1/139 Expediente N.º: EXP202305134 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Presentación de la primera reclamación Con fecha 21/04/2023, tiene entrada en la Agencia Española de Protección de Datos una primera reclamación de RECLAMANTE 1 (R1 en lo sucesivo, VER ANEXO GENERAL). La reclamación se dirige contra FÚTBOL CLUB BARCELONA (FCB) con NIF G08266298 (en adelante, FCB) al que pertenece como socio. Los motivos en que basa la reclamación son los siguientes: El FCB ha iniciado una campaña para actualizar los datos del censo de personas asociadas, que según se indica en la página web del Club, obligatoria, de acuerdo con los Estatutos de la entidad y debe estar realizada antes del 30/06/2023. Recibió, a tal efecto, un correo electrónico, que contiene un enlace al que accedió para iniciar el proceso. Relata que: “Una vez iniciado el mismo, se señala, en cuanto a la finalidad, que el uso de datos biométricos se realizará solo si se otorga el consentimiento para ello (de hecho hay una casilla en la que se solicita la autorización para la grabación de la voz), sin embargo una vez iniciado el trámite y a pesar de indicarse que se va a solicitar la realización de una simple foto del rostro (selfie) se solicita mover la cabeza hacia arriba y hacia abajo (y tras esto supongo que de derecha a izquierda) lo que constituye la toma de datos biométricos relativas al rostro respecto de las cuales no se ha solicitado consentimiento expreso y es necesario para acabar el proceso de actualización del censo. Considero que la obtención de datos biométricos para la actualización de un censo de un Club deportivo no responde a la finalidad para las que se piden los datos, pero es que, además, en este caso no se permite realizar el trámite sin proporcionar los datos biométricos del rostro con lo que, solicito, inicien las actuaciones necesarias tendentes a que el FC Barcelona para que modifique el procedimiento de actualización del censo sin necesidad de tener que proporcionar, sin consentimiento expreso, datos biométricos del rostro” Aporta: 1-Captura de pantalla del apartado de la web del Club, donde se informa; “Qué es el censo de socios y socias: La actualización de datos es una obligación estatutaria que hace posible regularizar el censo de socios y socias del Club El censo es un registro de todos los socios y socias que forman parte de la entidad y que recoge los datos personales necesarios para el Club. Tal y como marcan los estatutos del Fútbol Club Barcelona debe: Facilitar una dirección u otros datos para la entrega de las Comunicaciones del Club y notificar debidamente los cambios de domicilio. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/139 Facilitar la cuenta corriente de una entidad de crédito, a donde puedan cargarse las cuotas o aportaciones del socio o socia, o abonadas las entregas que les haga el Club. Ejecutar los tramites de actualización del censo electoral que promueva el Club, ya sea requiriendo la presencia del socio o socia o aportando los datos requeridos”. 2-captura de pantalla: “nuevo censo socios y socias 2023 Más digital, más personal Crea ahora tu perfil digital BARÇA, y accede a mejores servicios”, con la siguiente información: “Crea tu perfil digital Es un proceso ágil, muy sencillo, 100% digital. ¿Quién puede crear su perfil? Los socios y socias que sean mayores de edad deben realizar todo el proceso. Mas adelante se abrirá el acceso a los socios y socias menores de edad, momento en el que el Club informará del procedimiento que estos tendrán que seguir. ¿Qué necesitaras? Un dispositivo electrónico como un ordenador, Tablet, o móvil con cámara y micrófono incorporado. Tu DNI, NIE o pasaporte a mano. Ubícate en un lugar con buena iluminación, evita reflejos y ruidos de fondo”. “Solo tardarás unos minutos.” Explica 8 pasos: “1-a través de la web del Club o APP socios, hay que dirigirse a “Nuevo censo de socios y socias” y acceder con tu clave y código personal (PIN). 2- ir al apartado de “trámites nuevo censo socios y socios”. 3- selecciona el País y el tipo de documento oficial de identidad. 4-muestra tu documento oficial de identidad a la cámara y se escaneará automáticamente. 5- Hazte una foto selfie. 6 -Y graba tu voz durante 5 segundos. 7- por último, entrar en el formulario de datos, complétalo y verifica tu perfil Barça. 8- el proceso terminará con la certificación que se ha completado de forma correcta”. 3-Una hoja parcial del proceso, en la que se puede ver: “Ahora un selfie” para seguir las instrucciones del movimiento de 1. “encaja la cara en el marco y espera la cuenta atrás. 2 Mueve la cabeza lentamente en la dirección que te indiquen las flechas. 3 cuando la pantalla te indique que lo has hecho correctamente, vuelve a mirar al centro”, y debajo la pestaña “comenzar el proceso”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/139 4-Captura de pantalla de “nou cens socis I socies 2023. Bienvenidos al nuevo censo de socios y socias del FC Barcelona”. Figura el ofrecimiento de contactos para cualquier duda y un párrafo de “información de protección de datos” con el FCB como responsable, y: “Finalidades: gestión, relación e identificación con el socio o socia. Trámites y gestiones sobre el abono. Derecho de uso del asiento, uso de datos biométricos para contactos con el Club y para la autenticación del socio o socia e identificación para el acceso a las instalaciones del Club en caso de consentimiento expreso del socio o socia, envío de comunicaciones relativas al Fútbol Club Barcelona, envío electrónico de información comercial del Fútbol Club Barcelona, y/o entidades vinculadas/ filiales, así como de sus patrocinadores o colaboradores. Derechos: puede oponerse al envío de comunicaciones comerciales y ejercer su derecho de acceso, rectificación, supresión, portabilidad y limitación”, figurando un e mail, y más información en un enlace. Le siguen dos casillas para poner la x. La primera, “acepto la Política de Privacidad”, con un link si se clica La segunda “Acepto la grabación, registro y uso de mi voz como dato biométrico de acuerdo con la Política de Privacidad que he aceptado.” No se aporta documento alguno que contenga la visual de la “Política de privacidad” referida. SEGUNDO: Traslado de la reclamación De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5/12, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), el 21/04/2023 se dio traslado de dicha reclamación a FCB, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 21/04/2023. Con fecha 22/05/2023, se recibe en esta Agencia escrito de respuesta al traslado y a la información requerida, indicando: 1-Como antecedentes, FCB refiere: 1) las particularidades del FCB, 2) el proceso de digitalización, y 3) la aplicación de la comparación facial utilizada FCB indica que es una asociación deportiva de personas físicas, de carácter privado y sin ánimo de lucro con personalidad jurídica propia y capacidad de obrar cuya propiedad corresponde a sus socios/as, cuya condición es personal e intransferible. “En el FCB, ello tiene una especial relevancia por ser las socios/as quiénes deciden sobre el funcionamiento del Club y eligen democráticamente a la Junta Directiva y los/las que, por medio de sus compromisarios, aceptan las propuestas de la Junta.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/139 Adicionalmente, los socios pueden ostentar también la condición de abonados que les confiere el derecho de uso temporal de determinadas localidades en el estadio “Spotify Camp Nou”. Estos abonos son renovables de forma automática cada temporada. “Dada la problemática del Club de la limitación de localidades del estadio que no tiene suficiente capacidad de localidades para satisfacer el interés de los aficionados y socios de disponer de abonos para asistir a los partidos, el FCB conocedor de la tal limitación, trata de adoptar medidas posibles para paliar determinadas prácticas de cesión ilegítima de carnets de socios/as juntamente con carnets de abonado a terceros. Como, por ejemplo: Es práctica habitual que cuando fallece un socio/a, no se comunica al Club y así, sus familiares pueden seguir utilizando el mencionado carnet, así como el carnet de abonado en caso de disponer de uno, incluido el asiento asignado y disfrutando de forma irregular de los beneficios que lleva aparejado el título de socio/a y el de carnet de abonado. Otra de las prácticas fraudulentas consiste en la cesión del carnet de socio y de abonado a un tercero totalmente ajeno al FCB, de forma onerosa para que, sin tener la condición de socios/as o ninguna vinculación con el Club, utilice ilegítimamente el carnet del cesionario, incluso haga negocio con el mismo, conducta prohibida por los Estatutos que rigen la entidad y tipificada como infracción. Esas circunstancias implican que sea de vital importancia disponer de un censo actualizado veraz y fidedigno que evite el uso fraudulento tanto de los carnets de socios/as, como de los carnets de abono por parte de terceros que no son sus titulares reales”. “Teniendo en cuenta las particularidades de la condición de socios/as del FCB, y la importancia para su buen funcionamiento, el 21/06/2022, la Junta Directiva aprobó actualizar el censo de socios y socias al considerar que un censo renovado es crucial para garantizar que los datos de los mismos se corresponden fehacientemente con la realidad, pues entre otras circunstancias, son los que avalan la representatividad democrática de los órganos de gobierno y toman las decisiones por medio de sus compromisarios, así como quienes pueden interactuar económicamente con el FCB. Resaltar que la veracidad de los datos y el mantenerlos actualizados es un deber de todos las socios/as del FCB, siendo una obligación que se encuentra recogida en los Estatutos del Club. “ “A la hora de llevar a cabo este proceso de actualización del censo, cobra especial importancia, la elección y uso de un sistema que permita una “autenticación real del socio o socia, con tal de verificar que efectivamente es quien dice ser. En consecuencia, a la hora de valorar cuál era el sistema de tratamiento idóneo para llevarlo a cabo, el FCB ha tenido que tomar en cuenta estas circunstancias y escoger aquel mecanismo que le permitirá autenticar al interesado con mayor seguridad y certeza. Además, se buscaba un sistema que no implicara necesariamente la presencia física de los socios en las instalaciones del FCB teniendo en cuenta la dispersión geográfica y no causar perjuicios de que las socios/as se tuvieran que desplazar. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/139 Aprovechando la actualización del censo de socios/as, el FCB ha iniciado una apuesta digital para, entre otras cosas, facilitar los trámites y, a su vez, dada la relevancia de sus funciones, garantizar un mejor proceso de autenticación, que sea seguro y que permita y ayude a evitar posibles fraudes y suplantaciones de la identidad de los socios/as. Para el último proceso de actualización del censo de socios/as, se optó por un sistema online por medio de formularios solo para socios/as de fuera de la ciudad de Barcelona, generando quejas de los socios locales por obligarles a ellos a realizar el trámite presencial con lo que esta circunstancia se ha tenido en cuenta a la hora de escoger el sistema de actualización, pretendiendo evitar el agravio comparativo.” “Uno de los principales motivos y objetivos de la digitalización del proceso de actualización del censo, es, teniendo en cuenta el volumen de socios y socias (143.000) y su dispersión geográfica, permitir que los socios y socias que lo deseen puedan actualizar sus datos personales sin necesidad de desplazarse a las instalaciones del Club. En la comunicación dirigida a los socios y socias, si bien es cierto que el FCB ha priorizado el proceso digital por considerarlo más idóneo y cómodo, tanto para los socios y socias como para el Club, en ningún momento se ha obligado a utilizar esta vía de regularización, pudiendo aquellos socios y socias que lo deseen, por no disponer de los medios o por no estar familiarizados con los entornos digitales, acudir a las instalaciones del Club y contactar con el FCB para realizar el trámite presencialmente en sus oficinas. De hecho, así lo han hecho algunos de ellos. Para este proceso digital se ha optado por un sistema de comparación facial, por medio del cual se comparan dos imágenes de una misma persona en tiempo real, una fotografía tomada de la imagen de un documento de confianza, como puede ser la fotografía contenida en el DNI o el pasaporte, que se compara con una fotografía en tiempo real de la persona. Esto permite la autenticación real del individuo para confirmar que es la misma persona que aparece en las dos imágenes y garantizar que es la que se pone tras la cámara y se hace la fotografía en tiempo real, evitando así que pueda ser otro individuo el que simplemente suba dos fotografías de otra persona.“ Asimismo, a los socios y socias, “el sistema les solicita que durante el proceso la persona mueva la cara de un lado a otro únicamente como mecanismo para dar fe de vida y demostrar su presencia, evitando así que la imagen real sea suplantada por otra fotografía del titular del DNI que podría adjuntar otra persona. Una vez se ha realizado la comparación, la fotografía del DNI se elimina, y únicamente se conserva la imagen tomada en tiempo real como fotografía actualizada del socio o socia, pero sin ningún vector biométrico. Es decir, en ningún momento se registran datos biométricos en las bases de datos del FCB, limitándose la comparación estrictamente al momento del cotejo facial de ambas imágenes. De este modo, el sistema permite autenticar y confrontar una imagen proporcionada por el socio o socia con otra que se toma en ese mismo momento, sin la necesidad de registrar sus datos biométricos faciales, por lo que no es posible volver a utilizar los rasgos faciales utilizados para comparar las imágenes”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/139 2-Sobre la base jurídica que legitima el tratamiento del sistema biométrico de reconocimiento facial, SBRF, manifiesta FCB que es el artículo 6.1.
