PS-00482-2023

1/128  Expediente N.º: EXP202212956 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR ANTECEDENTES..........................................................................................................2 PRIMERO: Recepción de denuncia de 22/11/2022....................................................2 SEGUNDO: Acuerdo de Directora de inicio de actuaciones previas de investigación. ................................................................................................................................... 3 TERCERO: Primer requerimiento a C.A. OSASUNA en el curso de las actuaciones previas de investigación.............................................................................................3 CUARTO: Segundo requerimiento a C.A.OSASUNA en el curso de las actuaciones previas de investigación...........................................................................................25 QUINTO: Incorporación de documentación en las actuaciones previas de investigación............................................................................................................. 41 SEXTO: Breve análisis de la EIPD aportada por C.A.OSASUNA en actuaciones previas de investigación...........................................................................................50 SÉPTIMO: Acuerdo de inicio de 4/12/2023..............................................................51 OCTAVO: Envío de copia del expediente.................................................................52 NOVENO: Alegaciones al acuerdo de inicio de 28/12/2023.....................................52 DÉCIMO: Propuesta de resolución de 30/10/2024 y alegaciones............................62 DÉCIMO PRIMERO: Alegaciones a la propuesta.....................................................62 HECHOS PROBADOS................................................................................................70 PRIMERO:............................................................................................................... 70 SEGUNDO:.............................................................................................................. 70 TERCERO:............................................................................................................... 70 CUARTO:................................................................................................................. 71 QUINTO:.................................................................................................................. 71 SEXTO:.................................................................................................................... 72 SÉPTIMO:................................................................................................................ 74 OCTAVO:.................................................................................................................. 75 NOVENO:................................................................................................................. 75 DÉCIMO:.................................................................................................................. 76 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/128 DÉCIMO PRIMERO:................................................................................................76 DÉCIMO SEGUNDO:...............................................................................................77 FUNDAMENTOS DE DERECHO.................................................................................77 I Competencia.......................................................................................................77 II Definición de datos de carácter personal y de datos biométricos.......................78 III Normativa sobre control de entradas y de acceso a los estadios......................86 IV Diferencias en los tratamientos de datos para acceso al estadio.....................91 V Examen de la necesidad y proporcionalidad.....................................................92 VI Tratamiento de datos biométricos: excepción del artículo 9 del RGPD, y base legitimadora del artículo 6 del RGPD..................................................................103 VII Respuesta a las alegaciones de C.A. OSASUNA..........................................106 VIII Calificación y Tipificación de las infracciones................................................116 IX Determinación de las sanciones.....................................................................117 X Poderes correctivos.........................................................................................122 RESUELVE:............................................................................................................... 125 Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Recepción de denuncia de 22/11/2022 Con fecha 22/11/2022, se recibió en esta AEPD una denuncia (en adelante, la parte denunciante) contra CLUB ATLÉTICO OSASUNA con NIF G31080179 (en adelante, C.A. OSASUNA). Los motivos en que basa la denuncia son que C.A. OSASUNA instauró en abril 2022 un sistema biométrico de reconocimiento facial (SBRF en lo sucesivo) para el acceso de los espectadores a su estadio El Sadar. Acompaña la nota de prensa publicada el 22/05/2022 por elespañol.com, https://www.elespanol.com/invertia/disruptoresinnovadores/innovadores/tecnologicas/20220522/accesos-rapidos-seguros-sistemareconocimiento-laliga-operativo/673682724_0.html. en: En resumen, la noticia señala que ha sido un proceso en el que desde el principio han contado con la participación de La Liga, como encargada de la gestión de los accesos en los estadios de Primera y Segunda División, de las tres formas que hasta ahora existían para acceder al estadio y que el proceso, disponible de momento para los socios que se den de alta a través de la web, sería una forma de acceso opcional al estadio. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/128 La denunciante indica que se restringen libertades y derechos fundamentales cuya falta de proporcionalidad no hace legítimo el tratamiento, ni siquiera con un eventual consentimiento asociado a su implantación. SEGUNDO: Acuerdo de Directora de inicio de actuaciones previas de investigación. Como consecuencia de la denuncia y la noticia aparecida en prensa, la Directora de la Agencia Española de Protección de Datos remite escrito el 5/12/2022 a la Subdirección General de Inspección de Datos, para que se realicen de oficio de actuaciones previas de inspección con objeto de verificar la adecuada observancia de la normativa. TERCERO: Primer requerimiento a C.A. OSASUNA en el curso de las actuaciones previas de investigación. La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación AI/00417/2022 para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD. Con fecha 14/02/2023, se solicitó al C.A. OSASUNA, que aportase información “relativa al tratamiento de datos biométricos referido en las noticias publicadas en medios de comunicación”. Por otro lado, se ha de señalar, además, que, en ese momento, se estaban llevando a cabo otras actuaciones (expediente número EXP202213792) en las cuales se investigaba (AI/00444/2022) la situación en cuanto a la utilización de sistemas biométricos para el acceso a los estadios. En las actuaciones del presente caso, con fecha 13/03/2023, como información previa, manifiesta C.A.OSASUNA que “la Solución o Sistema de Reconocimiento Facial” (SBRF en lo sucesivo) instaurado, permite facilitar el control de acceso al estadio El Sadar y no se configura como obligatoria, siendo un modo complementario de los restantes procedimientos establecidos por el Club para la admisión y control de acceso al recinto actualmente existentes, pudiendo aquellos elegir entre los distintos métodos de acceso disponibles. C.A. OSASUNA formalizó contratos con DAS-GATE ACCESSS CONTROL SOLUTIONS SL, (DAS-GATE en lo sucesivo) proveedor de los servicios tecnológicos que, mediante el uso de la tecnología biométrica generada a su vez por VERIDAS DIGITAL AUTHENTICATION SOLUTIONS, S.L (en adelante, “VERIDAS”), desarrolló el Sistema. Con carácter previo a la puesta en funcionamiento de la Solución, realizaron entre los meses de noviembre de 2021 y febrero de 2022, una Evaluación de Impacto relativa a la protección de datos (en adelante, EIPD) siendo la versión definitiva de la misma, de 4/02/2022, que se adjunta como DOCUMENTO 1, cuyo resumen relacionado con la esencia del asunto, se resume en el último de los HECHOS. Determinación, para cada una de las actividades que involucran el tratamiento de datos