reclamada dispone de medios técnicos con el software contratado que permitiría la identificación e identificabilidad de la persona que ha accedido en una primera ocasión y va a acceder en la segunda, e incluso una vez agotado el periodo de vigor de la entrada.” -“En el folio 50/67: Todo ello, sin perder de vista que se trata de un sistema muy intrusivo para los derechos y libertades fundamentales de las personas físicas, entre otras circunstancias por el funcionamiento a través de sistemas de inteligencia artificial que implementan algoritmos para diseñar y leer la plantilla biométrica, puestos en relación con la deficiencia en las normas de fabricación de sistemas homologados y certificados del software de uso, añadido a la extensión e interoperabilidad de uso de estos sistemas”, considera la reclamada, que se efectúa una cualificación del sistema que no se corresponde con el suyo, no habiéndose recibido ninguna queja por cuestiones de seguridad.” -“En el folio 51/67: Cabe indicar que toda pérdida de las cualidades de integridad, confidencialidad y disponibilidad con respecto a las bases de datos donde se almacenan las plantillas sería claramente perjudicial para cualquier aplicación futura basada en la información contenida en dichas bases de datos, y causaría asimismo un daño irreparable para los interesados, entre los que se encuentran menores. Por ejemplo, si las huellas dactilares de una persona autorizada se asociaran con la identidad de una persona no autorizada, esta última podría acceder a los servicios de que dispone el propietario de las huellas dactilares, sin tener derecho a ello. El resultado sería un robo de identidad, que ...quitaría fiabilidad a las huellas dactilares de la persona para futuras aplicaciones y, en consecuencia, limitaría su libertad”. 10-Reitera la alegación de que al figurar en el acuerdo de inicio firmado el 2/10/2023, que el procedimiento tiene una duración de nueve meses, el expediente se ha de archivar por caducidad por no haberse emitido resolución en dicho plazo, en aplicación del artículo 25.1.
- b)de la LPACAP. 11-Nulidad del expediente sancionador, “al haberse dictado prescindiendo total y absolutamente de procedimiento legalmente establecido, de acuerdo con el artículo 47.2 de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 33/79 la LPACAP”, “por no llamar al expediente a todos los que la AEPD ha considerado responsables de las infracciones a que se refiere su propuesta de resolución del procedimiento sancionador”. Al reproducir el artículo 70 de la LOPDGDD se cita a los encargados de tratamiento, “faltando la solidaridad de la responsabilidad de ***EMPRESA.3” 12-“Se impugna por los mismos motivos expuestos a lo largo de sus alegaciones, los argumentos mantenidos por la AEPD para imponer la prohibición total establecida en el punto SEGUNDO de la propuesta de resolución.“ 13-“Hemos probado que hemos adoptado todos los medios a nuestro alcance para conseguir que en el control de acceso a los parques no tener dato personal alguno de nuestros clientes de TT, por lo que considera que no cabe hablar de “grave falta de diligencia”. Considera carente de prueba la agravante del artículo 83.2.
- b)del RGPD, antes, al contrario, ha quedado probado que la reclamada “externalizó un sistema de control de accesos a sus parques con entradas TT respetuoso con el RGPD y la LOPDGDD.” 14-Considera que la afirmación de que se recogen datos de menores no tiene en cuenta como probado, que el sistema contratado por LORO PARQUE para el control de acceso a los parques mediante las entradas tipo TT, lleva dos procedimientos paralelos que no se cruzan en ningún momento: el proceso de venta, y el proceso de acceso, y que con su sistema de accesos con TT es imposible saber la edad del usuario de la entrada “Son abusivas e injustificadas las constantes manifestaciones que hace la AEPD, a que el sistema prestado por empresas externas a LORO PARQUE, S.A. afecta a los menores de edad, cuando ya hemos probado a la Agencia, que los datos personales que hayan sido anonimizados, de forma que la persona no sea identificable o deje de serlo dejarán de considerarse datos personales. Para que los datos se consideren verdaderamente anónimos, la anonimización debe ser irreversible”. 