- b)del RGPD: “el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte”, derivado de la “obligación que tienen los socios/as del FCB, según el artículo 11.8 de los Estatutos del Club, les obliga a ejecutar los trámites de actualización del censo electoral que promueva el Club” “ya sea requiriendo la presencia del socio o aportando los datos requeridos”. “Para concluir que los rasgos faciales obtenidos durante el proceso de comparación facial no tienen la calificación de datos biométricos a tenor de lo estipulado en el RGPD, se ha basado en lo establecido en los artículos 4.14, 9.1 y en el considerando 51 del RGPD, y en los distintos informes y documentos con recomendaciones publicados por los organismos de control de Protección de Datos, en concreto: Sobre las distinciones entre identificación unívoca y verificación, el informe del Gabinete Jurídico de la AEPD núm. 36/2020, el Dictamen 3/2012 del GT 29 de la evolución de las tecnologías biométricas, y el Libro Blanco sobre la inteligencia artificial de la Comisión Europea.” “En este sentido, nos encontramos que el sistema de comparación facial utilizado por FCB está destinado a autenticar a sus socios/as al comparar una imagen estática (fotografía del DNI) con otra imagen selfi que se realizan los socios/as en tiempo real y movimiento, sin que en ningún momento ello implique la realización de una comparación unívoca del socio o socia con una base de datos de un grupo”. “El sistema de comparación parcial utilizado por el FCB, al basarse en un sistema de simple autenticación (uno a uno) que no genera una base de datos biométrica de socios y socias del Club, considera que el tratamiento no tendría la consideración de categoría especial de datos y no precisando el consentimiento de los interesados. Todo ello, considerando, además, que en ningún momento se obliga a la utilización de los sistemas de comprobación facial, aunque por cuestiones logísticas y operativas si se haya priorizado.” 3-En cuanto a las garantías para la protección de los derechos y libertades de las personas, respondió FCB que: -Tiene un protocolo de cumplimiento del RGPD y de la LOPDGDD que le permite realizar un seguimiento continuo. -Disponen de un organigrama interno compuesto por profesionales relacionados con la privacidad y protección de datos, un despacho externo de abogados, encargados de la verificación continua del cumplimiento, que realiza anualmente una auditoría global de los tratamientos realizados. -DPD externo con más de 20 años de experiencia en privacidad y protección de datos. -Departamento interno de IT que velan por la seguridad de los sistemas donde se llevan a cabo los tratamientos de datos personales. -Empresa de seguridad y ciberseguridad externa, que apoyan al departamento de IT y auditan los sistemas. -Los representantes de estas áreas y entidades conforman una “Comisión Operativa de protección de Datos”, “liderada por el DPD” que se reúne regularmente para analizar los puntos relacionados con los tratamientos de datos personales llevados a C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/139 cabo por el FCB, se plantean mejoras y se exponen posibles nuevos tratamientos de datos para su posterior valoración. Por otro lado, expone las acciones que han realizado para garantizar y cumplir con la normativa de protección de datos: -Registro de Actividades del Tratamiento (RAT) -Se ha realizado una valoración de riesgos de los tratamientos de datos, y cuando se ha precisado o detectado la necesidad en la valoración de riesgos, las correspondientes evaluaciones de impacto de determinados tratamientos. -Se dispone de una política de privacidad general sobre el tratamiento de protección de datos de los distintos interesados respecto a los que el FCB puede tratar datos personales. -Si un proveedor trata datos personales, un servicio externo valora si cumple las garantías para actuar como encargados, y junto con el departamento de IT, valoran las medidas de seguridad aportadas por dichos proveedores para garantizar la seguridad de los datos a los que puedan acceder. -protocolo de seguridad que vela por el cumplimiento de todas las medidas de seguridad, gestionado por el departamento de IT interno y una empresa se seguridad informática y ciberseguridad externa. -Se dispone de un protocolo de gestión de brechas de seguridad. -Se han llevado a cabo procesos de formación en protección de datos para los empleados que traten datos de carácter personal. -Disponen de un sistema de atención de las solicitudes de ejercicio de derechos. 4- Sobre la EIPD realizada o motivos por los que no se ha realizado, FCB respondió que: “Una vez tomada la decisión de optar por el sistema de comparación facial, al demostrase, a nuestro entender, que era el más eficiente, seguro y cómodo para nuestros socios y socias, antes de poner en marcha el servicio se ha realizado un doble análisis. Por un lado, se ha realizado una VALORACIÓN DE RIESGOS para determinar, en base a sus conclusiones, si se debe realizar una EVALUACIÓN DE IMPACTO (EIPD) o no, y valorar los riesgos del tratamiento y, al concluir que no era necesaria, se ha estimado necesario realizar un análisis para determinar si el sistema es PROPORCIONAL.” Manifiesta FCB, que para valorar la necesidad o no de realizar la EIPD, ha realizado un triple análisis. “En un primer nivel, el tratamiento “objeto de la valoración”, no está incluido en la lista del RGPD, artículo 35.4 y 35.5 del RGPD. En un segundo, tampoco tiene entre su finalidad la monitorización o evaluación sistemática de aspectos personales, ni tratamiento a gran escala. En un tercer nivel, de lo que prevé en el artículo 35, indica que “se ha verificado”: la naturaleza del tratamiento. el alcance del tratamiento. Su contexto. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/139 Finalidades del tratamiento. Tecnologías empleadas para el tratamiento. Cesiones de datos y transferencias internacionales. Percepción de la existencia de un riesgo elevado por parte del responsable de la actividad del tratamiento. Terceros intervinientes-proveedoresSistemas utilizados en el tratamiento.” Respecto al análisis de la VALORACIÓN DE RIESGOS, los principales riesgos que se han tenido en cuenta para realizar la valoración enumeran hasta 19. Añade FCB que: “Se ha analizado el ciclo de vida de los datos y se han valorado los riesgos en base a: Tipología de riesgos: Riesgos asociados a la protección de la información Riesgos asociados al cumplimiento normativo Legitimación de los tratamientos y cesiones Transferencias internacionales Calidad de los datos Derechos arco Seguridad Riesgos derivados Probabilidad de que sucedan y su impacto en una escala del 1 al 4: Grado del riesgo Despreciable Limitado Significativo Alto/Crítico Medidas de control para mitigar o anular el riesgo “ “En base a este análisis de riesgos, se ha concluido que el proceso de actualización del censo de socios y socias del FCB por medio del sistema de comparación facial descrito no presenta riesgos significativos, puesto que, de las 17 tipologías de riesgos analizadas, 14 han dado un resultado de “Poco Riesgo” y en 3 de ellas se desprende un riesgo “Despreciable”. En consecuencia, se observa que el riesgo del proceso de tratamiento de datos analizado es mínimo y, el poco riesgo detectado queda ampliamente compensado con las medidas de control propuestas.” “En cuanto a la PROPORCIONALIDAD, se concluye que el tratamiento y el sistema utilizado para el mismo es proporcional, en cuanto se ha ponderado la legitimación con la posible vulneración de derechos y libertades de los interesados. En especial, se determina que los derechos y libertades de los interesados no corren el riesgo de ser vulnerados debido al bajo impacto que se deriva del tratamiento de los datos, por tratarse únicamente rasgos biométricos de manera temporal, de forma casi instantánea, y sólo para una comparación facial (autenticación uno a uno). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/139 En consecuencia, esta parte entiende que hay un correcto equilibrio entre el tratamiento y los derechos y libertades de las personas, al no haber una intrusión significativa en su privacidad. Estas conclusiones derivan del análisis de los siguientes aspectos y consideraciones: o Necesidad: Se ha analizado si optar por el uso de este sistema es ineludible para responder a la finalidad identificada, que es la obligación estatutaria de actualizar el censo de socios y socias del FCB. Es decir, si el presente sistema es esencial para satisfacer la finalidad perseguida o si únicamente se ha escogido por su agilidad o rentabilidad. A estos efectos, se concluye que efectivamente este sistema es proporcional, al ser necesario para responder a la obligación exigida en los Estatutos del FCB de mantener el censo de socios y socias del Club actualizado y por no tratarse simplemente del sistema más ágil o económico, sino del sistema más idóneo al tener en cuenta varios aspectos como son: la resiliencia del sistema, la cantidad de socios y socias (143.000) que deben actualizar su ficha y la posibilidad de que todos los socios y socias, independientemente de su ubicación geográfica, puedan utilizarlo sin tener que trasladarse a las oficinas centrales del FCB en Barcelona, así como las garantías de seguridad y autenticidad que ofrece. Por lo tanto, es imperativo contar con un sistema que permita actualizar el censo desde distintas ubicaciones con las máximas garantías de fiabilidad, algo que solamente se puede llevar a cabo, sin que los datos puedan ser manipulables, con un sistema de este tipo. En este informe se ha concluido que, aunque existan otros sistemas y alternativas posibles, estas no son igualmente válidas, pues no ofrecen el mismo grado de protección y veracidad. Por lo que estos mecanismos alternativos podrían suponer un incumplimiento de la finalidad que la actualización del censo pretende cumplir y por ello han sido descartados, determinando así la necesidad del sistema escogido. o Eficacia: Como segundo factor, se ha tenido en cuenta la eficacia del sistema para responder a la necesidad con relación a las características y al uso de tecnología biométrica. Se ha comprobado que este sistema es eficaz, por tratarse de un sistema que no se puede manipular y al que el usuario/a no puede engañar, de manera que ningún tercero o los propios socios y socias no podrán suplantarse entre sí. Se concluye, por tanto, que la elección de cualquier otro sistema conlleva aparejados riesgos de suplantación (sea mediante carnets, códigos, formularios en papel, formularios online...), por lo que no serían eficaces para el cumplimiento de la finalidad perseguida. En este sentido, se determina que no existe pérdida de intimidad alguna, ya que, aunque el sistema toma datos biométricos, se trata simplemente de una comparación facial entre la imagen del DNI y un selfi en tiempo real. Una vez hecha la comparación se elimina cualquier rasgo biométrico, conservándose únicamente la fotografía en tiempo real como imagen actualizada del socio o socia y sin que sea factible la recuperación de los rasgos biométricos utilizados para la comparación facial. Además, se ha analizado la pérdida de intimidad que supondría el uso de otros sistemas (carnés, códigos, formularios...) y se ha concluido que los beneficios obtenidos con el presente sistema superan con creces la pérdida de intimidad, si es C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/139 que puede llegar a considerarse que ésta existe e, incluso, que dicha pérdida es menor que con la implantación de otros sistemas alternativos. o Existencia de medios menos invasivos: Como cuarto aspecto para evaluar la adecuación del sistema biométrico analizado y su proporcionalidad, se ha tomado en consideración si existen otros medios menos invasivos para la intimidad que permitan alcanzar el mismo fin deseado. Después de analizar las alternativas, se ha comprobado que éstas no pueden obtener el mismo fin, por los siguientes motivos: En primer lugar, porque todos los sistemas alternativos analizados carecen de mecanismos de defensa ante la suplantación, dado que es más fácil suplantar a otra persona si tienes sus credenciales de acceso, carnés, etc. Además, estos mecanismos conllevan la posibilidad de pérdida o robo de dichas credenciales (carnés, códigos, etc..), suponiendo, por tanto, un mayor riesgo de suplantación y, como se ha apuntado en el punto anterior, de pérdida de intimidad de los interesados. Por último, también se ha valorado la opción de realizar registros manuales u online, algo muy difícil de gestionar cuando el número de interesados es elevado, siendo estas alternativas que, además, supondrían un mayor riesgo y serían más peligrosas por el escaso control que conllevan dichas modalidades sobre la veracidad de los registros realizados por escrito u online, sin ningún mecanismo adicional que permita contrastar la veracidad de la identidad de la persona que realiza dicho registro. Como conclusiones generales, destaca entre otras, “Sobre el contexto del tratamiento, a pesar de utilizarse nuevas tecnologías, dada la seguridad de estas, la tipología de datos biométricos tratados, y la comparación facial realizada para autenticar al socio o socia, no se considera que el tratamiento entrañe riesgo para los socios y socias del FCB.“ “el software utilizado está contrastado y se ha determinado que es totalmente seguro. Además, VERIDAS DIGITAL AUTHENTICATION SOLUTIONS S.L., titular del software, en adelante VERIDAS, dispone de las más reconocidas certificaciones, por lo que consideramos que su uso no entraña riesgos para los socios y socias del FCB.“ No se percibe por parte del responsable que la actividad principal del tratamiento implique un riesgo elevado, por lo que en base a los tres niveles de análisis y de las respuestas del cuestionario, se concluye que el tratamiento de datos biométricos de comparación facial para el proceso de actualización del censo de socios y socias del FCB, no implican la necesidad de realizar una evaluación de impacto.” 