biométricos, de: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/128 1.1. Fechas en que se iniciaron y, en su caso, fecha de finalización. Respondió C.A. OSASUNA, que en fecha 10/04/2022, se llevó a cabo una prueba piloto del sistema. Se adjunta, como DOCUMENTO 2, el anuncio de la puesta en funcionamiento del Sistema el próximo domingo en: “noticia-comunicado oficial de 5/04/2022”. Se informa que va a ser el primer club de La Liga en permitir el acceso a su estadio mediante reconocimiento facial, como manera rápida, cómoda y segura, sin necesidad de portar el abono físico, - “abriéndose el torno en un proceso que dura menos de un segundo”, - “será el aficionado el que escoja como entrar al estadio, teniendo siempre la opción de usar el carnet físico, el abono digital en su teléfono móvil o bien el acceso biométrico”, -“… siguiendo el protocolo marcado por La Liga, se habilitará un primer torno con acceso biométrico en la puerta 7 del estadio”, “Inicialmente solo los socios que accedan por la puerta 7 recibirán el enlace para darse de alta”. - “el registro del usuario se puede completar a través del teléfono móvil, siguiendo los pasos que irá indicando el sistema y realizando una fotografía tanto del carnet de socio como del DNI.” “Una vez completado el proceso de alta, el sistema reconocerá ya al socio en todos los partidos de la temporada sin necesidad de repetir el proceso”. Manifestó C.A. OSASUNA que, con ocasión del siguiente encuentro, el 22/04/2022, se amplió el número de puertas de acceso que disponen de terminales para el funcionamiento del Sistema, en las puertas 3, 8, 10, 11, 16, 21 y 27, hasta completar así las ocho puertas inicialmente previstas. (Habiéndose habilitado UNO de los tornos de cada puerta para ello. Para emplearlo, hay que registrarse previamente). Se adjunta, como DOCUMENTO NÚMERO 3, “newsletter” que C.A. OSASUNA manifiesta remitió a los socios el 9/04/2022, con información entre la que consta también que” El registro no impide que accedas el día que quieras con tu tarjeta física o con el abono en el móvil”, o que el SBRF “te permitirá acceder, aunque te hayas olvidado tu carnet, ya que no necesitaras llevarlo encima para entrar”. Se incluye DOCUMENTO 4, newsletter que C.A. OSASUNA declara remitió a los socios el 18/04/2022 que contiene infografía sobre la explicación del registro y los mensajes que aparecen en el dispositivo. Figura una pestaña de enlace para iniciar el proceso de activación (paso 1) (landing page de registro), “accede al siguiente enlace, para iniciar el proceso de activación”-Activar (en la pestaña) viéndose los pasos: 2 “inicia el proceso y acepta los términos y condiciones del tratamiento de tus datos”, con un dibujo de un dispositivo móvil que figura en todos los pasos, y “digitalización del abonocomenzar digitalización”. 3 “Introduce tu DNI y tu dirección de correo electrónico para comenzar el proceso”. Se visiona la pantalla de “introduce tus datos”, el primer recuadro para escribir el número del DNI incluyendo letra, el siguiente recuadro para el email, y dos casillas a marcar: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/128 Una primera: “consiento de forma expresa el tratamiento de mis datos personales incluida mi imagen para la generación de un vector facial mediante un sistema de inteligencia artificial que permite mi identificación en el momento de acceso al estadio”. Una segunda: “he leído y acepto la Política de Privacidad “, con Política de Privacidad remarcado para hacer link. Debajo de la segunda casilla, para marcarse, una tecla de: COMENZAR, y otra de Cancelar. 4.”Captura una foto del código QR de tu abono de socio del club” En el dispositivo móvil con el que se lleva a cabo la operación figura el espacio para “Escanea QR de tu abono. Encuadra el QR de tu abono en el cuadrado para que la cámara lo escanee” 5.”Captura una foto de tu DNI por delante y por detrás”.” Encaje el anverso de su DNI en el recuadro”. 6 “Hazte un selfie” “coloca tu cara en el óvalo y realiza los movimientos que se indican”. 7 “El sistema verifica que la fotografía de tu DNI coincide con los rasgos y la identidad de la persona que se ha realizado el selfie”, sale en pantalla del dispositivo móvil un mensaje de que “Ya casi está...” con un mensaje de que se está preparando lo necesario para poder acceder al estadio con SBRF. 8 “El sistema verifica que los datos aportados coinciden con los del abonado que se está registrando en el sistema e informa sobre si el proceso se ha realizado correctamente” “el proceso se ha completado con éxito”.” En tu puerta de acceso habitual encontrarás debidamente señalizados los tornos de acceso rápido con reconocimiento facial.” Manifiesta C.A. OSASUNA que existe información de “PREGUNTAS Y RESPUESTAS en torno al nuevo sistema de acceso al estadio El Sadar” disponible desde la web del Club, que aporta como DOCUMENTO 5. En él, se aprecia, que no lleva fecha, pero se informa que el nuevo sistema estará disponible para la puerta 7 en el partido del 10/04, y que para el próximo partido del 20/04 hasta el final de temporada se habilitaran tornos de acceso por SBRF en otras puertas. Se aprecia también que indica entre otros aspectos, que “al proceso de activación puede accederse desde este enlace https://osasuna-socios.app.das-gate.com/”, y que el proceso de activación se necesita “su móvil, su abono de Osasuna y su DNI”. En “¿Cómo activar el acceso con DAS-GATE?”, también refiere la Tablet u ordenador, accediendo a la página web www.osasuna.es “donde encontraras un comunicado con la información del sistema y un botón para iniciar el proceso de activación, https://osasuna-socios.app.das-gate.com/ coincidiendo las explicaciones con el DOCUMENTO 4, ya visto. Se reitera: “podré seguir accediendo con mi abono? Si, siempre vas a poder elegir como poder acceder al estadio. El acceso con DAS-GATE es solo una opción más de las que tienes disponibles para entrar a El Sadar” y que “el nuevo sistema será opcional y voluntario, manteniéndose disponibles el resto de las modalidades de acceso que se han venido utilizando hasta ahora”, “siempre vas a poder elegir como acceder al estadio”. También se informa que “puedes darte de baja en cualquier momento desde el área de usuario, en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/128 cancelar cuenta.”, así como de la gestión por parte de DAS-GATE y que han realizado una EIPD. En “¿qué ventajas aporta?”, se indica entre otras, que “este tipo de accesos permite controlar que eres tú quien utiliza el abono. Disfrutar del partido con la tranquilidad de que todas las personas presentes cuentan con los permisos pertinentes es un beneficio para todos”, y “Este nuevo sistema de acceso cumple estrictamente con el Reglamento General de Proteccion de Datos y está avalado por la Liga”. Manifiesta C.A. OSASUNA sobre la fecha de finalización que: “Considerando el objetivo del Sistema de facilitar el acceso biométrico al estadio a aquellos aficionados que libremente lo deseen, no existe una fecha de finalización del tratamiento preestablecida”. 1.2 Finalidades y bases de legitimación de las actividades de tratamiento (art. 6 RGPD). En su caso, causas del levantamiento de la prohibición general de tratamiento de categorías especiales de datos personales (art. 9 RGPD). Reitera que: -El Sistema ofrece a sus aficionados un método complementario de acceso al estadio a los actualmente existentes (y que pueden seguir siendo libremente empleados por los aficionados), consistente en el reconocimiento de vectores biométricos de aquellos abonados del Club que deseen hacer uso del Sistema, en lugar de los derivados de otros medios convencionales como, por ejemplo, la lectura del código QR de la tarjeta de abonado o el chip NFC. En ningún caso, los socios estarán obligados al uso del Sistema para poder acceder al recinto. - “incluso cuando un abonado se hubiera dado de alta en el Sistema, éste podrá decidir en cada encuentro al que asista el medio de acceso al estadio que considere oportuno, pudiendo optar por el reconocimiento biométrico o por cualquiera de los restantes procedimientos o métodos de acceso que C.A. OSASUNA pone a su disposición. -el usuario podrá, en cualquier momento y de forma inmediata, revocar el consentimiento prestado, tal y como se indicará en otro lugar del presente documento.” Manifiesta que: -“La finalidad del tratamiento es la de garantizar a los aficionados de Osasuna que así lo hayan decidido libremente el acceso al estadio mediante el reconocimiento facial, como alternativa no excluyente, a los distintos medios de acceso puestos por el Club a su disposición. -“En primer lugar, se requiere en todo caso el consentimiento específico y libre para que el usuario pueda darse de alta en el Sistema, de forma que los abonados son enteramente libres para no hacerlo, pudiendo seguir utilizando los restantes medios de acceso puestos a su disposición por el Club, en los mismos términos en que lo venían haciendo hasta ahora. Para ello, se desarrollan dos actividades de tratamiento: ● La relacionada con el alta y verificación de la identidad del usuario por el Sistema, a fin de incluirle en el mismo y generar su vector biométrico. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/128 ● La referida al correspondiente control biométrico de acceso al estadio en el momento de celebración de cada evento, mediante su identificación en el Sistema.“ -“En lo que respecta a la base de legitimación para el tratamiento, analizó, en primer lugar, la aplicabilidad al Sistema de lo dispuesto en el artículo 9 del RGPD, teniendo en cuenta que el mismo implica el tratamiento de datos personales biométricos con finalidades identificativas (1:N). Este análisis concluyó en la aplicabilidad de dicho precepto, por lo que, junto con la concurrencia de una de las bases jurídicas previstas en el artículo 6.1 del RGPD, era preciso que fuera aplicable al mismo una de las excepciones a la prohibición prevista en el artículo 9.2 del RGPD.” Como se ha indicado, el uso del Sistema se constituye como una opción por la que los aficionados podrán optar de forma libre y completamente voluntaria. Por este motivo, dado que sólo se procederá al tratamiento de los datos de los interesados que así lo soliciten, sin condicionar dicha autorización el acceso al estadio, el tratamiento se ampara en lo dispuesto en los artículos 9.2

1. a)y 6.1
2. a)del RGPD, es decir, en el consentimiento explícito del interesado a la realización del tratamiento de sus datos biométricos.” La EIPD aportada, analiza la concurrencia de los requisitos exigidos para la validez del consentimiento en su apartado 5.2.3 (en particular, su carácter de manifestación de voluntad libre, específica, informada e inequívoca), así como la viabilidad de esta base de legitimación en el tratamiento de datos biométricos, concluyendo en la validez de dicha base jurídica.” Literalmente, señala la EIPD, dentro del apartado 5 “Base jurídica del consentimiento”, tras indicar que el consentimiento ha de ser lícito para lo cual se requiere que cumpla una de las bases jurídicas del artículo 6.1 del RGPD, pasa a analizar si puede darse alguna causa que levante la prohibición del tratamiento, por ser dato especial, “dado que solo en caso de que sea aplicable alguna de las prohibiciones alcanzaría sentido el estudio de la base jurídica del tratamiento”. En el siguiente apartado de la EIPD, 5.2.1, especifica que “la aplicación de técnicas de reconocimiento facial para la identificación biométrica, y el consiguiente tratamiento de los datos personales identificativos del interesado vinculados a su patrón facial, o simplemente de este último, ha sido habitualmente objeto de análisis en el marco de la actuación de la vigilancia y seguridad públicas. Por ello, al fundarse dicha vigilancia en sistemas que no permiten discriminar usuarios (es decir, se produce la recogida del patrón facial de todas las personas que se exponen a la grabación o recogida de los datos por un determinado dispositivo) no se analiza en esos casos el consentimiento como base jurídica del tratamiento, al no ser posible su obtención o resultar evidentemente comprometido el cumplimiento de los requisitos exigidos para la misma (por ejemplo, no puede considerarse que el consentimiento se presta por el mero hecho de atravesar la zona en que se produce la recogida del dato y, al propio tiempo, difícilmente ese consentimiento es libre, dado que el dato será recogido en todo caso, sin que el interesado pueda negarse a ello o revocar un supuesto consentimiento prestado).” Considera en la EIPD, que bajo el análisis de, por ejemplo, las Directrices 3/2019 del EDPB adoptadas el 29/01/2020, sobre el tratamiento de datos personales mediante dispositivos de video, se infiere la existencia de supuestos en que el consentimiento podría ser una base C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/128 jurídica adecuada para el tratamiento que en su punto 77, dentro del apartado 5.1 “consideraciones generales para el tratamiento de datos biométricos”, indica: “77. La utilización de la videovigilancia, incluida la función de reconocimiento biométrico instalada por entidades privadas para sus propios fines (p. ej., mercadotecnia, estadísticas o incluso seguridad), requerirá en la mayoría de los casos el consentimiento explícito de todos los interesados [artículo 9, apartado 2, letra a)]; no obstante, también podría aplicarse otra excepción adecuada del artículo 9”, y pone de ejemplo: “Para mejorar su servicio, una empresa privada sustituye los puntos de control e identificación de pasajeros dentro de un aeropuerto (despacho de equipajes, embarque) por sistemas de videovigilancia que utilizan técnicas de reconocimiento facial para comprobar la identidad de los pasajeros que han optado por consentir dicho procedimiento. Dado que el tratamiento entra en el ámbito del artículo 9, los pasajeros, que previamente habrán dado su consentimiento explícito e informado, tendrán que incluirse en un terminal automático, por ejemplo, para crear y registrar su plantilla facial asociada a su tarjeta de identidad y su tarjeta de embarque. Los puntos de control con reconocimiento facial deben estar claramente separados, por ejemplo, el sistema debe instalarse en un pórtico para que no se capturen las plantillas biométricas de la persona que no ha dado su consentimiento. Únicamente los pasajeros que hayan dado su consentimiento previamente y procedido a su registro utilizarán el pórtico equipado con el sistema biométrico”. Considera en la EIPD, que aun encontrándose en un sistema de identificación y no de autenticación, en su sistema, también de identificación, el propio interesado puede decidir libremente someterse al tratamiento, sin consecuencia negativa, “es decir el sistema de comparación sigue siendo 1 a “n”, en que “n se limita a aquellos interesados que voluntaria y libremente deciden y consienten la realización del tratamiento” Estima la EIPD que el consentimiento es válido apoyándose en las Directrices 5/2020 de 4/05/2020, sobre el consentimiento en el sentido del Reglamento UE 2016/679, o en el informe jurídico del Gabinete Jurídico de la AEPD (G.J. de la AEPD) 36/2020, ya que no comporta desventaja ni perjuicio alguno al que no lo de, o lo retire. Ambos medios (se refiere a los accesos) serán esencialmente equivalentes salvo por los propios beneficios intrínsecos a cada uno de ellos, por ejemplo, la mayor o menor rapidez en el acceso. Repasa los elementos del consentimiento, indicando en la EIPD, página 38, 5.2.2., que el Club no beneficia a quien opte por un sistema u otro de acceso, “sin perjuicio de promover el uso de este sistema de acceso, dado su carácter novedoso, siendo ambos medios esencialmente equivalentes salvo por los propios beneficios intrínsecos a cada uno de ellospor ejemplo, la mayor o menor rapidez en el acceso”. Estima cumple todos sus requisitos y en su apartado final, 5.2.3 indica: “Por ello, cabe considerar que el tratamiento se encuentra válidamente amparado en lo establecido en el artículo 9.2.
3. a)del RGPD. La consecuencia de lo anterior es que, siendo el consentimiento exigido por el artículo 9.2
4. a)reforzado respecto con el establecido en el artículo 6.1