15-Añade que “LORO PARQUE desde el día 18 de septiembre del año en curso, ha sustituido el sistema de control de acceso para TWIN TICKET, a que se refiere el presente procedimiento.“ “habilitó un nuevo sistema de control de accesos a los parques en sustitución del sistema a que se refiere el presente procedimiento sancionador”. “Se trata de un nuevo sistema de control de accesos que ha supuesto un modificación técnica de calado, larga y costosa, que no pudo habilitarse de la noche a la mañana”. HECHOS PROBADOS PRIMERO: La reclamada, según consta en la web “Monitoriza business” tiene como objeto social: Actividades de los parques de atracciones y los parques temáticos, constituida el 30/05/1972, con un capital social de (…) euros, constando unas ventas de (…) euros en 2021, último ejercicio presentado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 34/79 SEGUNDO: Los tres reclamantes, reclaman en 7/08 y 13/09/2022, el primero, el 16/09/2022 el segundo, y el 3/11/2022 el tercero, que al adquirir los tickets para acceso conjunto a LORO PARQUE (parque zoológico) y SIAM PARK (parque de actividades acuáticas) en Tenerife, con la oferta denominada TWIN TICKET, TT, que gestiona la reclamada se ha de proporcionar para acceder la huella digital, incluso de menores de edad, sin que se informe cuando se adquiere el ticket. TERCERO: En actuaciones previas, a 17/08/2023, en la web de la reclamada https://www. loroparque.com/aviso-legal/, existía un apartado de “política de protección de datos”, que informaba: ”El usuario y/o consumidor para poder contratar los diferentes servicios que ofrece LORO PARQUE SA, así como para la recepción de boletines informativos del parque, deberá registrar los datos solicitados como cliente”, “la persona que se registra autoriza expresamente a LORO PARQUE para que proceda a incluir en un fichero automatizado los datos de carácter personal que figuran en los campos del formulario por resultar necesarios para la adecuada prestación de sus servicios”, con finalidad de gestionar las compras y peticiones hechas por el usuario a través de las páginas web, y que LORO PARQUE pueda proporcionar los servicios “ofertados y por usted aceptados”. Asimismo, se informa que el envío de los tickets se realiza a través del área de usuario en la plataforma y/o correo electrónico puesto que es un producto virtual en formato pdf. Similar información se contiene a la citada fecha, en https://www.loroparque.com/terminos-ycondiciones/,https://www.loroparque.com/privacidad/ No se contiene información alguna sobre el empleo de técnicas de biometría para el acceso de las personas a los parques LORO PARQUE y SIAM PARK con la entrada TT. El 8/07/2024, accediendo en el período de pruebas a la web https://www.loroparque.com/terminos-y-condiciones/, figura la advertencia que, a fecha de la reclamación, no se acredita que existiera, del tenor: “las entradas TWIN TICKET, entre otras, son entradas al portador, no identificando al titular o poseedor de las mismas, por lo que, para vincular las entradas con el adquirente, se ha establecido un sistema de verificación mediante la obtención de minucias…, no teniendo otra finalidad que la de poder constatar que quién se benefició de una oferta promocional, es quien utiliza el producto adquirido, y sin que sea posible relacionar posteriormente la representación matemática con el usuario que adquirió nuestro producto comercial La reclamada no acredita, al no responder en pruebas desde que fecha incluyó esta información de “verificación mediante la obtención de minucias”. CUARTO: La reclamada informó que la oferta especial a usuarios de sus parques: (una de ellas para residentes en las Islas o con reducción de precio) LORO PARQUE y SIAM PARK, denominada TWIN TICKET (TT) consiste en que el usuario de uno cualquiera de los parques (con independencia de su edad) pueda visitar el otro con rebaja de precio como entrada NO NOMINATIVA, al portador, igual que las entradas denominadas “SEGUNDAS VISITAS, IN PARK y TARJETAS ANUALES”, según reconoció en pruebas y así figura el 8/07/2024 en la captura de pantalla de la web loroparque.com, https://www.loroparque.com/terminos-y-condiciones/, en el apartado f.