5-Sobre las categorías de interesados e información que se les proporciona, FCB aporta en DOCUMENTO 1, copia de la información “especifica facilitada a los socios y socias del FCB sobre el tratamiento de sus datos personales, basada en una primera y segunda capa de información “. En lo que denomina primera capa, figura una captura de pantalla informativa “nuevo censo socios y socias 2023”, que inicia con “bienvenidos al nuevo censo de socios”, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/139 resulta coincidente con la copia del documento que aporta reclamante 1 y consta así referido en el HECHO PRIMERO, aporta 4, dando por reproducido su contenido. Lo que denomina segunda capa de la “política de privacidad”, se contiene en un documento que se titula con dicho nombre, y no se contiene solo la referencia al tratamiento de actualización del censo, sino de todos los tratamientos que lleva a cabo el FCB con los datos de los socios/as (seis hojas). Indica que puede sufrir modificación, siendo esta la versión de 14/02/2023. Figura como más destacable: En “finalidades, legitimación y conservación de los tratamientos de datos realizados o enviados a través de”: figuran hasta DIEZ diferenciados: En una de ellas, “a. SOLICITUD DE ALTA DE SOCIO Y GESTIÓN DE TRÁMITES DERIVADOS: otra: “b. ACTUALIZACIÓN CENSO SOCIOS”. Constan otros tratamientos de datos realizados o enviados a través de: -Autorización, cesión de uso puntual de su carnet de abonado a tercero cesionario. -Gestión de abonos. -Pago y financiación de cuotas socios -Contacto y opinión de socios/Presentación de alegaciones. -Activación de pasaporte de menores, pasaporte infantil. -Inscripción y en su caso, pago. Participación, eventos y actividades para socios -Solicitud de invitaciones/Entradas para familiares de socios -Inscripciones, sesiones informativas, asamblea compromisarios 6-Manifiesta FCB. sobre la decisión adoptada a propósito de esta reclamación, que a pesar de que la convocatoria de la actualización del censo de socios y socias se ha enviado a 143.000 personas, “hasta la fecha solamente se han recibido un total de cinco reclamaciones, y las otras cuatro por escrito, por el bien y para garantizar la transparencia del proceso y para priorizar la protección de los socios y las socias, desde el Club se optó por desactivar el servicio, el 5/04/2023 a pesar de los perjuicios que ello podía suponer para el FCB, mientras se volvía a analizar de nuevo todo el proceso con la ayuda del Delegado de protección de datos del Club, los abogados externos y el proveedor del software, y reafirmar así su legalidad y la adecuación del sistema a la normativa de protección de datos, reactivándose el 4/05/2023.” 7-Manifiesta FCB sobre las causas que han motivado la incidencia que ha originado la reclamación, que desconoce la motivación del socio 8-Manifiesta FCB sobre las medidas adoptadas para evitar que se produzcan incidencias similares, fechas de implantación y controles efectuados para comprobar su eficacia que “tras volver a efectuar un análisis de la legalidad y seguridad del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/139 sistema, se ha reactivado el servicio pero, esta vez se ha decidido incluir un apartado adicional de información específica dónde se explique de forma clara y transparente cómo funciona el servicio de comparación facial, la tipología de datos que trata, incluyendo una breve definición sobre el sistema de autenticación, para reforzar que el socio o socia conozca el proceso y la seguridad del mismo. Paralelamente, se han redactado unos breves protocolos informativos para que los socios y socias que lo deseen puedan dirigirse a nuestros canales oficiales de atención al socio y socia y así poder informarles y proporcionarles información adicional aún más detallada sobre todo el proceso. Asimismo, se ha redactado una nueva carta destinada a los socios y socias, anunciando la reactivación del servicio que incluye una nueva explicación del proceso de actualización y, en concreto del sistema de comparación facial. Como ya se ha señalado, también se ha realizado una revisión exhaustiva, tanto desde el punto de vista legal como técnico de todo el procedimiento. Respecto a las fechas de implantación, todas las medidas relacionadas con la información a los socios y socias del FCB se pondrán en práctica en paralelo con la reactivación del servicio.” 9-Manifiesta el FCB, en cuanto a las medidas de seguridad adoptadas para el tratamiento de datos, que teniendo en cuenta que el tratamiento de los datos en todo el proceso de actualización del censo se realiza por medio de los sistemas informáticos del FCB en combinación con el software “das-face” “de comparación facial puesto a disposición por el proveedor de servicios VERIDAS DIGITAL AUTHENTICATION SOLUTIONS S.L, (VERIDAS), se ha considerado importante describir tanto las medidas de seguridad de la aplicación utilizada, como las medidas de seguridad y ciberseguridad aplicadas por el FCB y VERIDAS. I. SOFTWARE DAS-FACE: Es un software de comparación facial de VERIDAS, empresa de reconocido prestigio y que certifica de las máximas garantías de fiabilidad. La solución, captura los rasgos y características únicas de un rostro, generando un descriptor biométrico facial que caracteriza de forma única a la persona. El descriptor biométrico facial es una representación matemática obtenida a partir del conjunto específico de rasgos que se encuentran en la cara de una persona. La conversión de la imagen de la cara en un descriptor biométrico es técnicamente irreversible, por lo que no es posible recuperar la cara de una persona a partir del descriptor resultante. El rendimiento del algoritmo se muestra en el documento face biometry performance report das-face calcula la similitud entre caras registradas en imágenes entre otras operaciones. Las principales operaciones implementadas en este producto son del tipo “Verificación 1:1 matching”, que compara dos imágenes de caras para averiguar si pertenecen al mismo individuo. Esta solución permite realizar todo el procedimiento de verificación de identidad a distancia, sin necesidad de desplazamiento y con un gran ahorro en los recursos personales y materiales necesarios para llevarla a cabo. Durante el proceso de alta, tanto a través de una app como de una web, se toma una fotografía o vídeo del usuario y de un documento que le permita demostrar su identidad. Todos los datos contenidos tanto en el documento como en la imagen del rostro se mandarán a los sistemas de validación desarrollados por VERIDAS Esta tecnología funciona, a grandes rasgos, del siguiente modo: “Se recaban los datos que van a ser procesados por el motor biométrico. En este motor se procesarán los datos, generando lo que se conoce como “vector biométrico”, que no es más que una forma de representar las facciones de las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/139 personas. A simple vista, es una cadena numérica muy larga, que tiene las siguientes ventajas en relación con la seguridad de los datos: -Es irreversible: no es posible reconstruir la cara o voz a partir del vector. A diferencia de lo que ocurría con otros métodos usados en el pasado, que creaban por ejemplo un “mapa” de la cara de la persona y luego lo encriptaban, estos números no representan distancias entre puntos característicos de tu cara, sino que es una interpretación única que el motor biométrico hace de ella y que sólo él entenderá. -No es interoperable: no es posible utilizar este vector en otros sistemas, ya sean motores biométricos distintos, u otras versiones del mismo motor que lo creó. Esto también implica que, simplemente actualizando la versión del motor biométrico, los vectores creados por la versión anterior no servirían para nada. Por tanto, en caso de sustracción o acceso no autorizado, estos datos serían totalmente inservibles y sólo se tendría una ristra de números a la que no se podría dar sentido.” “VERIDAS no conserva ni los datos personales del usuario ni los vectores biométricos que se han creado y una vez realizado el proceso para el que se nos ha contratado el servicio y enviada la información relevante al FCB, el proveedor borra toda la información que haya estado en sus servidores de forma automática. En esta fase se realizará el análisis de la veracidad del documento (con el tratamiento de los datos en él contenidos) y de la identidad de la persona, para lo que se crearán dos vectores biométricos: uno a partir de la foto que contiene el documento, y otro con el de la foto selfi que se toma el usuario en ese momento; al compararlos entre sí (en un proceso de los conocidos como 1:1 o uno-a-uno), se permite comprobar que una persona es quien dice ser. Tras realizar la comprobación, estos datos se envían al FCB y se eliminan los sistemas de VERIDAS al instante.“ Certificaciones acreditadas por VERIDAS -“ National Institute of Standards and Technology (NIST): VERIDAS es la única compañía del mundo presente en las evaluaciones del NIST 1:1 y 1:N en facial, y en reconocimiento de voz (1:1). -ISO 30107-3 iBeta que aprueba que la tecnología de prueba de vida y de verificación de identidad biométrica facial. -Adherido al Pacto Digital de la Agencia Española de Protección de Datos. -ISO 27001 de Seguridad de la Información. -Certificada en el Esquema Nacional de Seguridad (ENS). -ISO 9001 de gestión de calidad. Certificaciones de FC BARCELONA -Gestión de fotos de los socios en los trámites de Alta Online, Alta Presencial y Censo 2023: -Las imágenes derivadas del proceso de actualización de los socios y socias del FCB se guardan en ***SERVICIO.5 vinculada a cada uno de los socios y socias, junto a los documentos vinculados al contacto y a los trámites. -Paralelamente, las imágenes se guardan como imagen en la ficha de contacto del (…) ***SERVICIO.2. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/139 -Las fotos se guardan en baja resolución en tamaño foto carnet, y únicamente se guarda la última foto. Medidas de seguridad de las tecnologías involucradas: -Se evalúa anualmente el nivel de madurez de la organización en Ciberseguridad desde un proveedor externo especialista (...). -4 capas de protección independientes de seguridad (protección a (…)). -La infraestructura de las aplicaciones se encuentra en un ***SERVICIO.1 de acceso privado con diferentes medidas de protección (…). -Asignación clara de responsabilidades y permisos de acceso sobre la información asegurando el acceso lógico (basado en el mínimo privilegio necesario). -Gestión de usuarios, permisos y roles sobre los activos de información. Se realiza un mantenimiento periódico de los usuarios. -Mecanismos de (…) para el acceso a los recursos. -Se mantiene un registro de acciones por los usuarios sobre los activos de información. -Procedimiento seguro para generar, asignar y distribuir las contraseñas. -Se dispone de entorno de pruebas para los nuevos evolutivos. -Se dispone de una política y procedimientos para la gestión del cambio. -Se mantienen conexiones remotas seguras a través de VPN. -Se dispone de controles transversales en la organización para evitar y mitigar los intentos de fuga de información (correo electrónico, usb, sharepoint…). -Se dispone de (…) con el fin de evitar su pérdida en caso de destrucción accidental o intencionada, (…). -La periodicidad, el alcance, el lugar de conservación y el proceso de restauración de las copias de seguridad se describen en un procedimiento específico. -Se dispone de un procedimiento (…), que impide el acceso a la información por cualquier persona no autorizada, así como el tratamiento de datos personales (…). -Se realizan formaciones y campañas de concienciación de forma periódica a todos los empleados del FCB. -Se ha desarrollado tecnología para poder inventariar y clasificar los activos de información, de cara a proteger de forma adecuada en función del nivel de confidencialidad. -Periódicamente se realizan revisiones (…) (***SERVICIO.1) del Club. -Se han desarrollado iniciativas y proyectos para securizar de forma adecuada el correo electrónico y el entorno O365 del Club. - (…) y se realizan tareas de remediación. -Se dispone de un servicio contra incidentes de ciberseguridad (...). TERCERO: Admisión a trámite 5/07/2023 Con fecha 5/07/2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por R1. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/139 CUARTO: Actuaciones previas de investigación La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: Al objeto de investigar la ocurrencia de los hechos descritos, en fecha 30/10/2023, se realiza una solicitud de información a FCB, en concreto: 1- Fecha desde la cual los socios del FÚTBOL CLUB BARCELONA (FCB) pueden actualizar sus datos vía digital. Número aproximado de socios que han actualizado sus datos vía digital. Con fecha 29/11/2023, tiene entrada el escrito de respuesta. Manifiesta el FCB que la campaña de actualización se inició el 21/03/2023, y que, tras recibir el escrito del traslado de la AEPD, paralizaron el proceso para verificar que el procedimiento se ajusta a las exigidas normativas y corroborar su legalidad. El número de socios/as que han actualizado sus datos vía digital es de 96.343, y vía presencial: 10.138. 2- Explicación y acreditación documental de si se informa a los socios de que también pueden realizar presencialmente el trámite de actualización del censo. Manifiesta FCB, que la mayor evidencia es que 10.138 lo hicieron por esta vía. Señala FCB, que a los socios/as, se les ha facilitado la opción de realizar el proceso presencialmente en oficinas del Club a través de distintos medios: A-En el “primer envío postal a todos los socios el 20/03/2023: “Se ofrece la posibilidad de realizar el proceso digitalmente, explicando las ventajas del sistema, pero sin obligatoriedad de hacerlo online, ya que ofrece la posibilidad de contactar con el Club por distintos canales”, y aporta a título ilustrativo el DOCUMENTO 1. En el mismo, fechado a 20/03/2023, se informa del acuerdo de la Junta Directiva (adoptado el 21/06/2022) de iniciar “el nuevo censo de socios y socias, renovación que tiene el objetivo de regularizar la masa social y mejorar la seguridad, la comunicación y los servicios entre el Club y sus socios y socias”. También se indica la forma: “mediante un proceso digital y desde un dispositivo electrónico que disponga de cámara y micrófono de voz, los socios y socias podrán actualizar sus datos personales sin necesidad de desplazarse a las instalaciones del Club. Este trámite permitirá tener identificados a todos los socios y socias de la Entidad y se convierte en un proceso estrictamente necesario de cara a la modernización del Club y a la gestión del funcionamiento del Espai Barça.” Se informa que la actualización de los datos es un deber de los socios/as recogido en los Estatutos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/139 Prosigue con: “El nuevo censo también estará orientado en la apuesta digital del Club para conocer las preferencias de todos los socios y socias, y dirigir la información de forma más individualizada y enfocada en función de sus preferencias. Asimismo, nos permitirá un mejor proceso de identificación, actualizar las posibles bajas que no se hayan comunicado y poder recuperar aquellos abonos que han quedado en desuso. Esta regularización de la masa social también ayudará a efectuar cualquier tramitación, acceder a las instalaciones deportivas, formar parte de actividades del Club, y participar en procesos consultivos o gestiones electorales.” A través del código QR que encontrará al final de este escrito, podrá acceder a la página web del Club y consultar toda la información relativa a esta campaña de regularización del censo. Una vez haya accedido a