5. a)como base jurídica general para el tratamiento de los datos personales, ha de considerarse que dicho consentimiento se subsume igualmente en el contenido en esta última norma, por lo que, además, el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/128 tratamiento contará con la base jurídica establecida en el artículo 6.1 a), cumpliendo así el principio de licitud.” 1.3 Juicios de proporcionalidad efectuados para la ejecución de las actividades mediante el tratamiento de datos biométricos. Respondió que se contiene en el apartado 6.4 de la EIPD, analizando primeramente el hecho de que el tratamiento de los datos biométricos de los interesados “resulta idóneo para el logro de la finalidad de reconocimiento para control de acceso- siguiendo la doctrina sentada por la AEPD en la resolución del procedimiento PS/ 00120/2021 (caso Mercadona) y en el informe del Gabinete Jurídico 47/2021”, “poniendo de manifiesto que el sistema, a diferencia de los analizados en los citados documentos de la AEPD, se basaría en el consentimiento, no produciéndose así el reconocimiento más que de aquellos aficionados que así lo solicitasen y libremente autoricen el mismo”. -El apartado 6.4.3 de la EIPD, encuadrado en el análisis del principio de minimización de datos, y más concretamente, de los “criterios en relación con la aplicación del principio de minimización en el tratamiento de datos biométricos (6.4.2), se indica que “se han de tener en consideración para valorar la necesidad y proporcionalidad del tratamiento:” A-La realización del tratamiento se limitará únicamente a aquellos que voluntariamente deseen hacer uso de este procedimiento, no es indiscriminado ni masivo, conservando el medio alternativo de acceso. B-El tratamiento implica un proceso de identificación, “ y no de autentificación, que resultaría menos invasivo, si bien: se produce sobre vectores y no directamente sobre imágenes o sobre información biométrica y la búsqueda de correspondencias entre vectores sería limitada no a todas las personas que accedieran al estadio”. C- No se realizan reconocimientos faciales a distancia y sobre zonas completamente abiertas al público, sino que se produce el proceso de identificación a escasos centímetros de la máquina frente a la cual el usuario debe situarse a menos de UN metro del terminal para que sus datos se puedan capturar haciendo imposible el intento de “vectorización” de otros interesados que no tengan la intención específica de acceder al recinto deportivo a través de la solución. D- “Únicamente se tratarán los datos sobre la base del consentimiento de los interesados que deseen libremente hacer uso de la solución, que debe ponderarse favorablemente a los efectos de verificar la proporcionalidad de tratamiento, dado que es posible apreciar de la propia conducta del interesado, la concurrencia en el tratamiento de un beneficio mutuo para el Club y la persona, que agiliza el acceso al estadio”. E- El uso de la solución queda limitado a los abonados mayores de 14 años en virtud del artículo 7 de la LOPDGDD en conexión con el artículo 8 del RGPD-la edad, además quedará verificada durante el proceso de alta, al producirse el tratamiento de la imagen escaneada del DNI” -Añade que ello se produce en el marco del artículo 11.1 de la Ley Antiviolencia, que establece que “todos los recintos deportivos en que se disputen competiciones estatales de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/128 carácter profesional deberán incluir un sistema informatizado de control y gestión de venta de entradas, así como de acceso al recinto.” C.A. OSASUNA considera que el tratamiento supera el triple juicio de idoneidad, necesidad y proporcionalidad, indicando que: “En efecto, el tratamiento de los datos efectuado para el alta en la solución es, como se verá posteriormente, idóneo para el cumplimiento de llevar a cabo ese proceso de alta, al permitir la plena identificación del abonado. Del mismo modo, el tratamiento del vector facial es idóneo para facilitar el acceso al estadio El Sadar a través de los lectores incorporados a parte de los tornos de entrada, mediante la simple lectura de la imagen del interesado y su comparación con el citado vector facial. En segundo lugar, el tratamiento es necesario para el logro de la finalidad perseguida por el tratamiento, cual es facilitar a los abonados de OSASUNA que así lo deseen, el acceso al recinto deportivo a través de un procedimiento ágil y sencillo. Ciertamente, en este punto, es posible el logro de la finalidad perseguida (el acceso al estadio El Sadar) utilizando un medio menos intrusivo (el uso de los medios tradicionalmente empleados, como por ejemplo el uso de un lector del código QR incorporado al abono). No obstante, la implementación del tratamiento analizado en esta DPIA no impide el uso de esta opción. Es decir, el interesado puede decidir libremente y sin que ello le produzca ningún tipo de afección a sus derechos como abonado, optar por uno u otro tratamiento para el acceso al estadio. De este modo, la necesidad se vincularía en este caso con la voluntad del abonado, que no puede ser satisfecha utilizando un medio menos intrusivo de acceso. Finalmente, en cuanto al cumplimiento de proporcionalidad, debe traerse a colación lo señalado por la AEPD en los documentos anteriormente reproducidos, en el sentido de que este principio quedaría incumplido en el supuesto en que se impusiera a los abonados, sin alternativa posible el acceso al recinto a través del procedimiento descrito y no pudiese apreciarse la concurrencia de “más beneficios o ventajas para el interés general que perjuicios sobre otros bienes o valores en conflicto”. Sin embargo, en este supuesto es el propio abonado quien pondera la preferencia entre uno u otro sistema (en el momento del alta y, adicionalmente, en cada acceso) y la prevalencia de su interés particular sobre los derechos que el mismo pudiera considerar afectados, no viéndose por otra parte afectada su integridad personal…).” -Manifiesta C.A. OSASUNA, que se cumpliría el principio de minimización, recogiéndose en el punto 6.4.5 de la EIPD “concluyendo que, dados los términos de funcionamiento del Sistema, se cumple lo exigido por el artículo 5.1
6. c)del RGPD tanto en el proceso de alta del interesado que así lo decida libremente como en el control de acceso por el mismo al estadio, si desea hacer uso del citado Sistema. En todo caso, en el apartado 2 de la EIPD se detallan los flujos de datos generados como consecuencia del Sistema.” Manifiesta C.A. OSASUNA, que: “Además, la encargada del tratamiento DAS-GATE proporciona garantías adicionales de carácter técnico, como: -Presenta unas medidas de vectorización en registro controladas -Mantiene medidas de seguridad ante injerencias no deseadas -Cumple con certificaciones oficiales C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/128 -Al tratarse la Solución de un modelo basado en Inteligencia Artificial la no trazabilidad de los rasgos faciales –reversibilidad- se ve reforzada respecto del software y modelos anteriores o menos avanzados. Consecuentemente, de conformidad con la información facilitada en el Documento Descriptivo, esto implicaría que el vector biométrico resultante de la imagen facial recogida se encontrará ligado a la Solución sin que otro sistema de reconocimiento facial pueda revertir el vector. Es decir, no se podrá interpretar el vector matemático con la finalidad de extraer información del interesado inicial dando lugar prácticamente a un hash de la imagen facial del interesado. En particular, de conformidad con la información trasladada por DAS-GATE, cada motor biométrico de DAS-GATE e incluso cada versión de ese motor biométrico es única de forma que los vectores derivados de la Solución no son interoperables con otras versiones del software.” 1.4 En su caso, amparo jurídico para el tratamiento de datos personales relativos a condenas e infracciones penales (artículo 10 del RGPD y de la LOPDGDD) y en su caso de datos personales relativos a infracciones y sanciones administrativas (artículo 27 de la LOPDGDD). Respondió que el sistema no recaba dato sobre estas materias. 1.5 Procedimientos seguidos para el cumplir el deber de información (artículos 13 y 14 del RGPD). Evidencias de cumplimiento. Respondió que “dado que los datos personales son recabados por el Club, directamente del propio interesado en el momento en que decide darse de alta en el Sistema, se ofrece información por capas.” En lo que respecta al momento en que se proporciona la información, el Club, en la dirección www.osasuna.es/acceso-biometrico-a-el-sadar, pone a disposición del interesado una información básica acerca del procedimiento adoptado, así como las preguntas más frecuentes en relación con el Sistema, ofreciendo al interesado la posibilidad de continuar el proceso mediante un enlace al portal de DAS-GATE. Manifiesta que “Una vez el interesado ha ingresado en el portal de DAS-GATE, a través del que se producirá el proceso de alta, aparece reflejada la información básica relativa al tratamiento, que se aporta como DOCUMENTO 6, en la que se incluye un vínculo a la segunda capa informativa que se incorpora en la política de privacidad disponible en la página web de OSASUNA, que se aporta como DOCUMENTO NÚMERO 7.” Se aprecia que el DOCUMENTO 6 se denomina: “tratamiento de los datos de control de accesos a las instalaciones por reconocimiento facial”, y figura como más destacable la siguiente información: “Responsable: C.A. OSASUNA Finalidad: control de accesos mediante sistema de reconocimiento facial Legitimación: consentimiento del interesado artículo 6.1.
7. a)RGPD y artículo 9.2.