- POLÍTICA DE PROTECCIÓN DE DATOS, dentro del apartado II “Condiciones generales de venta y servicios. Para el sistema de acceso, con esas entradas, entre las que se incluye TT, se utiliza control de tecnología biométrica basado en la huella dactilar, con objeto de que sea la misma persona que accede al primer parque, la que accede al segundo“ C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 35/79 En alegaciones al acuerdo de inicio, la reclamada aportó del TT las “condiciones” en un impreso que rezan con la información de que solo podrá ser utilizado por una persona, y que en ningún caso es posible que las visitas a ambos parques sean efectuadas por personas diferentes. Cifra el período para visitar el segundo parque en SEIS MESES desde la fecha de la visita al primero, pero se puede configurar otro distinto, pudiendo ser quince días. En el período de práctica de pruebas, la reclamada informó que también las entradas TT pueden ser adquiridas no solo online en su web, sino también presencialmente en la taquilla, quioscos, hoteles o a través de canales de terceros como operadores de turismo o Agencias con los que se suscriben acuerdos. QUINTO: En el acceso a una de las web OFICIAL de la reclamada para compra online de entradas TT, se pudo comprobar a 30/08/2023, en actuaciones previas, de investigación, que en la dirección https://tickets.loroparque.com/reservarEntradas.aspx? opc=20&m=INDIVIDUALTWIN&Ig=es-ES/. se han de completar CUATRO pasos. Iniciándose el 1 con la selección del número de entradas, de adultos (edad superior a 11 años), niño (de 3 a 11 años), gratis (0 a 2 años). En el paso 2, se elige el día y la hora en la que quiere la visita a cada parque, en el 3, se introducen los datos de contacto de la persona que compra las entradas, figurando un formulario para rellenar: NOMBRE, E MAIL, NÚMERO DE TELEFONO, PAÍS, CÓDIGO POSTAL, con una información básica sobre el tratamiento de datos, responsabilidad de LORO PARQUE, finalidad: gestión administrativa, emisión de entradas y control de acceso a recintos. Gestión contable y fiscal. Legitimación: por ejecución de un contrato, con información adicional en un enlace, casilla para solicitar la factura, y finaliza con dos casillas para marcar, una de “he leído y acepto las políticas de privacidad y de compras”, y otra de consentimiento para envío de información comercial. Por último, en el paso 4, se selecciona el método de pago que se produce a través de una pasarela de pago segura con una entidad bancaria, y se le envían las entradas por correo electrónico al e mail indicado, en formato pdf. Sin embargo, a la fecha de los hechos reclamados, la reclamada reconoce y, en el período de pruebas, también, que la dirección web donde se compraban en 2022 las entradas TT (y sigue existiendo) era en https://tickets.siampark.net/sereservarEntradas.aspx? opc=21&m=INDIVIDUALTWIN&lg=es-ES., con la misma operativa de adquisición. Añade la reclamada que también se podían adquirir las entradas TT, desde “2023 hasta ahora”, en la dirección web – https://www.loroparque.com/ticketsonline/es/paso0 Seleccionar la opción TWIN TICKET. En cualquiera de ellas, los datos a introducir para adquirir las entradas y la información es similar. La reclamada no aporta copia del Registro de Actividades de Tratamiento de estos datos que se cumplimentan (formularios) en, las TRES direcciones web citadas para la compra de entradas por los adquirentes de las mismas, entre otras, del TT, y que ella misma les informa que forman parte de un fichero, según consta en el punto 17 de la práctica de pruebas. SEXTO: La reclamada manifestó en alegaciones al acuerdo de inicio que, al acceder al primer parque, se le entrega a cada usuario un sobre con un “ticket/cartulina“ y de la copia del mismo se aprecia que es distinto a la entrada TT on line adquirida en la web, teniendo en cuenta que el formato de la entrada on line adquirida en la web de la reclamada del TT tiene un formato pdf, y se le envía al e mail que proporciona