la plataforma de Trámites Online con su Clave y Pin Personal, deberá dirigirse a la pestaña “NUEVO CENSO DE SOCIOS Y SOCIAS”, para posteriormente efectuar la identificación digital, por la que habrá que fotografiar el DNI por las dos caras, llevar a cabo una foto de la cara del socio o socia y realizar una pequeña grabación de voz. En cualquier caso, para cualquier duda o consulta que pueda tener al respecto, puede ponerse en contacto con el Club mediante el teléfono…, el correo electrónico cens2023@fcbarcelona.cat o presencialmente en la Oficina de Atención al Barcelonista en horario de lunes a viernes de 9 a 20 h.” B-Otro medio, según indica FCB, es que se produjo un segundo envío postal a los socios/as “prórroga del censo” que aporta como DOCUMENTO 2, sin precisar la fecha de su envío, “en el que informa que se alarga el plazo para realizar el censo hasta el 30/11/2023”, y se añade que: “Los socios y socias que todavía no hayan actualizado sus datos pueden hacerlo de forma digital, a través de la web del Club y la App Socis, o bien de forma presencial, solicitando cita previa en la Oficina de Atención al Barcelonista de lunes a viernes de 9 a 18h.” C-El tercer medio, indica FCB, que fue el envío por correo electrónico y SMS del comunicado de prórroga del censo, “hasta el próximo 30/11”, en el que se especifica la opción de realizar el trámite, además de por la web del Club, la App Socis o de forma presencial en la oficina de atención al barcelonista. Aporta DOCUMENTO 3, que es el mismo literal que el DOCUMENTO 2 en forma de boletín oficial del Club, información de servicio para los socios. D-Otros medios: Señala envíos por correo electrónico y SMS. Adjunta DOCUMENTO 4, escrito informativo recordando que tiene pendiente el proceso de actualización del Censo, aunque el aviso informativo se refiere en este caso, a que el proceso finaliza el 31/10/2023. E-Comunicados a través de la página web del Club y mensajes en pantalla y megafonía en los días de partido. Añade FCB como “evidencias de la explicación de cómo realizar el trámite presencialmente durante el proceso”, indicando que “Para el inicio del proceso de actualización del censo, el socio/a debe acceder al área de “censo de socios y socias”, de la web del Club, donde tiene diversa información, explicando los epígrafes que lo componen, constando el de “más información”, donde se C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/139 encuentran las FAQS, con un punto específico en el que se detalla cómo puede realizar el trámite presencialmente, con el literal “¿Puedo hacer el censo presencialmente? El proceso es digital y fácil de realizar, pero si algún socio quiere que le ayuden presencialmente, puede venir a la OAB con cita previa”. Así figura en DOCUMENTO 5 que aporta. Añade FCB que al inicio del proceso de actualización del censo y antes de aceptar la Política de Privacidad, se vuelven a ofrecer al socio varias opciones para contactar con el Club, en especial con la oficina de OAB y remarca que en caso de duda o si así lo desean pueden solicitar cita previa para realizar la actualización del censo presencialmente. Aporta DOCUMENTO 6, que es la misma captura de pantalla que figura aportada como DOCUMENTO 1 en el punto 5, del HECHO SEGUNDO traslado y respuesta, y que inicia la política de privacidad, primera capa o el apartado por R1 en el hecho primero punto 4. 3- Explicación de cómo se usa la voz del socio que acepta su grabación, registro y uso. Finalidad del tratamiento. Manifiesta FCB, que la voz es un dato personal que, en caso de aceptación, se está registrando durante el proceso de actualización del censo, pero no está previsto su uso para este trámite, sino que se utilizará una vez finalizado el mismo, tal como se explica a continuación: “A. El proceso de captación y custodia es el siguiente: a-El socio/a graba su voz y se toman unos determinados vectores biométricos que permitan su autenticación b-Los datos de la voz se custodian (…). c-Cuando el socio/a contacte con el Club vía telefónica y se identifique, si su voz está registrada, permitirá compararla con los rasgos de voz custodiados e identificarlos, y esto le permitirá realizar determinados tramites telefónicamente.” “Cabe decir que al igual que en el proceso de comparación facial, el proceso de registro de la voz y su tratamiento podría no tener la calificación de datos biométricos, a tenor de lo estipulado en el propio informe jurídico 0036/2020 de la AEPD, y el Dictamen 3/2012 del GT 29. Todo ello por tratarse de un proceso de comparación de sus datos biométricos con una única plantilla biométrica almacenada en un dispositivo, es decir, un proceso de búsqueda de correspondencias uno-a-uno. B. Finalidades del tratamiento la única finalidad es poder autentificar al socio/socia mediante su voz para poder facilitarle la realización de cualquier trámite, por ejemplo, compra de entradas, uso del asiento libre, que se pueda realizar por medio del teléfono y evitar así la suplantación del socio/a que se viene produciendo.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 18/139 4- Explicación y acreditación documental de lo que ocurre cuando el socio “acepta la política de privacidad y no acepta la grabación, registro y uso de su voz como dato biométrico” que se muestran en la pantalla de bienvenida del “nuevo censo de socios y socias de 2023”. Respondió FCB que antes del inicio del proceso de actualización del censo, el socio/a puede consentir o no el tratamiento de datos de su voz. “Sí no marca la casilla de consentimiento: Automáticamente se salta la pantalla de grabación de la voz y pasa directamente a la pantalla en la que el socio/a tiene que validar y, en su caso, actualizar sus datos personales. Sí si marca la casilla de consentimiento: Se accede a la pantalla de registro de la voz, en la que el socio/a debe confirmar el registro de su voz, apareciendo el literal “Confirmo realizar esta operación de biometría mediante el uso de mi propia voz Empezar grabación”, según captura de DOCUMENTO 7 que aporta. 5- Explicación y acreditación documental de dónde se ha incluido el apartado adicional de información específica donde se explique de forma clara y transparente, cómo funciona el servicio de comparación facial, la tipología de datos que trata, incluyendo una breve definición sobre el sistema de autenticación, para reforzar que el socio o socia conozca el proceso y la seguridad de este que se indica en el punto 8 de su escrito de respuesta al traslado que figura en el hecho segundo. Respondió FCB que se ha proporcionado a través de:
- a)En las FAQs del proceso del censo, https://www.fcbarcelona.es/esficha/3052201/faqs): (adjunta DOCUMENTO 8) “¿En qué cosiste la comparación biométrica facial? Para poder autentificar que el socio o socia es quien dice ser, utilizamos este sistema de comparación facial que no guarda ningún rastro biométrico del socio o socia y es muy fácil y sencillo de utilizar. ¿Cómo funciona? Simplemente comparamos la imagen de tu DNI con la del selfi que te hagamos, y el software valida que eres la misma persona. Una vez comparadas las dos imágenes, eliminamos tu DNI y sólo guardamos la foto actual sin ningún rastro biométrico. ¿Y por qué te pedimos que muevas la cabeza? Lo pedimos para verificar que es una foto en tiempo real y demostrar tu presencia física, así evitamos que el selfi se haga de otra foto. ¿El FC Barcelona confecciona una base de datos con nuestros datos biométricos? No, una vez comparadas las dos imágenes, toda comparación biométrica desaparece y es irreversible. Solo nos guardamos tu foto actualizada. ¿Es obligatorio utilizar este sistema? C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 19/139 Hemos optado por este sistema porque ofrece muchas ventajas al socio/a, ya que no debe desplazarse a nuestras oficinas. No obstante, si prefiere realizar este trámite presencialmente, contacte con nosotros y le citaremos para realizar el trámite en nuestras oficinas. En cualquier caso, informarle que hemos hecho un estudio previo de este sistema para validar su total legalidad y seguridad.”
- b)Por medio de los canales de comunicación con el Club que se ponen a disposición del socio/a antes de iniciar el trámite del censo, concretamente antes de aceptar la política de privacidad. A todos los socios/as que han contactado con el Club por los canales habilitados, se les ha explicado detalladamente el proceso, y en su caso, se les ha ofrecido la posibilidad de realizar el trámite presencialmente.
- c)Video de explicación del proceso en el apartado de Censo de la web del FCB. 6- Carta destinada a los socios con explicación del proceso de actualización y, en concreto del sistema de comparación facial. Fecha en la que se ha hecho llegar. Acreditación documental de cómo se ha puesto a disposición de los socios. Respondió FCB que “Los socios han recibido información sobre la necesidad de actualización del censo por diversos medios y de forma reiterada, como ha reseñado en el punto SEGUNDO y en las FAQS, punto QUINTO.” Aportan DOCUMENTO 9, en el que se plasman las fechas y el tipo de comunicación enviada, BOC (institucional que no se puede dejar de recibir por no ser comunicación comercial), INFOSOCIS, y SMS, contenido, y enlace web, y comunicación directa a los socios (marzo a octubre). 7- Descripción de los datos biométricos que se tratan durante la verificación de la identidad del socio, ¿dónde se alojan? (indicando si los servidores son propios o ajenos y dónde están ubicados) y durante cuánto tiempo. Identificación y finalidad de los datos biométricos que permanecen en el sistema al término del proceso de verificación de la identidad del socio, cómo y dónde se almacenan (indicando si los servidores son propios o ajenos y dónde están ubicados) y plazos previstos de supresión. Respondió FCB que para llevar a cabo el proceso de autenticación de los socios ha recurrido al software de comparación facial de VERIDAS Digital Authentication Solutions S.L. que actúa como partner de INDRA SOLUCIONES TECNOLÓGICAS DE LA INFORMACIÓN, S.L.U. y SISTEMAS INFORMÁTICOS ABIERTOS, S.A. (SIA), empresa del GRUPO INDRA como proveedores principales del proceso informático de la actualización del censo de socios/as. “La solución de VERIDAS (das-Face) captura los rasgos y características únicas de un rostro, generando un descriptor biométrico facial que caracteriza de forma única a la persona. Durante el proceso de autenticación, se toma una fotografía del socio/a y una fotografía de un documento que le permita demostrar su identidad (DNI, Pasaporte). El software procesa los datos y genera un vector biométrico único, que es una cadena numérica extensa e irreversible, de modo que es imposible reconstruir la imagen. Este C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 20/139 vector biométrico no es interoperable y no es posible utilizarlo en otros sistemas, siendo un dato inútil para cualquier acción o tratamiento posterior.” “Una vez realizado el proceso de comparación facial, se elimina el DNI por parte del FCB, y los vectores biométricos permanecen encriptados por parte de SIA, durante siete días en sus servidores propios ubicados dentro del Espacio Económico Europeo. VERIDAS no aloja ningún dato biométrico en sus servidores propios ni ajenos.” 8- Descripción de las actuaciones que se llevan a cabo cuando el resultado del cotejo facial es negativo (registro, comunicación, supresión, etc.), identificación de los datos personales que permanecen en el sistema y explicación de cómo y dónde se almacenan. Respondió FCB que, si el resultado del cotejo facial es negativo, aparece un mensaje en el que se indica que no se puede continuar con el proceso, y, en consecuencia, el socio/socia debe regularizar el censo de forma presencial en la OAB. Los socios disponen de canales de comunicación con la OAB y con el Club para estos supuestos. 9- Explicación del aspecto “alcance geográfico del tratamiento” que se recoge en el apartado Evaluación de Impacto, Segundo nivel. Aportan DOCUMENTO 10, con la distribución geográfica por todo el mundo de los socios/as del FCB, según registro de 8/11/2023, alcanzando el número de 146.808. 10- En relación con lo que se recoge en la política de privacidad: “Uso de datos biométricos para la autenticación, identificación y validación de socios y socias y validación de accesos a los socios y socias en las instalaciones del Club y en trámites a distancia/on-line con el FC BARCELONA”. Descripción de cómo usan los datos biométricos para la validación de accesos a los socios en las instalaciones del Club. Respondió que, en la actualidad, y hasta que el proceso de actualización del censo finalice, no se prevé utilizar ningún dato biométrico. Finalizado este, en un futuro y previa solicitud del consentimiento de los socios y socias del FCB se podrán utilizar para las siguientes finalidades: “Acceso a las instalaciones del Club: Al tener la imagen actualizada de los socios, la solución de VERIDAS, das-face, permitirá obtener unos vectores biométricos que facilite el acceso a las instalaciones del Club. Para realizar este proceso, previamente se realizará una evaluación de impacto y, se solicitará el consentimiento de los socios y socias que deseen utilizar este sistema para autentificarse e identificarse para acceder a las instalaciones del Club. Aquellos socios y socias que no deseen utilizar este sistema podrán seguir accediendo con el sistema actual de validación de un código de barras en los tornos de acceso a las distintas instalaciones deportivas. La única finalidad es poder autentificar al socio/a mediante su voz para poder facilitarle la realización de cualquier trámite (trámites, compra de entradas, uso C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 21/139 del asiento libre…) que se pueda realizar por medio del teléfono y evitar la suplantación del socio/a. A pesar de que algunas de las finalidades del tratamiento, puede que se empiecen a realizar dentro de bastante tiempo, por transparencia hacia los socios y socias del FC Barcelona, se ha optado por informarles de las finalidades presentes y futuras que se podrán realizar por medio de sistemas de biometría.” 11- Copia del Registro al que se refiere el artículo 30 del RGPD de todas las actividades de tratamiento de datos personales biométricos efectuados bajo su responsabilidad. Aporta DOCUMENTO 11, registro de la actividad ACTUALIZACIÓN DEL CENSO del RAT. 12- Listado de entidades intervinientes, encargados y subencargados de tratamiento de datos biométricos, descripción de su cometido, copia del contrato suscrito por FCB con los encargados, y cláusulas relativas al tratamiento de datos personales, y copia de las autorizaciones de los subencargados, si aplica. Respondió FCB: Responsable del tratamiento: FÚTBOL CLUB BARCELONA Encargado de tratamiento (proveedor): INDRA SOLUCIONES TECNOLÓGICAS DE LA INFORMACIÓN, S.L.U. (INDRA) Se aporta como Documento n.