8. a)autorización expresa para el tratamiento de las imágenes mediante un sistema de inteligencia artificial, reconocimiento facial, generando un vector que permite identificar al usuario para el control de accesos a las instalaciones. Destinatarios: no están previstas cesiones de datos a terceras entidades. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/128 Derechos: tiene derecho a acceder, rectificar y suprimir los datos, así como otros derechos, indicados en la información adicional, que puede ejercer dirigiéndose a lopd@osasuna.es y a dpo@gfmservicios.com, pinchando el enlace de la web y del portal del socio “ejercicio de derechos ArSol”. Información adicional; puede consultar información adicional y detallada sobre Protección de Datos aquí https://www.osasuna.es/política de privacidad”, constando a continuación una pestaña para aceptar y otra para rechazar. Manifiesta C.A. OSASUNA, que “esta información incorpora la casilla de consentimiento relativa al tratamiento, que el interesado deberá marcar en caso de optar por prestar su consentimiento, habiendo sido informado previamente de todos los extremos del tratamiento. La lectura de esta información es obligatoria para poder proseguir el proceso. “ Manifiesta C.A. OSASUNA que “Una vez prestado el consentimiento al tratamiento, el gestor de consentimientos de OSASUNA remite al abonado un correo electrónico (copia del cual se aporta como DOCUMENTO NÚMERO 8) en el que se le proporciona la concreción de los detalles técnicos del consentimiento otorgado, así como la política de privacidad vinculada al tratamiento de los datos consentido por aquél, quedando registrada dicha remisión. De esta manera, el interesado no sólo accede a la política de privacidad en el momento de su alta en el Sistema, sino que recibe personalmente la citada política, a fin de que pueda disponer de la misma en cualquier momento. En todo caso, el modo en que OSASUNA informa a los interesados acerca del tratamiento de sus datos se analiza y detalla en el apartado 7.1 de la EIPD aportada. “ Se aprecia del DOCUMENTO 7, “fecha última actualización enero 2022”, segunda capa informativa figura, además, el DPD designado y su email, se definen más ampliamente las finalidades, indicando que “se tratan los datos personales de las personas abonadas con la finalidad de digitalizar estos y verificar la identidad del abonado, con el objetivo de darle de alta en el sistema de DAS-GATE, proveedor contratado.” “(ALTA DEL ABONADO) Los datos a tratar con esta finalidad serán aquellos datos facilitados por el interesado (datos identificativos), así como el Documento Nacional de Identidad, la imagen obtenida de un selfie del interesado y los contenidos en el código QR el abono (número de abonado y de DNI, así como ID de acceso), y (ACCESO BIOMETRICO): se tratarán los datos personales con la finalidad de permitir el acceso al estadio de Club Atlético Osasuna mediante reconocimiento facial, sistema alternativo de entrada que permite robustecer la seguridad de acceso al mismo, así como agilizar la entrada al mismo, facilitando ésta a los socios y socias del Club. INICIAR SESIÓN en portal das-Gate (IS) – se tratarán los datos personales de los interesados con la finalidad de que éstos puedan identificarse y acceder al portal de Das Gate, de manera que puedan gestionar el acceso mediante reconocimiento facial asociado al abono, pudiendo solicitar la baja en este servicio o la cesión del abono, en aquellos casos en que esté permitido.” En tiempo de conservación figura que “Los datos identificativos del socio/a se conservarán durante el tiempo que dure el proceso para la generación de los vectores correspondientes, siendo eliminados automáticamente por los sistemas informáticos en ese mismo momento. Los vectores irreversibles, así como las ID de acceso y la ID de usuario (creada por el socio), se conservarán hasta que los interesados/as soliciten su supresión, salvo que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/128 apliquen otras previsiones legalmente establecidas. En todo caso, los datos se suprimirán en caso de que el usuario/a dejase de ostentar la condición de abonado del C.A. Osasuna o cesionario/a de un abono del Club.” “Podrá ejercitar sus derechos a través del área privada de cada usuario en el portal de DASGATE” “Tiene derecho a retirar dicho consentimiento en cualquier momento”. “Datos que se tratan - Datos identificativos del socio/a. (DNI del titular, anverso y reverso) - Dirección de correo electrónico del socio/a. - Datos del código QR abono socio (DNI, número de abonados e ID acceso) - Numero de socio/a - Imagen del socio/a - Algoritmo “Vector” de la imagen del socio/a. - ID usuario/a en la plataforma Das Gate”. Por su parte, el DOCUMENTO 8, consiste en un e mail informando al socio/a abonado con link a la política de privacidad y de la posibilidad de ejercer sus derechos, conteniendo la IP, DNI y e mail y la fecha en la que ha dado el consentimiento, como “justificante consentimiento”. 1.6 Plazos de conservación de los datos personales (obtenidos del proceso de registro, y del proceso de identificación tanto si es positiva como negativa) o, cuando no sea posible, los criterios utilizados para determinar este plazo. Evidencias de cumplimiento. Respondió que “para la determinación de los plazos de conservación será necesario distinguir entre: ● Los datos objeto de tratamiento durante el proceso de alta del abonado. - en cuanto a los datos que son tratados en el proceso de alta del usuario, su conservación se limitará estrictamente al período en que se produce la verificación de la identidad del abonado para llevar a cabo su alta en el Sistema, dado que la única finalidad que justifica ese tratamiento es la de lograr la citada verificación como paso previo a la realización del alta y la generación del vector facial del abonado a partir de su foto selfie. -Por otra parte, respecto a la imagen recabada para la generación del mencionado vector, ésta es suprimida una vez se verifica que se corresponde con la que consta en el DNI aportado por el usuario, habiéndose generado el correspondiente vector facial. De este modo, al concluir el proceso de alta, el Sistema únicamente conserva el vector facial del abonado, sin asociarlo a ningún dato identificativo que conste en su DNI o en su abono ni a los datos facilitados por el interesado en el proceso de alta. El Sistema únicamente conserva, (
9. i)el vector facial; (
10. ii)el identificador anónimo de acceso correspondiente al abono, a los exclusivos efectos de evitar duplicidades en el uso del mismo; y (iii) el hash del identificador de usuario en el Sistema, que se recaba a los exclusivos efectos de servir como primer elemento de autenticación para el acceso seguro C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/128 por el usuario al portal de DAS-GATE, a fin de poder interactuar con el Sistema (por ejemplo, para proceder a su baja o ejercitar sus derechos). Estos datos se conservarán en tanto el interesado no revoque el consentimiento previamente prestado o siga ostentando la condición de abonado de OSASUNA, procediéndose a su supresión en caso de revocación o cesación en la condición de abonado. La revocación del consentimiento podrá efectuarse directamente y en cualquier momento por el interesado desde el portal del usuario.” Manifiesta C.A. OSASUNA que “En caso de producirse una de estas circunstancias, se procederá, conforme al artículo 32 de la LOPDGDD, al bloqueo de los datos por un plazo de 3 años, coincidente con el período máximo de prescripción de las infracciones en materia de protección de datos personales, a fin de poder responder de las posibles responsabilidades derivadas del tratamiento. Adjunta, como DOCUMENTO NÚMERO 9, copia de las capturas de pantalla referentes al ejercicio de derechos en la web de OSASUNA con el título “ejercicio de derechos ArSol”, constando de un formulario para cumplimentar “ejercicio de derechos ARSOL”. Se informa entre otros aspectos que “Si ha otorgado su consentimiento para alguna finalidad concreta, tiene derecho a retirar, revocar, el consentimiento otorgado en cualquier momento…”. En la parte inferior figura un desplegable con los derechos que se ejercitan y un campo a rellenar en “mensaje”. Exige como obligatorio para su ejercicio, el e mail, móvil, DNI, nombre y apellidos e IMAGEN DNI, que se ha de seleccionar como archivo seguramente para adjuntar. ● Los datos que son tratados con la finalidad de facilitar su acceso al estadio. “Se explica con mayor nivel de detalle en otro apartado” (respuesta a punto 2.3 de este escrito). El Sistema no almacena la imagen captada por el lector ubicado en el acceso al recinto ni el vector facial generado a partir de ésta, que únicamente se tratarán y conservarán durante el tiempo mínimo imprescindible para llevar a cabo la identificación del abonado como tal. De este modo, únicamente se procederá al almacenamiento de la información relacionada con el hecho del acceso (i.e. registros (logs) de identificación exitosa y de aceptación o denegación del acceso, asociados a identificadores anónimos), pero en ningún caso la imagen captada, ni el vector facial asociado a la misma. Los datos referidos a los registros (logs) vinculados con la identificación y el acceso al estadio se conservarán hasta el comienzo de la temporada posterior a aquélla a la que se refiere el acceso almacenado, en que se procederá igualmente a su bloqueo durante el plazo de tres años anteriormente mencionado. 1.7 En su caso, determinar los destinatarios o las categorías de destinatarios de los datos personales recogidos en virtud de estos tratamientos. Respondió que no están previstas comunicaciones de datos a terceras entidades. Para llevar a cabo el tratamiento de datos para el acceso mediante reconocimiento facial, suscribieron un contrato al amparo de lo dispuesto por el artículo 28 del RGPD con el fin de prestar a OSASUNA un servicio consistente en el tratamiento de los datos identificativos del abonado y la generación de su vector facial, permaneciendo la información almacenada en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/128 sus servidores, sin que los servidores del Club almacenen información alguna relacionada con el desarrollo del Sistema. Se aporta el mencionado contrato de licencia de uso de sistema (software y hardware), como DOCUMENTO NÚMERO 10, y en ANEXO I el contrato de encargo 1.8 Determinar la existencia o no de decisiones individuales automatizadas en los términos descritos en el artículo 22 del RGPD y, en su caso, describir la lógica subyacente a las decisiones y los datos involucrados en el proceso, y “Especificar si las actividades de tratamiento involucran transferencias internacionales de datos personales y, en tal caso, detallar las garantías aplicadas” Respondió que “los datos recabados en ningún caso son objeto de tratamiento para la adopción de decisiones individuales automatizadas. Al propio tiempo, el tratamiento de los datos se realiza en su integridad en el Espacio Económico Europeo, no produciéndose transferencias internacionales de datos personales.” 1.9 Listado de entidades intervinientes (encargados de tratamiento) en el procedimiento con indicación del cometido de cada uno, del conjunto de datos personales a los que tiene acceso, de las directrices que se les han facilitado, y de los compromisos que hubieran adquirido en relación con la operación del sistema. Respondió que: “Los datos personales que serán objeto de acceso por DAS-GATE son los siguientes: (
11. i)número del Documento Nacional de Identidad; (
12. ii)imagen del anverso y reverso del Documento Nacional de Identidad; (iii) número de abonado; (
13. iv)dirección de correo electrónico; (
14. v)foto selfie; (
15. vi)prueba de vida consistente en una imagen del interesado en movimiento; (vii) datos del código QR del abono del socio (DNI, número de abonados e ID acceso); (viii) “Vector” de la imagen; y, (
16. ix)ID usuario/a en la plataforma DAS-GATE”. Por su parte, DAS-GATE tiene suscritos sendos acuerdos de prestación de servicios con dos entidades, que actúan como sub-encargados del tratamiento, en los términos establecidos en el artículo 28 del RGPD, que son:
17. a)VERIDAS DIGITAL AUTHENTICATION SOLUTIONS, S.L., como proveedor de tecnología de validación documental y reconocimiento biométrico.