en el proceso de registro y compra de las entradas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 36/79 El ticket cartulina que aporta, si bien no identifica su procedencia, podría ser de una entrada adquirida en la taquilla, no VÍA ONLINE, para el que en el caso de que así fuera, la reclamada informó que “no se pide ni datos al adquirente”. El ticket/cartulina que aporta, se ha de guardar y se presenta también al realizar la segunda visita. El citado ticket contiene: - un número de serie, - LORO PARQUE, fecha y hora para su acceso, - debajo, un código QR, -la información de no reembolsable, válido 15 días, Ticket intransferible La reclamada también informó que todas las entradas, entre las que se incluye la TT generan un código QR. Este mismo extremo se confirma en el Manual aportado por el reclamado documento 3 en pruebas, sobre software contratado, de gestión de entradas y accesos, cuando se adquiere la entrada por la web, “en el caso de confirmación se envía automáticamente al cliente un email con los datos de su compra, que incluyen un QR que utilizará para acceder directamente a la visita o actividad comprada”. De acuerdo con la reclamada, todas las entradas compradas on line, incluyendo las TT, así como el citado ticket/cartulina se han de introducir en cada una de las dos visitas a los parques incluidos en TT, en los sensores de acceso físicos del software al parque habilitados para ello, por la lectura del código QR. Si detecta que es una entrada TT, pide a continuación el dato dactilar, dedo índice, también, tanto o si es el primer acceso como el segundo, en el sensor/terminal lector de huella. Tanto el sistema de software de reserva y venta de entradas, como la toma de la huella son gestionados por el contratado de la reclamada con ***EMPRESA.3, (“con los periféricos de lectura adecuados incorporados en los dispositivos de accesos, el Sistema ***EMPRESA.3 soporta la incorporación de sistemas de lectura de tarjetas y pulsera RFID, así como validación de parámetros biométricos, como son la huella dactilar y el reconocimiento facial “, contenido en el 2.2 del Manual, documento 3 punto 6 de pruebas). Además, la reclamada reconoció que no tiene establecido otro sistema alternativo a la toma del registro biométrico para acceder, exigiéndose para el acceso incluso para menores de edad, desde la edad de 3 años que se ha de abonar entrada. El código QR es distinto para cada entrada, se genera con el número de operación, numero de entrada, localizador de la compra. Aparte de otra información que pueda contener el citado código QR, la reclamada indica sobre este, que: -Se genera con el número de operación, número de entrada, localizador de la compra, puede llevarse en papel, o en soporte móvil, digital, o fotografía, -No se genera nunca con datos que suministra el comprador, y, -Su fin es permitir y validar el acceso de las entradas compradas, detectando que es un TT C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 37/79 Además, de acuerdo con el Manual de gestión de venta de entradas y control de acceso del contrato de software con ***EMPRESA.3, todas las operaciones de venta o reserva on line generan un localizador, y con sus sistemas de software de entradas pueden comprobar si un localizador o ticket ha accedido a través de un punto de acceso concreto a un centro específico (apartado 2.1.1.7 Solicitud de datos del visitante: nominar entradas, para tener el control sobre quien realiza la visita). De acuerdo con lo manifestado por la reclamada en pruebas, toda la solución del ticketing derivado de la venta de entradas para acceso a los parques se almacena en una base de datos Microsoft SQL, conteniéndose todos los datos necesarios para la venta y el acceso a los parques, los datos de la compra de la entrada para el acceso. Si la persona que compra las entradas on line TT, es la que accede al parque, hecho normal que no precisa de prueba, se acredita que esta ha registrado sus datos personales en los sistemas de la reclamada obteniendo una entrada en pdf que se envía a su correo electrónico. El sistema de venta de entradas le asocia a su entrada un código QR propio