º 12 el contrato de prestación de servicios suscrito entre INDRA y FCB, de 24/10/2022. En anexo I, la oferta técnica y económica “renovación del censo de socios” septiembre 2022. INDRA presta el servicio de proveedor del desarrollo de las aplicaciones para la actualización del censo de socios mediante la identificación digital telemática y la integración de los datos en el ***SERVICIO.2 del área Social. (cláusula primeraobjeto). La cláusula octava y el Anexo II, son relativos a la protección de datos que son titularidad del FCB, estando facultado el proveedor para recoger los datos y utilizarlos en el marco de la prestación de servicios. El citado anexo “encargo de tratamiento” contempla los requisitos del artículo 28 y ss. del RGPD, pudiendo acceder entre otra información a datos biométricos faciales y de voz. El su apartado 4 se indica que el encargado deberá implementar las medidas de seguridad y organizativas oportunas para garantizar la protección de los datos de carácter personal titularidad del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 22/139 responsable del tratamiento según lo descrito en el artículo 32, y en ADENDA I se contienen las medidas técnicas y organizativas. En el anexo I figura la oferta técnica económica en la que figura “acceso al servicio digital onboarding de VERIDAS para un pack de 140.000 procesos completoincluyendo captura y validación de documento +biometría facial+prueba de vida ISO 30.107 nivel 2+ video identificación.” Como parte de oferta, figura el detalle del acceso a través de la web o app del FCB en “alcance propuesto” en el que desde la app se hará un redireccionamiento al portal web, ofreciendo una herramienta en ***SERVICIO.3 que puede visualizar los socios que quedan por pasar por validación biométrica, para ofrecer en una campaña una carga y sean incluidos en una campaña, También figura la descripción de la solución con los pasos para la biometría facial. Subencargados de tratamiento: SISTEMAS INFORMÁTICOS ABIERTOS, S.A. (SIA) Empresa del GRUPO INDRA que presta servicios de licencias de productos de acreditación digital e identidad del fabricante VERIDAS y servicios profesionales de puesta en marcha del Servicio de acreditación Digital de Identidad desplegado en la nube de SIA. Se aporta como Documento n.º 13, copia del contrato de encargo TRATAMIENTO INTRAGRUPO suscrito entre INDRA y SIA de 14/11/2022. En la estipulación 6 Subcontratación, se autoriza expresamente la subcontratación con VERIDAS Digital Authentication Solutions S.L. del servicio de acreditación digital de identidad de los socios del FCB mediante la utilización de las licencias VERIDAS., y según el alcance de las actividades incluidas en la oferta enviada al cliente FCB, por cuenta de INDRA SOLUCIONES quien actuara de encargado del tratamiento del cliente principal. En descripción del tratamiento se indica “identificación socios FCB con licencias de VERIDAS para actualización del censo de socios, datos biométricos con finalidad identificativas-imagen y voz y de carácter identificativo en “categorías de interesados y tipologías de datos”, con almacenamiento de datos alojados en servidores propios dentro del EEE. VERIDAS Digital Authentication Solutions S.L. Partner de INDRA para el uso del software de comparación facial das-face y autenticación por voz das-peak. Se aporta como DOCUMENTO n.º 14 el acuerdo suscrito entre SIA y VERIDAS que alude a un contrato de partner comercial de 4/03/2021, anexo de 30/06/2021 y anexo de 23/06/2023. El documento 14 indica que se tratan datos biométricos con finalidad identificativas-imagen y voz y de carácter identificativo. En su punto 4 establece entre las obligaciones de VERIDAS el uso de los datos a los que acceda, para las finalidades del encargo y tratarlos, de acuerdo con las instrucciones recibidas, la obligación de una descripción general de las medidas técnicas y organizativas de seguridad relativas a: -La seudonimización y el cifrado de datos personales. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 23/139 -La capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento. -La capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida, en caso de incidente físico o técnico. -El proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento 13- Especificar si las actividades de tratamiento involucran transferencias internacionales de datos personales y, en tal caso, detallar las garantías aplicadas. Respondió FCB que no. En fecha 26/06/2024 se solicita al FCB ampliación de la información aportada, en concreto: 14- Justificación de por qué es necesario que todos los socios creen su perfil digital. Fecha desde la que los socios pueden crear su perfil digital. Número de socios que tienen perfil digital. Con fecha 17/07/2024, se recibe escrito de respuesta. Manifiesta FCB que: “Tal como expusimos en los anteriores escritos de respuesta a los requerimientos de información, la creación del perfil digital es voluntario por parte de los socios, aunque la voluntad de FCB es que lo tengan la mayoría de los socios y socias, para permitirnos interactuar con ellos de una forma ágil y, sobre todo, segura, habida cuenta de la especial condición del socio/a del FCB, es decir, su dispersión geográfica, ciertos problemas de suplantación de la condición de socio/a del Club y cesiones ilegítimas del carnet que pueden llegar a provocar incluso problemas de seguridad en los partidos de fútbol, tal como expusimos en el escrito de respuesta del primer requerimiento de información en su punto (I.) de la alegación PRIMERA. Estas circunstancias, nos han llevado a buscar un sistema que no sólo nos permita tener un censo de socios/as fidedigno, sino disponer de herramientas que en un futuro nos permitan interactuar con los socios/as de una forma ágil y segura y que no implique a los socios/socias tener que acudir para cualquier trámite a las oficinas del FCB.” Hay que recalcar que, si bien es cierto que el FCB ha priorizado el proceso digital por considerarlo el más idóneo, cómodo y seguro tanto para los socios y socias como para el Club, en ningún momento se ha obligado los socios y socias a crearse un perfil digital, siendo este voluntario. Asimismo, remarcar que, en la actualidad, el único “perfil digital” que dispone el FCB de sus socios y socias es el de la voz. “ La fecha desde la que los socios pueden crear su perfil digital coincide con el inicio del proceso de actualización del censo que se inició el 21/03/2023. En la actualidad, del total de socios/as que realizaron el proceso de actualización del censo, 124.864, han aceptado su perfil digital de voz, la cantidad de 72.187 socios/as. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 24/139 15- Explicación del siguiente texto que se recoge al final de la respuesta SEGUNDA del escrito remitido a esta Agencia como respuesta al traslado de la reclamación en fecha 22/05/2023: “Todo ello, además, sin perjuicio de que, como ya se ha comentado con anterioridad, en ningún momento se obliga a la utilización del sistema de comparación facial por parte de éstos, aunque por cuestiones logísticas y operativas sí se haya priorizado”. Manifiesta FCB, que “tras analizar los distintos medios para llevar a cabo el proceso de actualización del censo, y teniendo en cuenta las particularidades de los socios y socias del FCB expuestos, se consideró, una vez analizada la seguridad del sistema y los informes y criterios que en ese momento tenía la propia Agencia Española de Protección de Datos con relación a la biometría, que el sistema de comparación facial era el más efectivo y seguro para llevar a cabo el proceso de actualización del censo y, sobre todo, el más cómodo para los socios y socias del FCB. Por ello, y con carácter voluntario se optó y priorizó por este sistema.” 16- Explicación de si el proceso de actualización del Censo requiere, en cualquier caso, la creación del perfil digital del socio. Si aplica, justificación de la necesidad del perfil digital del socio para el proceso presencial de actualización del Censo. Número de socios que han actualizado el Censo. FCB respondió: “No, los socios podían optar por tres diferentes vías: 1-“Realizar el proceso de forma presencial en las instalaciones del FCB sin la creación de un perfil digital. 2-A través de la web del FCB optando por no crearse un perfil digital. 3-A través de la web del FCB optando por crearse un perfil digital de su voz. “ FCB afirma que el proceso de actualización presencial del censo en ningún caso implicaba la necesidad de crear un perfil digital. De hecho, de los 12.249 socios y socias que han realizado los trámites presencialmente, sólo 160 se han creado un registro digital de su voz. Número de socios que han actualizado el Censo: 124.864. 17- Explicación de si es posible que un socio realice el proceso de actualización del Censo, tanto presencialmente como digitalmente online, sin que se lleve a cabo un proceso de comparación facial, ni se realice, por tanto, un tratamiento de datos biométricos (vectores biométricos faciales y/o vocales). Si aplica, número de socios de los que no se ha realizado un tratamiento de datos biométricos que han actualizado sus datos en el Censo. FCB respondió que “La única vía para omitir el proceso de comparación facial es realizar el trámite presencialmente o a través de la OAB (Oficina de Atención al Barcelonista). Si el socio o socia opta por realizar el trámite digitalmente, debe realizar el proceso de comparación facial, ya que, por pura lógica, es el sistema que nos permite identificar al socio/a socia de forma fidedigna. Un total de 12.704 han realizado el proceso de actualización del Censo sin tratamiento de datos biométricos.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 25/139 18- Respecto de la actividad de tratamiento “Actualización del Censo”, y en lo que se refiere a datos biométricos, se solicita que se indique si se solicitó informe al delegado de Protección de Datos previamente al inicio del tratamiento. Si aplica, documentación justificativa que lo acredite. Respondió que “Todo el proceso de análisis de las herramientas a utilizar para el proceso de actualización del censo se ha realizado de la mano del DPD del FCB y de la empresa proveedora del software. De hecho, nuestro delegado de protección de datos ha colaborado activamente en todas las reuniones, ha redactado un informe previo y de conclusiones respecto al uso de la biometría y, ha colaborado en la realización del Informe de VALORACIÓN DE RIESGOS DEL PROCESO DE COMPARACIÓN FACIAL. Asimismo, ha estado presente en las reuniones con el equipo legal del proveedor del software y ha tenido acceso al informe de EVALUACIÓN DE IMPACTO DEL PROCESO BIOMÉTRICO DE LA VOZ QUE REALIZÓ UN DESPACHO JURÍDICO A PETICIÓN DEL PROVEEDOR. “ En documento 1 que acompaña, se comprende: -Un escrito fechado el 22/09/2022, titulado: “ANÁLISIS PREVIO SOBRE EL USO DE LA BIOMETRÍA EN EL PROCESO DE ACTUALIZACIÓN DEL CENSO DE SOCIOS Y SOCIAS”: “Según se nos informa, para el proceso de actualización del censo se estudia optar por un sistema de comparación facial biométrica en la que se comparan dos imágenes de una misma persona en tiempo real y permite la autenticación fidedigna del socio o socia, garantizando evitar posibles suplantaciones de personas”. En la explicación facilitada por los proveedores del software, reitera el proceso que se produce de comparación facial por medio de” obtención de vectores biométricos del socio que se obtienen en el momento de la verificación del censo” “extrayéndose de ambas imágenes los vectores biométricos que se comparan para verificar la autenticación del socio o socia.” “Una vez comparadas las imágenes, el DNI se suprime y se conserva la foto en tiempo real como imagen actualizada del socio/a para su carnet”. “Esta comparación facial es instantánea, de manera que los datos biométricos se eliminan y no se custodian en ninguna base de datos, ya que la autenticación es en tiempo real y los vectores biométricos no son necesarios para ninguna otra finalidad. En definitiva, el proceso de autenticación biométrica consistirá en un proceso de comparación entre datos biométricos que confronta una imagen estática (fotografía del DNI) con otra imagen (selfie) que se realiza al socio o socia en tiempo real y que no implica la comparación con una base de datos de un grupo, lo que comúnmente se conoce como proceso de correspondencia uno a uno.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 26/139 “En función de la información facilitada y, a falta de conocer con mayor profundidad el mecanismo de todo el proceso, se insta al FCB para que se realice con nuestro asesoramiento un análisis de todo el proceso que nos permita conocer: La necesidad del uso de sistemas de biometría, La legitimidad para el tratamiento de datos biométricos, La categoría de los datos biométricos tratados, La necesidad de realizar una valoración de riesgos respecto al tratamiento de datos biométricos, que indique: -Riesgos inherentes al uso de la biometría. -Proporcionalidad del uso del sistema biométrico frente a otros sistemas de autenticación disponibles en el mercado -La necesidad o no de realizar una EIPD teniendo en cuenta las particularidades del sistema.” -Un escrito, de 9/11/2022, de: “CONCLUSIONES SOBRE EL ANÁLISIS DEL TRATAMIENTO DE DATOS BIOMÉTRICOS EN EL PROCESO DE ACTUALIZACIÓN DEL CENSO DEL SOCIO”, se indica: “A efectos de verificar la viabilidad y cumplimiento del Reglamento General de Protección de Datos (RGPD) de todo el procedimiento de actualización del censo de los socios y socias del FC Barcelona por medio de un sistema biométrico, se instó al FC Barcelona la realización de un análisis de todo el procedimiento para verificar su legalidad y efectividad frente a otros sistemas de autenticación, así como, para determinar si será necesario realizar una evaluación de impacto. ANÁLISIS:” “1-Sobre la necesidad del uso de la biometría para los procesos de actualización de los socios y socias, aconsejado por su dispersión geográfica para no obligar a acudir presencialmente a las oficinas, y evitar fraudes y suplantaciones de identidad, el sistema de autenticación es eficaz y necesario a falta de analizar el proceso biométrico con detalle para verificar su legalidad respecto al RGPD” 2-Sobre la legitimidad para el tratamiento de datos biométricos, señala que “al ser la finalidad la de autenticar a una persona, distinto del proceso, uno a todos, se basa en una simple comparación facial, al comparar una imagen estática, foto del DNI con otra imagen, selfie que se realiza el socio/a en tiempo real y movimiento, y sin “implicar que se realicen una comparación univoca del socio o socia con una base de datos de un grupo”. Estiman que el tratamiento no tendría la consideración de categoría especial de datos personales, pudiendo fundamentar el tratamiento en la base jurídica del artículo 6.1.