18. b)***EMPRESA.1 (en adelante, “***EMPRESA.1”) como proveedor de (…) y (…) Los servicios prestados por estas entidades se encuentran ubicados dentro del Espacio Económico Europeo (más concretamente, en España, Irlanda y Alemania) y por ende no se producen transferencias internacionales de datos. Con respecto a la relación formalizada entre DAS-GATE y VERIDAS, se aportan como DOCUMENTOS NÚMEROS 11 y 11 bis contrato de Licencia de uso y distribución para plataformas suscrito entre VERIDAS y DAS-NANO, S.L., así como acuerdo de cesión del citado contrato formalizado por DAS-NANO, S.L. y DAS-GATE, en cuya virtud ésta ostenta la condición de licenciataria en relación con el Sistema. Por otro lado, se aportan como DOCUMENTOS NÚMEROS 12 y 12 bis los términos y condiciones suscritos por DAS-GATE en relación con el servicio prestado por ***EMPRESA.1, así como el acuerdo de encargo relativo al tratamiento de datos personales llevado a cabo por el citado proveedor. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/128 2. Documentación/Descripción del sistema o sistemas de tratamiento de datos biométricos utilizados en cada una de las activades referidas anteriormente, que incluya, al menos, la siguiente información: 2.1- Arquitectura del sistema con indicación de los lugares en los que se ubica y ejecuta cada elemento. Respondió aportando un dibujo esquemático con el proceso y flujo de los datos: “tanto en fases de alta en el sistema como de acceso al estadio. Asimismo, se detalla el modo en que el usuario dado de alta en el Sistema podrá interactuar con el mismo, revocando su consentimiento o ejercitando los derechos establecidos en la normativa de protección de datos personales” Acompaña los gráficos-esquema: “Proceso de alta-Digitalización abono”, a su derecha: “Acceso al estadio”. Debajo: “Acceso al portal de DAS-GATE del Club” y a su derecha “Ejercicio de derechos”. Los dibujos-esquemas, contienen recuadros con flechas, que indican hacia dónde va esa información/datos. Al no describirlos literalmente o explicarlos C.A. OSASUNA, se describen a continuación: En el “Proceso de alta-Digitalización abono”, se parte de un recuadro que contiene: “DNI, SELFIE, QR tarjeta abono” con flecha hacia otro recuadro central llamado “Validación de identidad del abonado: DNI, SELFIE, QR tarjeta abono” debajo del recuadro figura: “borrado en segundos”. De “validación…” salen dos flechas, - una a un recuadro “DNI, SELFIE, QR tarjeta abono datos bloqueados”, del que no sale flecha alguna. -otra, al recuadro con un símbolo de nube: “vector facial, ID acceso, hash ID usuario +logs operación” con la nota debajo: “datos necesarios para operación”. De este recuadro, sale una flecha al esquema del siguiente proceso: “ACCESO AL ESTADIO”. En este proceso, desde la actuación de “fotografía facial” sale una flecha al recuadro: “Vector facial, id acceso + logs operación” que porta un dibujo al lado de un dispositivo que capta la cara. De este, sale una flecha al recuadro “ID acceso”, del que sale otra flecha al recuadro “Apertura puerta”. El gráfico de debajo contiene el proceso: “acceso al portal DAS: GATE del Club”, se origina con el recuadro “ID Usuario, SELFIE”, con flecha al recuadro llamado “Autenticación del abonado:”, que contiene el par” Id usuario, hash ID usuario”, y “SELFIE-vector facial”. El recuadro tiene una flecha que viene al mismo, procedente del recuadro “HASH ID usuarioVector facial” con el símbolo nube, y del recuadro “autenticación del abonado “una flecha que lleva a “acceso portal”. El último gráfico, “ejercicio de derechos” Explica los tipos de datos “en el sistema”: - “personales de los usuarios”, “procedentes del contenido del abono del socio y el proceso de verificación digital de la identidad”, en sus facetas de: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/128
19. a)Generación: servicios web desplegados en la nube.
20. b)Almacenamiento: Datos cifrados en bases de datos en la nube e imágenes temporalmente guardadas en almacenamiento S3 en la nube. Éstas son utilizadas únicamente para la verificación de la identidad y generación del vector matemático biométrico (embedding) y son borradas automáticamente pasado el tiempo de retención previamente acordado con el cliente.
21. c)Distribución: ninguna.
22. d)Acceso: Tanto la (...) como (…) no son accesibles públicamente y sólo los servicios de DAS-GATE pueden consumirlos. Las bases de datos están situadas en (…) de red. Las imágenes están almacenadas (…). A nivel lógico, ambos servicios están protegidos mediante mecanismos (…) para asegurar que la información sólo (…). - “Credenciales: credenciales anonimizadas pertenecientes a los usuarios: embedding e identificador de usuario para el control de acceso de La Liga.
23. a)Generación: servicios web desplegados en la nube.
24. b)Almacenamiento: los vectores se guardan en una base de datos encriptada en la nube.