y un localizador. Además, la entrada comprada suele tener concertada y prefijada la primera visita para un día concreto y una hora o, de ambos parques (se puede programar según la oferta la validez del ticket para una segunda visita, 15 días o 6 meses, por ejemplo, o un año la tarjeta anual). El sistema de gestión de ventas y accesos de la reclamada contratado con ***EMPRESA.3 ha generado dichos códigos asignados a la entrada del adquirente, y el mismo sistema almacena por lectura los códigos QR y seguidamente la toma de la huella para el acceso del adquirente a los parques, luego ese adquirente puede perfectamente ser o estar identificado, al poder asociarse las entradas, por disponer el reclamado de los datos personales, información y los mecanismos que hacen posible relacionar, la toma de la huella con su nombre, teléfono, país, código postal, e mail, y si pidiera una facturación, de más datos, pudiendo conocer de quien se trata. La entrada se deshabilita (deja de tener vigencia), una vez que ha sido leída las veces que tiene definida. En caso de un Twin Ticket, tiene dos lecturas, una por parque, por tanto, cuando se ha leído dos veces, ya queda desactivada, inhábil, inoperativa, sin que se pueda volver a usar. A la tercera lectura no lanza el proceso de captación. El sistema es el que valida cuantas veces se ha leído una entrada y en caso de un TT, si se ha leído dos veces y se lee una tercera, dará entrada usada y el personal del control de acceso no debe de dejar acceder al cliente con una entrada usada. SÉPTIMO: La reclamada tiene suscrito un contrato con ***EMPRESA.3 de prestación asesoramiento e instalación y mantenimiento de un sistema de venta y reserva de entradas, control de accesos y actividades de los parques, que incluyen licencia de software, de 13/07/2020, para la explotación de la plataforma. En el anexo al contrato de gestión de venta de entradas y gestión de accesos de la reclamada con ***EMPRESA.3, documento 3 del punto 6, de práctica de pruebas, figura a modo de Manual de referencia, las características de dicha plataforma, que gestiona ***EMPRESA.3. Entre otras, se indica: Los distintos equipos que se pueden utilizar para los controles de acceso con los que es capaz de trabajar el sistema de reserva y acceso de entradas, comparten una BBDD común para la validación de las entradas donde se puede configurar que se debe tener en cuenta a la hora de permitir o no la entrada: horario, un único acceso o varios, validez durante un rango de fechas, etc. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 38/79 Como tipo de control de acceso, el contrato con ***EMPRESA.3 menciona entre otros, tornos, atril con unidad lectora, PDA, y tiene la opción de verificar los accesos posteriores a la primera visita por medio de sistema biométrico-huella o reconocimiento facial (con los periféricos de lectura adecuados incorporado en los dispositivos de accesos) (o identificación por DNI o pasaporte-sistema OCR). Además, también para acceder por primera vez, se puede con los periféricos de lectura adecuados en los dispositivos de acceso donde están colocados, validar los mismos no solo con datos biométricos referidos, también con tarjetas y pulsera RFID. El punto 2.3 del Documento 3, señala que el “sistema es multi-aforo y multi-recinto por lo que permite la venta y emisión de diferentes productos (entradas, bonos, promociones, abonados) con posibilidad de realizar varios accesos a uno o varios de los Parques del Grupo según las características definidas en el momento de definir el producto. Tal y como se detalla en el punto anterior de Control de Accesos se puede verificar los accesos posteriores a la primera visita por medio de sistema biométrico (huella o reconocimiento facial) o identificación por DNI o pasaporte.” “La información obtenida en el momento del acceso se guarda en la BBDD con toda la información estructurada de modo tal que se puede vincular con toda la información relativa a la venta, reserva, abonado … correspondiente. De este modo se obtiene la total, trazabilidad de las operaciones.