- b)del RGPD, y no precisando el consentimiento de los interesados “No obstante en nuestra condición de DPD recomendamos que el proceso biométrico sea voluntario y a elección de sus socios y socias”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 27/139 3-Necesidad de realizar una valoración de riesgos respecto al tratamiento de datos biométricos. De las conclusiones del informe de valoración de riesgos y cuyas conclusiones se copian a continuación, se deduce lo siguiente: El tratamiento no está incluido en los artículos 35.1 y 2 del RGPD como tratamiento que deba realizar una evaluación de impacto. … A pesar de que se tratan datos biométricos, éstos no se pueden considerar como categorías especiales de datos, a tenor de lo recogido en el propio RGPD y los informes elaborados por la propia Agencia Española de Protección de Datos. Sobre las finalidades del tratamiento, se ha determinado que no se llevan a cabo finalidades que entrañen riesgos. Sobre el contexto del tratamiento, a pesar de utilizarse nuevas tecnologías, dada la seguridad de estas, la tipología de datos biométricos tratados, y la comparación facial realizada para autenticar al socio o socia, no se considera que el tratamiento entrañe riesgo para los socios y socias del FCB. En cuanto a las tecnologías empleadas, a pesar de que los tratamientos biométricos se podrían encuadrar dentro de la definición de tecnologías consideradas inmaduras, el software utilizado esta contrastado y se ha determinado que es totalmente seguro. Además, VERIDAS DIGITAL titular del software, dispone de las más reconocidas certificaciones, por lo que consideramos que su uso no entraña riesgos para los socios y socias del FCB. No se realizan cesiones de datos ni transferencias internacionales de datos. No se percibe por parte del responsable que la actividad principal del tratamiento implique un riesgo elevado, por lo que en base a los tres niveles de análisis y de las respuestas del cuestionario, se concluye que el tratamiento de datos biométricos de comparación facial para el proceso de actualización del censo de socios y socias del FCB, no implican la necesidad de realizar una evaluación de impacto. Una vez analizados los distintos riesgos que pueden afectar al tratamiento de datos durante el proceso de actualización del censo de socios y socias del FCB, se observa que el riesgo del proceso tratamiento de datos analizado es mínimo. En CONCLUSIONES, señala: “En base al análisis de los distintos puntos analizados y el resultado de la valoración de riesgos, entendemos que el proceso de actualización biométrico que pretende utilizar el FC Barcelona para llevar a cabo la actualización del censo de socios y socias del Club es conforme al Reglamento General de Protección de Datos. No obstante, sugerimos que, teniendo en cuenta las distintas particularidades que componen el conjunto de socios y socias del Club y el desconocimiento de estas tecnologías, se intente ser lo máximo transparente en la información C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 28/139 proporcionada al socio y socia en relación con el proceso. Además, aunque en base a la obligatoriedad estatutaria de regularizar periódicamente el censo y que, de acuerdo con las conclusiones del análisis del proceso se podría optar por la obligatoriedad en realizar el proceso por la vía biométrica, consideramos que el proceso digital de actualización del censo debe tener carácter voluntario, pudiendo optar el socio o socia a realizar el proceso presencialmente. -Un escrito de la relación de las principales reuniones mantenidas por el delegado de protección de datos con los diferentes interlocutores, internos y externos, que han participado en el proceso de actualización del censo. Va desde 12/09/2022 a 28/04/2023, figurando en esta última: “(Legal – IT- DPO – Indra - SIA – Veridas): Análisis de la idoneidad y legalidad del proceso biométrico de actualización del censo, tras la requerimiento de información recibido de la Agencia Española de Protección de Datos.” 19- En relación con el tratamiento de datos biométricos, medidas de seguridad implementadas por el encargado y subencargados del tratamiento que participan en el proceso digital. Respondió FCB que en cuanto a la “verificación de la identidad por reconocimiento de voz” En cuanto al funcionamiento de das-peak, se trata de un motor de biometría de voz capaz de captar las características físicas únicas del aparato vocal y los rasgos de frecuencia, velocidad o acentos, recopilándolos en un vector biométrico de voz único. Este vector es irreversible, es decir, en ningún caso se podrá volver al audio original que lo generó (ni siquiera el desarrollador del motor biométrico de das- peak sería capaz de revertir el proceso). Esto supone que, aunque se perdiera o fuera robado el vector, no estaríamos ante una pérdida de un dato biométrico (voz de la persona), si no únicamente del vector, que no es sino un número que únicamente puede ser utilizado en el motor que lo ha creado (no funcionaría en otros motores, ni siquiera en otros de VERIDAS) y que no da ningún dato de la persona. En cuanto al proceso de reconocimiento, el registro de la persona dependerá en exclusiva del Cliente de VERIDAS, esta Solución puede integrarse con diversos canales de comunicación, únicamente siendo necesario que exista un micrófono para la grabación de voz y un sistema que envíe esa grabación al motor biométrico de VERIDAS (alojado en la nube a través de una AP). El sistema captura las características únicas de la voz a partir de un audio y las compila en un vector biométrico único e irreversible asociado al ID del Cliente. VERIDAS en ningún caso almacena las huellas de voz, una vez que el motor biométrico genere el vector, eliminará cualquier información/dato y lo devolverá al Cliente, que será el responsable de almacenar estas huellas de la voz en servidores. Una vez finalizado el proceso de registro, puede realizarse la comprobación, para ello será necesaria una nueva captura de voz y esa captura será comparada con el vector biométrico existente, en este proceso se realizarán pruebas anti-fraude para evitar suplantaciones de identidad. En relación con el proceso de verificación de identidad, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 29/139 podrá realizarse a través de un modelo de autenticación 1:1, en el que el proceso actúa como un doble factor de autenticación en el que, una vez que el usuario ha sido previamente identificado y se ha obtenido un vector asociado a esa persona y que se asocia a su vez a un teléfono, DNI, una contraseña, etc., en el momento en el que se captura la doble grabación (la grabación de verificación) se comparará con ese vector asociado; en definitiva se realiza una comparación entre los vectores biométricos de los dos audios concretos para saber si hay una coincidencia. 20- Explicación de los trámites que, actualmente, pueden realizar los socios que han dado su consentimiento a la grabación, registro y uso de su voz como dato biométrico. Fecha desde la que pueden realizar dichos trámites. Respondió que “A día de hoy, no se ha iniciado ningún trámite en el que se pueda utilizar la biometría de voz. Este sistema se concibió para que los socios y socias pudiesen realizar trámites vía telefónica de manera segura y, el sistema se ideó en base a los informes y criterios que en ese momento estaba aplicando la Agencia Española de Protección de Datos y el Grupo del Artículo 29 de la Comisión Europea, es decir que, tanto el sistema de comparación facial como de identificación de la voz, al basarse en un sistema de simple autenticación (uno a uno) que no genera una base de datos biométrica de los socios y socias del Club, no tenía la consideración de categoría especial de datos personales. A raíz de los últimos informes en relación a la biometría publicados por la Agencia Española de Protección de Datos, en la que cambia radicalmente de criterio, desde el FCB se ha optado por no poner en marcha el proceso de autenticación por voz y someter la legalidad e idoneidad de este proceso al estudio por parte de nuestro delegado de protección de datos para que dictamine si lo podremos utilizar o no. En el caso de que la conclusión sea que no podamos utilizar este sistema, tomaremos la determinación oportuna respecto a los datos biométricos de voz que disponemos. 21- Explicación de si ha finalizado el proceso de actualización del Censo y estado actual de las siguientes iniciativas relativas al uso de datos biométricos: o Validación de accesos a los socios en las instalaciones del Club. o Trámites a distancia/on-line con el FCB. Respondió el FCB, que “El proceso de actualización del censo finalizó el pasado 30 de noviembre de 2023. Inicialmente no se han recabado datos biométricos para validar los accesos a las instalaciones del FCB y, en base a los criterios de la Agencia Española de Protección de Datos no se tiene previsto realizar ningún trámite en este sentido. Respecto a los trámites a distancia/on-line, tal como se ha explicado en la alegación anterior, en estos momentos no es posible realizar ningún trámite a distancia u online que implique el tratamiento de datos biométricos. 22-En el marco de las actuaciones de investigación, con fecha 29/08/2024, se consulta la página oficial del FCB y se observa: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 30/139 En “Hacerse socio” del desplegable de la pestaña “SOCIOS”, https://www.fcbarcelona.es/es/socios/hacerse-socio, se muestran dos modalidades de alta: -Registro Online -Alta presencial: Las altas de socio y/o socia también se pueden realizar presencialmente en la Oficina de Atención al Barcelonista (OAB) pidiendo cita previa. En la pestaña “Censo de Socios y Socias”, https://www.fcbarcelona.es/es/socios/censo-socios, aparece el aviso “EL PROCESO DEL CENSO FINALIZÓ EL PASADO 30 DE NOVIEMBRE. ACTUALMENTE, PARA ACTUALIZAR LOS DATOS DEBE DIRIGIRSE EN LA OAB” En “¿Cómo censarte?”, https://www.fcbarcelona.es/es/ficha/3052130/comocensarte, se describe el “procedimiento para realizar el censo y crear el perfil digital” desde la web del Club o la App Socis, que, a continuación, se reproduce: “Cada socio o socia puede actualizar personalmente sus datos sin necesidad de desplazarse a las dependencias de la OAB. Todo el proceso se efectúa de manera totalmente digital, desde un dispositivo electrónico que disponga de cámara y micrófono de voz. La creación del perfil digital del censo debe hacerse desde un lugar que tenga una buena iluminación, sin reflejos en la pantalla, ni sonido de fondo. […] después de aceptar las políticas de privacidad, se pasará a efectuar la identificación digital, por la cual tendrá que fotografiar el DNI, NIE o pasaporte, efectuar una foto de la cara entera y hacer, opcionalmente, una pequeña grabación de voz. Por lo que se refiere a la grabación de la voz, el socio puede elegir libremente y de forma incondicionada si marcar o no la casilla “Acepto la grabación, registro y uso de mi voz como dato biométrico”, porque es una casilla opcional, no obligatoria. En el caso de optar por NO marcar la casilla y, por tanto, NO AUTORIZAR la grabación de la voz, se podrá igualmente seguir con el proceso de actualización de los datos del censo y completarlo con éxito. Una vez efectuada la identificación digital, se accederá a la pantalla de actualización de datos, a las cuales ya estarán incorporadas aquellas que se pueden extraer de la foto del DNI, NIE y Pasaporte ya efectuada. Una vez se actualicen y se completen los datos requeridos, ya estará incorporado en el nuevo censo del FC Barcelona”. […] Censo socios y socias menores de edad El proceso es el mismo que en el caso de los socios adultos con la diferencia que para socios o socias menores, el padre, madre, o tutor legal tiene que hacer una validación declarando que es la persona representante del menor que realiza el proceso del Censo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 31/139 Los socios y socias menores de entre 14 a 17 años, deben hacer el proceso como los socios adultos, fotografiando el DNI y haciendo la foto ‘selfie’. Los socios menores de 14 años tienen que subir una fotografía y pueden añadir el número de DNI.” 23- En el marco de las actuaciones de investigación, con fecha 29/08/2024, se consulta la POLÍTICA DE PRIVACIDAD del FCB, y se observa que concuerda con el documento que figura en la segunda capa, reflejado en el HECHO SEGUNDO, punto 5. QUINTO: Entrada de dos nuevas reclamaciones Mientras se desarrollan las actuaciones de investigación, se recibieron dos reclamaciones suplementarias: Con fecha de entrada 3/12/2023, se recibe reclamación de RECLAMANTE 2, (R2ANEXO GENERAL), que indica que es socio del FCB y que el 30/08/2023, recibió correo electrónico en el que se le instaba a que aportara sus datos para configurar un perfil digital, con el fin de actualizar el censo de socios del Club. Manifiesta que no atendió lo solicitado por dicho correo electrónico pues estimaba que sus datos estaban actualizados. Continúa indicando que en fecha 2/10/2023, recibió otro nuevo correo electrónico recordándole que debía actualizar los datos del censo como obligación reglamentada en los Estatutos, art 11.8 y aporta copia de este. Se trata de un (newsletter) que informa: “tiene pendiente de realizar el proceso de actualización de sus datos del censo de socios. Y que el Club inició con el objetivo de renovar los datos de que dispone actualmente para poder mejorar y aumentar la comunicación personalizada entre el Club y sus socios/as. “La creación de su perfil digital se hace totalmente necesaria de cara a la modernización que impulsa el Club, la reordenación del aforamiento del nuevo Estadio y, además, le permitirá poder disfrutar en un futuro muy próximo de los nuevos servicios que dispondrán las nuevas instalaciones. Este proceso se acaba el 31 de octubre del 2023 y todos los socios y socias que no hayan actualizado sus datos en el censo no podrán acceder a la renovación de su carnet para el año 2024, y que comportará la perdida de la condición de abonado o abonada en la renovación del abono al Nuevo Spotify Camp Nou”. Refiere R 2, que en los Estatutos del FCB no se prevé la creación de un perfil digital con la aportación de datos biométricos. Además, considera que “ampliar el número de datos exigidos más a la de los previstos en los Estatutos, y vincular unos datos biométricos a temas que no tienen nada que ver como la reordenación del aforo, o a la prestación de servicios no solicitados, podría traspasar algunas líneas rojas”. Aporta copia de correo electrónico de 2/10/2023: “fecha límite actualización censo de socios y socias 31/10/2023.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 32/139 Con fecha 20/12/2024, su reclamación fue admitida a trámite por la AEPD. R 2 con fecha 27/12/2023, amplía su reclamación, señalando que el 19/12/2023, un empleado del FCB contactó telefónicamente con él a los efectos de actualizar los datos del censo social, sin la anterior obligación a la cesión de mis datos biométricos -ni voz ni grabación de video-dando por finalizado el proceso. Con fecha 1/2/2024, se recibe la reclamación de la persona que figura como RECLAMANTE 3 en el ANEXO GENERAL (R3 en lo sucesivo). Manifiesta que, en relación con el proceso de actualización del censo de socios, a pesar de las comunicaciones públicas y privadas enviadas y por las múltiples prorrogas otorgadas, “tengo constancia de que aún no he procedido a realizar dicha actualización, aunque se presenta como una obligación estatutaria de los socios”. Considera que la exigencia de datos biométricos puede contravenir la normativa de protección de datos. Esta reclamación fue admitida a trámite el 14/02/2024. SEXTO: Diligencia de AXESOR De acuerdo con el informe recogido de la herramienta AXESOR, la entidad FÚTBOL CLUB BARCELONA es una Asociación, dentro de las actividades de los Clubes deportivos, sector actividades deportivas, recreativas y de entretenimiento, tipo de empresa “matriz de grupo”, figurando en el último ejercicio que consta, 2015 a 30/06/2015, una cifra de negocios de 504.561.000 euros. Por otro lado, en la web del FCB figuran en acceso libre y abierto las MEMORIAS ANUALES, siendo la última 2023/2024. En su parte “área económica”. (pág. 216341) En el apartado de FCB y Sociedades dependientes cuentas anuales consolidadas del ejercicio anual terminado a 30/06/2024 e informe de gestión consolidada incluye informe de auditoría de cuentas anuales consolidadas (pág. 227 de 348) refiriéndose al FCB, como el Club, y sus “sociedades dependientes”, balance a 30/06/2024. En la página 237, figura la cuenta de pérdidas y ganancias consolidadas del ejercicio anual terminado el 30/06/2024, figurando un importe neto de la cifra de negocios ejercicio 2023/2024, de ***CANTIDAD.1, mientras que el ejercicio procedente la cifra era de ***CANTIDAD.2. En la nota 18.1 se indica la estructura del importe neto de la cifra de negocios. SÉPTIMO: Acuerdo de inicio de 23/12/2024 Con fecha 23/12/2024, la directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a FÚTBOL CLUB BARCELONA, con arreglo a lo dispuesto en los artículos 63 y 64 de la LPACAP, del siguiente literal: “PRIMERO: INICIAR PROCEDIMIENTO SANCIONADOR a FÚTBOL CLUB BARCELONA, con NIF G08266298, por la presunta infracción de los siguientes artículos del RGPD: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 33/139 9 del RGPD, de conformidad con el artículo 83.5.