25. c)Distribución: (…) a bases de datos en (…). Comunicaciones seguras (…), intercambio de (…) y algoritmos (…). Autenticación de la conexión (…). -Observabilidad: información acerca de los eventos que ocurren en el Sistema (estado de los servicios en información de su uso, avisos, posibles errores, etc.). Esta información se envía desde los diferentes servicios (…) autenticado a una base de datos en la nube que sólo es accedida por el servicio de visualización (…).” 2.2- Proceso de registro de las personas objeto de identificación con indicación de las categorías de interesados y de las categorías de datos personales recogidos. Indicar, asimismo, la cantidad de personas almacenadas que vayan a ser objeto de detección por el sistema. Responde a través de “descripción sobre el proceso de registro en el Sistema” que se incluye en la EIPD. apartado 2.1 y ss. “Para el alta en el sistema, el abonado deberá ingresar en la página web de OSASUNA, en la que existirá una pantalla informativa de las funcionalidades del sistema, así como un botón que le permitirá iniciar el proceso. En caso de solicitar el inicio del proceso, el usuario es redirigido a la página web de DASGATE, en la que se desarrollará el proceso. Al ingresar en dicha web se le presentan al interesado los términos y condiciones relativos al tratamiento de sus datos, que deberá aceptar. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/128 Asimismo, se le solicitarán los datos referidos a su número de Documento Nacional de Identidad (en adelante, “DNI”), número de abonado y una dirección de correo electrónico, procediéndose a la iniciación del proceso de registro. Estos datos se recabarían y almacenarían directamente en los propios servidores de DASGATE, no llevándose a cabo ningún tratamiento de los datos en los servidores de OSASUNA, que se limitará a redirigir a los interesados a aquéllos. No obstante, la dirección de correo electrónico, así como la acreditación de la efectiva prestación por el interesado del consentimiento al tratamiento por parte del abonado serán transmitidos inmediatamente a OSASUNA, a fin de que por el mismo puedan gestionarse adecuadamente las solicitudes de ejercicio por los interesados de los derechos establecidos por la normativa de protección de datos. La acreditación del consentimiento se conservará en los servidores de Osasuna mediante una aplicación software integrada en el proceso “gestor de consentimientos”, quedando así registrados todos los consentimientos de los interesados para su posterior gestión por el Club. Con ello se cumple con los requisitos previstos en el RGPD para la acreditación de la efectiva prestación del consentimiento por parte de los interesados. Asimismo, en esta fase, el interesado deberá mostrar la imagen del código QR existente en su tarjeta de abonado. Este Código contiene información sobre el número de DNI del abonado, su número de abonado y su identificador de acceso. El sistema extrae los datos correspondientes al número de DNI y número de abonado y los coteja con los previamente introducidos por el usuario, a fin de verificar su identidad. Efectuada la verificación mencionada, el usuario efectúa una captura del anverso y el reverso de su DNI, solicitando a continuación la realización de una foto selfie con su teléfono móvil, así como de una “prueba de vida”, consistente en un movimiento ante la cámara de su teléfono móvil, a fin de garantizar de que se trata de una persona viva y no de una imagen estática. El sistema procede a continuación a comprobar los patrones faciales de la fotografía del DNI y de la foto selfie, procediendo a dar por terminado el proceso en caso de que el cotejo arroje un resultado positivo. Al propio tiempo, mediante la realización de la foto selfie se genera el vector facial del interesado, que será objeto de tratamiento y almacenamiento por DAS-GATE, a fin de permitir la identificación del interesado y el acceso del interesado al estadio en el desarrollo de la segunda fase del tratamiento. -“Igualmente, en esta fase se solicitará también al abonado la creación de un identificador de usuario en la plataforma creada para el desarrollo de la Solución. La finalidad de la creación de este identificador será: ● Con carácter general el establecimiento de un primer elemento de autenticación que permitirá verificar su identidad en el portal de DAS-GATE. ● Igualmente, el identificador permitirá la futura gestión por el interesado de su abono dentro de la aplicación, particularmente en los supuestos en los que se vaya a proceder a la realización de cesiones del mismo, en los términos que se analizan en el apartado 2.4 de esta DPIA, o la cancelación de su registro en el sistema de DAS-GATE. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/128 El sistema instruirá al abonado acerca de las características que deberá cumplir su identificador de usuario para garantizar su robustez (por ejemplo, que el mismo podrá consistir en un código alfanumérico con determinadas características). El identificador de usuario será objeto de cifrado (…) aplicada por DAS-GATE, quedando almacenado en sus servidores. En todo caso, el sistema emitirá un mensaje informando si se ha producido satisfactoriamente el proceso de alta del usuario. “ -“A través de estas operaciones el sistema verifica que la persona que se está registrando es la titular del abono utilizado para el alta, dado que: ● Se verifica el número de Documento Nacional de Identidad introducido con el incluido en el Código QR de la tarjeta de abono y el documento mostrado para la verificación de la identidad mediante su fotografía, de forma que los tres coincidan. ● Se verifica que el número de socio introducido por el usuario se corresponde con el del código QR de la tarjeta de abonado. ● Se verifica finalmente que la persona que realiza el proceso es efectivamente la titular del abono, mediante la autenticación de su patrón facial con el que aparece en la fotografía de su Documento Nacional de Identidad. -Adicionalmente, en relación con la generación del vector facial, se llevará a cabo mediante un modelo basado en Inteligencia Artificial y, más específicamente, en redes neuronales desarrollado por VERIDAS. De este modo, el vector matemático no se genera como consecuencia de la mera medición de puntos de la característica biométrica del sujeto, sino a partir de algoritmos de Inteligencia Artificial, unidos en su caso a otros posibles componentes del modelo. Este desarrollo implica que el vector resultante de la aplicación del motor utilizado en el desarrollo del Servicio no se corresponda con el que pudiera resultar del uso de un motor de inteligencia artificial distinto o incluso del derivado del uso de una versión distinta del propio motor utilizado, dado que cada versión del motor biométrico es única, lo que impide que los vectores matemáticos derivados del Servicio puedan ser empleados por otros motores. De este modo, en este modelo con Inteligencia Artificial, ni siquiera el ingeniero experto que hubiera diseñado el sistema sería capaz de interpretar el vector matemático con la finalidad de extraer información del individuo al que se refiere ese vector. Por ello en el estado actual de la técnica sería imposible extraer, a partir del vector, información del individuo al que pertenece o que permita identificarlo, y en particular la imagen (foto selfie) de la que se ha obtenido el vector facial. Al propio tiempo, de la documentación aportada se desprende que la fiabilidad y precisión del modelo basado en redes neuronales alcanza (conforme a los análisis realizados mediante pruebas de laboratorio, evaluaciones externas, etc.) un 99.8%, frente a la precisión de un 95% de los modelos tradicionales basados en el reconocimiento de distancias a partir de determinados puntos faciales. Igualmente, los datos utilizados una vez puesto en funcionamiento el Servicio no son empleados para ninguna otra finalidad distinta de la identificación del interesado mediante C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/128 su cotejo con una imagen del mismo, sin que se conserven con otra finalidad y sin que sean utilizados para el entrenamiento del propio modelo. De este modo, la imagen de la que procede el vector facial es suprimida del sistema tan pronto concluye el proceso de generación de dicho vector. A tal efecto, tal y como señala la documentación aportada: ● Para el entrenamiento de los sistemas, VERIDAS hace uso de bases de datos públicas destinadas a estos fines o, en su defecto, de bases de datos privadas creadas por la entidad recabando el consentimiento de los sujetos para esta finalidad específica. ● En relación con lo anterior, debe señalarse que en ningún caso se emplean los datos que están siendo procesados por el motor biométrico para la prestación del servicio de identificación o autenticación en producción, para el entrenamiento automático del sistema. No hay entrenamiento del sistema durante la identificación o autenticación de usuarios en producción. El motor biométrico no contiene ningún dato de los empleados para su entrenamiento. Los motores son un conjunto de algoritmos derivados del preciso entrenamiento realizado en las etapas de desarrollo de la tecnología, pero no contiene datos personales” -“Así, en lo relativo a las categorías de interesados, OSASUNA trata los datos de los aficionados del Club cuyo abono les permite acceder por alguna de las puertas del estadio en las que está instalado un terminal biométrico de acceso y que voluntariamente se hayan dado de alta en el Sistema. Por otra parte, en cuanto a las categorías de datos personales objeto de tratamiento, de lo anteriormente indicado se desprende que son las siguientes: ● Datos identificativos del socio/a (DNI del titular, anverso y reverso). ● Dirección de correo electrónico del socio/a. ● Datos del código QR abono socio (DNI, número de abonados e ID acceso). ● Número de socio/a. ● Imagen del socio/a. ● Algoritmo “Vector” de la imagen del socio/a. ● ID usuario/a en la plataforma DAS-GATE.” Por último, en relación con el número de personas que se encuentran dadas de alta y por tanto pueden ser objeto de identificación por el Sistema, en fecha 6/03/2023 es de (…). 2.3- Proceso de comparación de los datos captados con los datos registrados, señalando las garantías de exactitud y el momento o momentos en que se ejecuta (en tiempo real, sobre C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/128 imágenes grabadas, etc.). Se solicita facilitar, asimismo, el listado de datos resultantes del proceso de comparación tanto si el resultado de la comparación es positivo como negativo, determinando, en cada caso, las acciones que se realicen (registro, comunicación, supresión, etc.). Respondió que “el proceso de comparación biométrico es el siguiente: (