(2.2. control de acceso (...), documento 3, aportado en pruebas, llamado “solución de venta y reservas de entradas control de accesos y actividades. Propuesta de alcance fase 1”, punto 6. El apartado 3 “Aplicaciones de informes (...)”, del citado documento 3, señala que el sistema cuenta con herramientas que permiten un seguimiento completo de las actividades y eventos creados en el sistema desde que fueron dados de alta hasta la finalización ce los mismos, incluyendo un desglose de la trazabilidad de las operaciones realizadas sobre cada una de las entadas y recintos implicados desde que se reservaron hasta que accedieron al centro. Igualmente, el manual señala en el punto 2.1.1.7 “solicitud de datos del visitante: nominar entradas”, que, “en algunos casos, los productos que se adquieren requieren ser nominados para tener el control sobre quien realiza la visita”, pudiéndose guardar los datos . El apartado 2.1.1.9 Funcionalidades adicionales, indica que al finalizar la venta se pueden “capturar los datos del visitante para que quede asociada la venta a un visitante, aunque no esté registrado”. En la ventana de facturación, captura de datos 2.1.1.10, se han de completar los datos de NIF y dirección del cliente registrado o la factura se puede cambiar a un visitante diferente al cliente registrado. Según informó ***EMPRESA.3, la clave de cifrado de las minucias capturadas se almacena en la memoria interna del sensor. Afirma la misma entidad que la huella cifrada puede ser legible por parte del fabricante del dispositivo que la transformaría en legible. El dato codificado de la plantilla de cada usuario que accede a los parques se almacena en los sistemas de la reclamada. La reclamada manifestó que captura las minucias (diez puntos de coincidencia de huellas digitales) con cámara (...) y su encriptación automática en dicho dispositivo genera una representación matemática que se almacena en equipamiento informático de LORO PARQUE SA, (…) y cuyo uso es (…). En la única localización física donde se guardan estos datos en la infraestructura tecnológica de Loro Parque SA, tanto en su (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 39/79 Durante el tiempo de vigencia del TT, cada entrada porta un localizador y un código QR incluyendo las no adquiridas en la web. Durante ese tiempo de vigencia de la entrada se ha de conservar el ticket que porta el código QR que se ha de presentar en cada acceso al dispositivo al efecto, junto a la toma de la huella. El sistema de venta de entradas y acceso contratado con la empresa ***EMPRESA.3 incorpora un sistema de validación de parámetros biométricos de la huella dactilar la marca ***EMPRESA.1, modelo ***DISPOSITIVO.1 suministrados por la empresa ***EMPRESA.2”. En el documento 3 que presenta la reclamada, sobre la fase 1 de implantación del sistema de reserva de entradas y accesos, anexo al contrato (instalación y puesta en servicio), se contiene una amplia variedad de funcionalidades, indicándose que todas las entradas generan un localizador que puede seguirse y verificarse si el poseedor ha accedido y por dónde. Además, el sistema valida lectura de códigos de barras y QR emitidos por las distintas plataformas de venta. En el punto 2.2 control de acceso se indica que: “En el caso de realizar la nominación de los visitantes en cada una de las entradas, bonos, promociones, etc. que se emiten en el momento de la venta o reserva, se puede verificar en el punto de acceso la identidad del visitante por medio de la lectura de código OCR del documento de identidad o pasaporte. La información obtenida en el momento del acceso se guarda en la BBDD con toda la información estructurada de modo tal que se puede vincular con toda la información relativa a la venta, reserva, abonado … correspondiente. De este modo se obtiene la total, trazabilidad de las operaciones. Todos los códigos seguirán el mismo esquema de codificación, que incluye distintos datos para poder hacer las validaciones configuradas y unos dígitos de seguridad para verificar que el código pertenece al sistema. Las validaciones que un control de acceso realiza dependen del tipo de control asociado al tipo de entrada del ticket. Así, configurando dos tipos de cont