- a)del RGPD, tipificada como muy grave a efectos de su prescripción en el artículo 72.1.
- e)de la LOPDGDD. 35 del RGPD, de conformidad con el artículo 83.4.
- a)del RGPD, tipificada como grave a efectos de su prescripción en el artículo 73.
- t)de la LOPDGDD. (…) CUARTO: QUE a los efectos previstos en el art. 64.2
- b)de la ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas, la sanción que pudiera corresponder sería de 6.000.000 de euros, sin perjuicio de lo que resulte de la instrucción.” Especificado en el fundamento de derecho VII: “El balance de las circunstancias contempladas en el artículo 83.2 del RGPD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 9 del RGPD, permite fijar inicialmente una sanción de multa administrativa de 4.000.000 de euros, y por la infracción del artículo 35 del RGPD, con una sanción inicialmente fijada en multa administrativa de 2.000.000 de euros, sin perjuicio de lo que resulte de la instrucción.” OCTAVO: Alegaciones al acuerdo de inicio Notificado el citado acuerdo de inicio conforme a las normas establecidas en la LPACAP, la parte reclamada presentó con fecha 24/01/2025 escrito de alegaciones en el que manifestó: 1-Reitera las circunstancias que dieron lugar a la elección del sistema para la actualización del censo. Aporta un cuadro de la localización del número de personas asociadas al FCB a 30/06/2022 y el porcentaje total que representan. Barcelona (ciudad) 54.337, que representa un 38% En Barcelona, área metropolitana., 24.379, que representa un 17%, Cataluña. 49.527, que representaría un 34,6% España 7.143, que representa un 5% y resto del mundo, 7.700, que representa un 5,4%. Por ello, estima FCB que era necesario encontrar un sistema que permitiera una verificación real de la identidad de la totalidad de los socios y socias del Club. La alternativa de la plataforma online (formularios y adjuntos) se descartó porque no permite autenticar a las personas asociadas y verificar su identidad de forma real y porque era poco seguro establecer un sistema que implicara el envío por medios telemáticos de documentos como el DNI, junto con tener que custodiar temporalmente copias de documentos sensibles como el DNI o el pasaporte. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 34/139 Sin embargo, la forma utilizada de sistemas biométricos de autenticación comparando dos imágenes de la misma persona en tiempo real, del DNI con la fotografía: -“evitaba el envío de copias de documentos identificativos como podría ser el DNI/pasaporte. -implicaba la certeza de que el trámite lo realiza la persona asociada, a diferencia del uso de plataforma o formulario online donde no hay manera de conocer la identidad de la persona que realiza el trámite o rellena el formulario y de constatar si realmente es el socio/a -Se estimó este sistema más idóneo por su fiabilidad, su seguridad y sus ventajas, ya que garantizaba poder verificar la identidad de los socios y socias sin riesgo de fraude o suplantación, con agilidad y comodidad. 2-Reitera FCB sus tesis de la diferenciación de la identificación con la autenticación, respondiendo esta última a la cuestión de “¿es esta persona quien dice ser?”, y que en la identificación se comparan los datos biométricos de una persona con los de un conjunto de usuarios para encontrar la identidad del individuo. Considera FCB que los fines de autenticación tanto para la imagen como para la voz es un proceso uno a uno, y no con fines de identificación unívoca. “La autenticación es una comparativa de la persona que debe estar frente a una cámara con una foto de esta previamente almacenada. “ Señala FCB, que la AEPD cuando FCB inició el análisis del tratamiento y del sistema, en el último semestre de 2022, desde el 20/03 y hasta el 30/11/2023, mantenía un criterio que diferenciaba la autenticación y la identificación “implicando principalmente que la autenticación no se consideraba dato sensible ni de categoría especial acorde al artículo 9.1 del RGPD”, y pocos días antes de la fecha límite fijada para la conclusión del proceso, la AEPD cambió de criterio con la “guía sobre tratamientos de control de presencia mediante sistemas biométricos” de 23/11/2023, cuando la casi totalidad de los tratamientos ya habían sido hechos. Los “supuestos incumplimientos e infracciones de la normativa en los que presuntamente ha incurrido el FCB se sustentan en la aplicación del nuevo criterio por parte de la AEPD, inexistente cuando el tratamiento de datos se inició o se estaba llevando a cabo. Realizando en su acuerdo de inicio una interpretación similar a la que hace en una guía interpretativa que no existía en el momento de analizar e iniciar el tratamiento.” “Aun así, FCB cumplía todas las exigencias aplicables según el nuevo criterio (base legítima para el tratamiento específico de datos biométricos e informe con el contenido mínimo requerido para una evaluación de impacto), tanto para el tratamiento de la imagen como de la voz, siendo esto algo que la AEPD no ha tenido en cuenta en el acuerdo de inicio”. Manifiesta FCB, que de acuerdo con el artículo 9.1 del RGPD, “serán datos biométricos los dirigidos a identificar, pero en ningún caso se utiliza el término autenticar, y, aunque son conceptos relacionados, no son sinónimos. Por ello, inicialmente se hace la distinción de los datos biométricos que se pueden destinar a autenticar o a identificar y que únicamente serán considerados datos sensibles los destinados a identificar, tal como estipula el artículo 9.1.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 35/139 Manifiesta FCB, que el Dictamen 3/2012 sobre evolución de las tecnologías biométricas de 27/04/2012 del GT 29, (dictamen 3/2012) ya hacía esta distinción, entre autenticación e identificación antes de la entrada en vigor del RGPD. Añadiendo también la mención que el Libro Blanco sobre la inteligencia artificial de la Comisión Europea de 19/12/2020 volvía a efectuar. Añade que la definición propia del artículo 4.14 del RGPD se refiere a que “permitan o confirmen la identificación única de dicha persona, como imágenes faciales o datos dactiloscópicos” que estima coherente con el artículo 9.1 del RGPD ya que los datos biométricos se pueden usar de distinta manera y con distintas finalidades, pudiendo ser de categoría especial o no, dependiendo de su finalidad. Estima que solo la finalidad de la identificación unívoca es la que encaja dentro del artículo 9.1 del RGPD, quedando la autenticación fuera de esa definición y del contenido del artículo 9.1 del RGPD. Considera que este era el criterio que inicialmente adoptó la AEPD hasta el 23/11/2023. Considera FCB que si los tratamientos de autenticación que llevó a cabo no son de categoría especial tampoco tienen alto riesgo, y por tanto no había necesidad de levantar la prohibición ni de hacer EIPD. Añade que “Aun, así, y sin que ello fuera necesario, en el momento en que se realizó el tratamiento, tanto para el tratamiento de datos biométricos de imagen como de voz, se obtuvo el consentimiento de las personas interesadas y se disponía de un informe que cumple las exigencias del artículo 35.7 del RGPD.” Manifiesta FCB que ahora se está aplicando de forma retroactiva un criterio no existente en el momento de la realización del tratamiento de datos, cuando la realidad es que FCB se ciñó y actuó en todo momento basándose en las directrices y orientaciones de la AEPD existentes en ese momento. “El acuerdo de inicio no menciona este criterio anterior y notorio de la AEPD”, “parece como si este criterio jamás hubiera existido.” “La AEPD antes de su cambio de criterio, había reconocido en sus propias guías y documentación que un tratamiento de datos biométricos destinado a autenticar no tenía encaje dentro del art. 9 del RGPD y, por tanto, no tenía por qué requerir una evaluación de impacto. En concreto, las páginas 30 a 32 de la guía “La protección de datos en las relaciones laborales” versan sobre tratamientos de datos biométricos, y la AEPD hace la distinción entre autenticación e identificación, para acabar concluyendo que en cada caso se deberán tener en cuenta unos aspectos o garantías, y que solo en caso de uso de un sistema de identificación biométrica se hace necesario llevar a cabo una evaluación de impacto.” “FCB siempre ha reconocido e informado desde el inicio de forma transparente del uso de sistemas de biometría y de datos biométricos, pero dejando bien claro que no eran datos biométricos conforme al artículo. 9.1 del RGPD. Es decir, que eran datos biométricos no catalogados como categorías de datos especiales o datos sensibles que no entrañan alto riesgo. La AEPD aplica el nuevo criterio para un tratamiento anterior y ha concluido de forma retroactiva y desfavorable.” Manifiesta que la finalidad de identificar y de autenticar no es la misma, aunque estén relacionadas, requieren un proceso y acciones distintos. Señala que, a diferencia de la identificación, que precisa “que el interesado facilite la información biométrica previa C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 36/139 para establecer una base de plantillas biométricas junto al resto de su información personal o junto algún dato que revele su identidad. Y en este proceso de autenticación no se obtiene biometría previa ni se confecciona una base de datos con plantillas biométricas. No hay ninguna base de datos con plantilla biométricas. Un sistema de identificación biométrica requiere de una base de datos biométricos almacenados previamente como hemos indicado, ya que posteriormente recibirá nuevos datos biométricos que no llevan aparejada identidad alguna con el fin de contrastarlos con toda la base de datos de plantillas biométricas e identificar de forma univoca al individuo. El sistema empleado por el FCB, un sistema de autenticación biométrica no realiza ningún tipo de tarea de identificación contrastando datos biométricos recibidos con otros para lograr identificar y obtener la identidad de la persona. Aquí, se recibe una identidad, el mismo socio la proporciona, no es necesario identificarle, lo que realiza el sistema es únicamente un cotejo entre dos imágenes proporcionadas en el mismo momento por el socio para poder validar dicha identidad y que no se produzca suplantación o fraude, el sistema únicamente se limita a comprobar si la identidad del socio es real, pero es el mismo socio quien se identifica. Y, en conclusión, durante el proceso de autenticación, se toma una fotografía del socio/a y una fotografía de un documento que le permita demostrar su identidad (DNI, Pasaporte).” Añade que al no haber creado de la imagen una base de datos biométrica existente para la actualización del censo, no existiría riesgo de robo de dicha base de datos inexistente como uno de los riesgos que señala el acuerdo de inicio. Manifiesta FCB que también las Directrices 5/2022 sobre el uso de la tecnología de reconocimiento facial en el ámbito de la aplicación de la Ley, adoptadas el 26/04/2023 (Directrices 5/2022) hacen referencia a que la autenticación también sería dato sensible, criterio que, en ese momento, la AEPD no compartía y que no reconoció hasta finales de noviembre de 2023. Estima FCB que “no puede considerarse que la plantilla biométrica que se extrae de la cara de la fotografía del DNI y el proceso que se sigue para cotejarla contra la que se extrae de la fotografía en vivo del socio/a sea una identificación unívoca, ya que el sistema no está identificando a la persona. El/La socio/a ya estaba indicando desde un primer momento su identidad y el sistema no realizaba ninguna tarea de contrastar la plantilla biométrica tomada con múltiples plantillas de distintas personas interesadas, sino que únicamente se ceñía a contrastar dos fotografías de la misma persona que se había identificado previamente para verificar si había fraude o suplantación. El sistema no identifica, válida una credencial que el/la socio/a presenta comparándola con una fotografía de su cara. Y por todo lo expuesto, no puede concluirse que un tratamiento de datos biométricos iniciado y concluido antes del 23/11/2023 constituya en ningún caso un tratamiento de categorías especiales de datos, ya que siguiendo el art. 9.1 y el criterio mantenido por la AEPD, eran datos biométricos fuera del art. 9.1. Y a esto se debe añadir que, si bien la voz se almacenó durante un tiempo, su propósito también era para una autenticación biométrica mediante un proceso uno-auno que hasta el 23/11/2023 no era considerado por la AEPD como categoría especial o dato sensible. Que, además, para el tratamiento de la voz también se había obtenido el consentimiento de todas las personas interesadas y se disponía de un informe C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 37/139 previo con el contenido del art. 37 RGPD y una evaluación de impacto previa y positiva. Finalmente, todo dato biométrico sobre la voz se eliminó con el cambio de criterio de la AEPD a la vez que se respondió el segundo requerimiento de información el 17/06/2024. Los datos biométricos de la voz se obtuvieron acorde a los criterios de la AEPD y con todas las garantías exigibles por la normativa, se mantuvieron un plazo lógico para que el DPD pudiera estudiar la viabilidad de su uso, a raíz del sorpresivo cambio de criterio de la AEPD.” “siendo el propósito beneficiar a los socios y socias sin conllevar ánimo de lucro o riesgo para su privacidad (en realidad la finalidad del tratamiento era blindar la privacidad y seguridad de los socios y socias en los tramites a distancia.)” FCB enumera un conjunto de documentos que revelan el criterio anterior a 23/11/2023: -Guía la Protección de Datos en las relaciones laborales de la AEPD de 18/05/2021. Aportan captura, de donde se contiene expresamente que tienen consideración de categoría especial de datos. -El procedimiento sancionador ***PROCEDIMIENTO.1 (…), firmado el 1/06/2022, manifiesta FCB que en la página 22 valora la identificación y la autenticación en el tratamiento de datos biométricos, indicando que:” El artículo 9.1 junto a la prohibición de tratamiento indica que lo son, los “dirigidos a identificar de manera unívoca a una persona física”, lo que indica que los datos biométricos, por naturaleza, no son sensibles, sino dependerá del uso o contexto en que se utilicen, las técnicas empleadas para su tratamiento, y la consiguiente injerencia en el derecho a la protección de datos”. -Informe jurídico 36/2020, publicado en la web de la AEPD el 8/05/2020, en su página 18, menciona que los datos biométricos únicamente tienen consideración de categoría especial de datos en caso de que sean tratados con fines de identificación, y no autenticación (similar a la Guía laboral mencionada). -De la Autoridad Catalana de Protección de Datos (ACPD), el Dictamen 21/2020 por la consulta de una diputación Provincial, de 12/06/2020, “sobre la consideración de determinados datos biométricos como datos de categoría especial”, que menciona el informe de la AEPD 36/2020, y la resolución de la ACPD, PS/00041/2022, de 5/12/2020 que refiere de nuevo lo señalado por la AEPD en el citado informe 36/2020 de 8/05, en el que se “considera que los datos biométricos solo tendrán la consideración de categoría especial en los supuestos en que se sometan a un tratamiento técnico dirigido a la identificación de una persona física uno a varios, y no en caso de verificar la identidad por la búsqueda de la correspondencia uno a uno.” -Informe jurídico 98/2022, de 22/12/2022, publicado en la web de la AEPD el 20/01/2023, que menciona las Directrices 5/2022 del CEPD, “pendientes en este momento de adopción definitiva tras haber finalizado el proceso de consulta pública”, reconociéndose en el informe “que sigue un criterio distinto al del Comité Europeo de Proteccion de Datos, estimando ambos: identificación y autenticación como categorías especiales de datos”, y que si “el criterio se mantiene en el momento en que se proceda a su adopción definitiva resultará necesaria revisarlo”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 38/139 Aporta una serie de noticias de prensa de noviembre/diciembre 2023, sobre el cambio de criterio de la AEPD en la “guía sobre tratamientos de control de presencia mediante sistemas biométricos” mencionando expresamente la “Guía de relaciones laborales y protección de datos”, y ahora, en línea con las Directrices 5/2022, entiende que ambos, identificación y autenticación conllevan el tratamiento de datos especialmente protegidos, “es decir, no se pueden tratar datos especialmente protegidos salvo que se cuente con una base de legitimación especial del artículo 9.2 del RGPD.” “En este sentido, con el nuevo criterio adoptado por la AEPD, las empresas, en caso de que sus sistemas estuvieran basados en la autenticación, deberán buscar una base de legitimación del artículo 9.2 del RGPD”. Señala FCB que el acuerdo de inicio carece de motivación suficiente en el sentido de que se permitan conocer cuáles han sido los criterios jurídicos esenciales que fundamentan la decisión, que sustente la imputación de las infracciones mencionadas al FCB, por basarse en conclusiones no extraídas de la parte dispositiva de la normativa aplicable y tomando argumentos incongruentes con el criterio que en ese momento la AEPD sustentaba, provocando indefensión. El acuerdo de inicio emplea para desvirtuar el contenido del artículo 9.1 del RGPD los considerandos 51 y 75 del RGPD como requisito adicional que no aparece recogido en la parte dispositiva del RGPD, cuando no son disposiciones legales sustantivas y no pueden contradecir el articulado de la norma. FCB considera que los datos biométricos tratados no tenían la consideración de categoría especial en el momento en que se inició y transcurrió el tratamiento de datos, por lo que no se puede predicar que debido a la técnica para autenticar al socio/a se considere de alto riesgo. No se tuvo en cuenta que el tratamiento del SBRF era evitar suplantaciones y fraudes en los distintos tramites con el FCB, ofreciendo un beneficio para la seguridad y privacidad, lo cual no conllevaba ánimo de lucro ni ningún beneficio para FCB, habiendo efectuado a desembolso en esta tecnología. 3 -Sobre la no necesidad de una segunda base de legitimación dentro de las estipuladas en el artículo 9.2 del RGPD para levantar la prohibición del uso de datos biométricos contenida en el artículo 9.1 del RGPD, tanto para el tratamiento de datos de imagen facial como de la voz, remarca que “este requisito no era exigible al haberse iniciado el tratamiento antes del cambio de criterio de la AEPD en 23/11/2023.” Manifiesta FCB que el tratamiento que efectúa no era dirigido a identificar de manera unívoca a una persona física, sino a autenticar, quedando fuera del concepto de dato biométrico del artículo 9.1 del RGPD, por lo cual no se precisaba ninguna de las circunstancias del artículo 9.2 del RGPD. “Pero en todo caso, si aplicamos el nuevo criterio, un sistema biométrico de autenticación sería un tratamiento de datos de categoría especial del que se requeriría levantar la prohibición del art. 9.1 del RGPD y únicamente cabe excepcionar la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 39/139 prohibición del tratamiento de los datos de categoría especial cuando concurra alguna de las circunstancias que se especifican en el apartado 2 del art. 9 del RGPD. Entre las circunstancias enumeradas no se encuentra el interés legítimo, la ejecución de un contrato o medidas precontractuales”. “FCB realizó ambos tratamientos ofreciendo vías opcionales, contando con el consentimiento de socios y socias para levantar la prohibición del tratamiento de datos biométricos acorde con el artículo 9 del RGPD”. Se tuvo en cuenta que “muchos de los socios y socias del FCB tienen una edad avanzada y no son nativos digitales, suponiéndoles un problema realizar trámites a través de herramientas o aplicaciones digitales. También porque FCB entiende que algún socio o socia, prefiera acudir presencialmente a las oficinas del Club o sea reticente a utilizar herramientas de autenticación biométrica por el motivo que sea. Por tanto, en cuanto al tratamiento de datos biométricos de imagen para actualizar el censo de socios/as del FCB, dispone de una base de legitimación distinta del tratamiento de datos base para actualizar el censo e incluida en el artículo 9 del RGPD que levantaría la prohibición impuesta por el mencionado artículo, el consentimiento. Se ha obtenido el consentimiento expreso, previo, real y libre por parte de todos los socios/as que han facilitado sus datos biométricos para las finalidades que se les indicaron.” Señala FCB que el proceso de actualización del censo se realizó por diferentes vías, siendo la actualización a distancia con uso de datos biométricos una de estas vías, pero no la única opción, “ya que existían otras alternativas para realizar este trámite. El FCB, si bien priorizó el uso del sistema de autenticación biométrico por motivo de seguridad y de gestión, ofreció la opción de ponerse en contacto para que, en caso de ser posible, se realizaran los trámites presencialmente en las oficinas del Club, o para buscar una solución personalizada que no implicara el desplazamiento de la persona, puesto que ello no era viable en una parte muy importante de los casos, dada la dispersión geográfica de los socios y socias del Club. En consecuencia, los socios/as podían realizar la actualización del censo a distancia y con un sistema de actualización biométrica, o por el contrario contactar con el FCB para estudiar la mejor alternativa. Por tanto, el uso de la herramienta para actualizar el censo por parte de los socios y socias fue voluntaria y basada en su consentimiento. Por su parte, en la cláusula informativa de este proceso no aparecía casilla para captar el consentimiento porque la mera acción de usar la herramienta ya representaba una clara acción de consentimiento, pues la autenticación biométrica era la finalidad principal de ese tratamiento y herramienta.” Reitera esta finalidad en el comunicado del FCB inicial a los socios/as de 20/03/2023 ya aportado. Añade FCB que en todos los comunicados se informaba de otras opciones para realizar los trámites o de cómo poder solicitar ayuda.” A su vez, al inicio del proceso y en la propia web se podía acudir a las FAQS donde se indicaba que la realización del trámite de actualización del censo se podría hacer presencialmente en la OAB, no siendo obligatorio realizarlo mediante la herramienta facilitada de autenticación biométrica”. Aporta de nuevo copia de impresión de las FAQS en las que figura que el proceso acaba el 30/11/2023 (cono referencia para poder conocer la fecha en que se editaron estas FAQS sería la fecha en que se conoció su fin tras la prórroga). Un apartado C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 40/139 específico indica “¿Puedo hacer el censo presencialmente?” El proceso es digital y fácil de realizar, pero si algún socio quiere que le ayuden presencialmente, puede venir en la OAB con cita previa”. Manifiesta FCB que, en el acuerdo de inicio, en el fundamento V sobre la infracción del artículo 9 del RGPD se cita la sentencia de 4/07/2023 asunto C-252/21 que resulta posterior a cuando se inició el tratamiento de los datos. FCB sobre la cláusula informativa del proceso de actualización del tratamiento de datos de los socios/as, manifiesta ahora que pese a tener dos casillas a marcar, con la aceptación general de la política de privacidad y otra de aceptación de política de privacidad especifica de obtención del consentimiento para la voz, “el consentimiento para la imagen se obtiene con el mero hecho de realizar el trámite de esta manera- ya que es su finalidad principal y hay otras alternativas), mientras que el consentimiento para la voz se obtiene con la marca especifica de la casilla habilitada para ello”. “Una vez dadas todas las opciones, el consentimiento era inherente a la acción de realizar el trámite por esta vía digital, vía que era opcional y libre, y por eso no aparecía casilla específica. Por su parte, la casilla aparecía para obtener un consentimiento expreso y específico para el registro de la voz por ser distinto y accesorio, ya que el tratamiento principal de datos era la autenticación biométrica para el censo y se aprovechaba mediante casilla específica, para solicitar consentimiento para la voz“ Estima FCB que denegar el consentimiento no tendrá consecuencias adversas para la persona, en este caso no hay consecuencia negativa alguna al denegar el consentimiento ya que este es real y voluntario y se puede acudir a las alternativas propuestas sin ser penalizado de ningún modo por decidir no prestarlo, y no existe un desequilibrio entre las partes: los socios/as que son los dueños del FCB. Como conclusión, FCB señala que “La actualización del censo era un trámite obligatorio para el que se ofrecieron distintas opciones para poder realizarlo”. “Aunque la mayoría de los socios/as optó de forma voluntaria por realizar los trámites con el sistema de autenticación biométrica, una parte de los socios/as no prestaron su consentimiento para ese tratamiento y utilizaron otra de las opciones propuestas, desplazándose presencialmente a las oficinas para ello”, reitera a los datos que 12.249 socios/as realizaron los trámites presencialmente en las oficinas del Club.” Añade que, “en cuanto a la voz, se podía efectuar con las herramientas propuestas a distancia o presencialmente en las oficinas, “obteniéndose en ambas vías los datos biométricos por consentimiento expreso del socio/a”. 4-Manifiesta FCB que a pesar de que se concluyó del informe de valoración de riesgos que no era necesaria la realización de una evaluación de impacto, incorporó los puntos básicos para poder tener la consideración de evaluación de impacto, de modo que en el informe se analizaron también cada uno de los riesgos derivados del uso de este sistema de biometría, incluyendo un estudio de proporcionalidad del tratamiento, concluyendo que tanto el tratamiento como el sistema que se pretendía utilizar eran proporcionales, en cuanto se ponderaba la legitimación con la posible vulneración de derechos y libertades de los interesados. “El estudio de la proporcionalidad del tratamiento se hizo desde la perspectiva de la necesidad, eficacia, perdida de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 41/139 intimidad y existencia de medios menos invasivos, algo que, según el contenido del acuerdo de inicio, no se ha tenido en cuenta por la AEPD”. Respecto a la EIPD exigible por la AEPD para el SBRF y el SBRVOZ, manifiesta FCB que al haberse realizado antes del cambio de criterio de la AEPD de 23/11/2023, no era exigible dicho requisito, ya que los datos biométricos iban destinados a autenticar al socio/a para fines de actualización del censo o para seguridad en la gestión de trámites a