26. i)“Al producirse un intento de acceso biométrico, se toma el frame capturado por la cámara de la persona que activa el Sistema al situarse a menos de un metro de la pantalla y de frente a ésta; (
27. ii)Se realiza una inferencia de detección de cara sobre dicho frame. (iii) Si la cara detectada supera un umbral suficiente de tamaño y proximidad al terminal biométrico, y calidad en la detección, se procesa la misma de forma que se genera el vector matemático calculado por la red neuronal. (
28. iv)El vector calculado para la cara detectada sobre el frame de la cámara capturada en ese momento se compara en base a distancia matemática con los vectores que constan registrados para los usuarios dados de alta en el Sistema. Debe aclararse que la tecnología biométrica actual no realiza estas comparaciones basándose en puntos característicos del rostro, como pudieran ser el tamaño de boca, la distancia entre ojos o la curvatura del arco ciliar. (
29. v)Se considera que la persona presente frente a la cámara en ese momento es identificada como una de las personas registradas cuando la similitud entre ambos vectores (el de registro y el procesado en ese momento) superan el umbral establecido. (
30. vi)Además, se realizan inferencias para determinar si esa cara es auténtica y no es un intento de suplantación (como, por ejemplo, presentación de una imagen impresa, uso de una careta, presentación de una imagen o vídeo desde una pantalla, etc.). Por tanto, para un intento de acceso biométrico en curso, sólo se identificará a la persona como registrada si se dan todos los requisitos anteriores: 1) se detecta cara suficientemente próxima (a menos de UN metro de distancia del terminal), con suficiente tamaño y calidad, en el frame que se está procesando, 2) se cumple el grado de similitud entre el vector matemático calculado para la cara detectada y el vector que conste para el usuario registrado, y 3) se considere que además no se trata de un intento de suplantación. Una vez producida la autenticación del interesado mediante la identificación de su vector facial, se enviará una petición de acceso al servidor encargado de accionar los tornos de entrada al estadio. Esta petición de acceso consiste en la comunicación al servidor de que un identificador anónimo de acceso se encuentra ante el terminal y ha sido autenticado según el proceso anterior. Estos servidores son gestionados por la Sociedad Española de Fútbol Profesional, S.A.U. (en adelante, “SEFPSA”), que actúa en el desarrollo de esta actividad por cuenta de OSASUNA, que ha celebrado con la misma el correspondiente contrato de encargado del tratamiento en los términos establecidos en el artículo 28 del RGPD. De este modo, la transmisión de este dato únicamente se lleva a cabo entre encargados del tratamiento de OSASUNA, sin constituir una cesión de datos personales. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/128 En todo caso, es necesario indicar que el citado encargado del tratamiento en ningún momento accede o lleva a cabo el tratamiento de dato biométrico alguno, limitándose el tratamiento del identificador anónimo de acceso, a fin de proceder a accionar el correspondiente torno y comprobar que no existe un uso duplicado del abono, sin facilitarse ningún dato relacionado con el vector facial del abonado ni ninguna otra información que permita su identificación. Recibida esta información, en caso de no constar ya el uso del abono para el acceso al evento en que se produce la solicitud de acceso, se confirmará la aceptación del acceso, accionando el torno de entrada al recinto y procediendo a su apertura. Cuando el terminal trata de identificar al usuario que se ha colocado frente a él (según se ha explicado previamente), se registran los siguientes logs: 1) fecha-hora, 2) identificador del terminal biométrico, 3) identificador anónimo del usuario más parecido a la cara que se está tratando de identificar, y 4) puntuación de similitud biométrica obtenida. En caso de que la puntuación de similitud biométrica supere el umbral de seguridad establecido (comparación positiva), el Sistema le muestra al usuario por pantalla el mensaje de éxito en la identificación. En paralelo, el Sistema envía la petición de acceso a SEFPSA, enviando únicamente el identificador anónimo asociado. El envío de esta petición también es logueado por el terminal (fecha-hora, identificador terminal, identificador anónimo usuario reconocido). Al procesar la petición de acceso enviada por el terminal biométrico, SEFPSA decide si autoriza o no el acceso del usuario y actúa directamente sobre el torno comandando (o
31. no)su apertura. SEFPSA no informa de su decisión de autorización al terminal biométrico. Cabe mencionar en este punto que SEFPSA, al recibir esa petición, no puede distinguir entre peticiones recibidas de los terminales biométricos y lecturas realizadas de QR o NFC; es decir, no conoce cómo se ha autenticado el usuario. SEFPSA “en ningún momento accede o lleva a cabo el tratamiento de dato biométrico alguno, limitándose el tratamiento del identificador anónimo de acceso, a fin de proceder a accionar el correspondiente torno y comprobar que no existe un uso duplicado del abono, sin facilitarse ningún dato relacionado con el vector facial del abonado ni ninguna otra información que permita su identificación. Recibida esta información, en caso de no constar ya el uso del abono para el acceso al evento en que se produce la solicitud de acceso, se confirmará la aceptación del acceso, accionando el torno de entrada al recinto y procediendo a su apertura. En caso de que la puntuación de similitud biométrica no supere el umbral de seguridad establecido (comparación negativa), el Sistema muestra al usuario por pantalla el mensaje de identificación no exitosa y no envía ninguna petición de acceso a SEFPSA. Se indica expresamente que el umbral de seguridad establecido es de (...). Es decir, será necesario que se supere dicho umbral para considerar que la comparación es positiva. Si la comparación arroja un resultado inferior, se considerará una comparación negativa. El modelo de reconocimiento facial de VERIDAS utilizado por los terminales biométricos ha sido evaluado por el NIST (National Institute of Standards and Technology) de EEUU, que es el organismo internacional que se ha convertido, de facto, en el evaluador de este tipo de tecnologías. Los resultados de las evaluaciones del NIST son públicos y pueden consultarse C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/128 en la página web oficial del NIST (https://pages.nist.gov/frvt/html/frvt1N.html), bajo el paraguas del FRVT (Face Recognition Vendor Test). La precisión actual de la tecnología biométrica que se encuentra en el estado del arte demuestra que ha superado a la capacidad del ser humano en la comparación de caras. Asimismo, según se ha mencionado más arriba, cabe señalar que la tecnología biométrica actual, basada en redes neuronales profundas, no realiza estas comparaciones basándose en puntos característicos del rostro, como pudieran ser el tamaño de boca, la distancia entre ojos o la curvatura del arco ciliar.” 2.4- Listado de ubicaciones en las que se han implantado las cámaras/medios de captación de los datos objeto de identificación. Medidas utilizadas para evitar que se recuperen datos personales de terceros. Respondió que, “En la fecha de elaboración del presente escrito, el Sistema ha sido instalado en ocho puertas diferentes del estadio, enumeradas en el apartado primero de este escrito, (punto 1.1 de este escrito) albergando cada una de ellas una serie de tornos de entrada que permiten el acceso a una cantidad determinada de asistentes. Los abonados de temporada y, en consecuencia, susceptibles de ser usuarios del Sistema, tienen asignada en su abono la puerta por la que pueden entrar al estadio, pudiendo, por tanto, acceder indistintamente por cualquiera de los tornos instalados en dicha puerta, de forma que pueden optar, con ocasión de cada encuentro, por hacer o no uso del Sistema de reconocimiento facial. Indica que existe un terminal biométrico facial en un torno de cada una de las ocho puertas: 3, 7, 8, 10,11, 16, 21 y 27, además de los tornos no biométricos, indica el número total de tornos de cada puerta, y se observa que no existe ninguna puerta en la que no haya tornos no biométricos. Indica que: “Como puede constatarse, el Sistema en ningún caso es el único medio de acceso al recinto, existiendo en cada una de las puertas medios alternativos suficientes para facilitar el citado acceso. Se aporta, DOCUMENTO NÚMERO 13 fotografía de una de las puertas del estadio, en que se puede observar a modo de ejemplo cómo el terminal biométrico está implementado exclusivamente en uno de los tornos. Las medidas para asegurar la confidencialidad de los datos personales se aplican a dos niveles: - (…) siguiendo las recomendaciones del NIST. (…) - (…) de las comunicaciones (…) mediante (…). - Lo anterior se complementa con otras medidas de seguridad que se describen detalladamente en el apartado 8.2 y los anexos de la EIPD. Debe recordarse asimismo que todas las medidas implantadas por DAS-GATE han sido auditadas y certificadas en base a las certificaciones de su sistema de gestión de seguridad de la información (ISO (…) etc.).” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 24/128 2.5- Medidas de seguridad aplicadas a cada elemento del sistema en que se traten datos de carácter personal. Respondió que:” En el apartado 8 y en los anexos de la EIPD se incluye el detalle de las medidas de seguridad implantadas en la solución. De forma resumida en este apartado, se indica que se han implantado todas las medidas evidenciadas en las (…). En particular, cabe hacer referencia a las siguientes: ● Se cifran todas las comunicaciones de datos: ○ (...). ○ En reposo: se cifran (…). ● Políticas de acceso restringido y de mínimo privilegio a nivel de sistemas y aplicaciones. ● Hay implementado un sistema (…). ● Usuarios (…): se evita (…). Cada persona que accede al Sistema o aplicaciones tiene (…). ● Se aplica proceso de diseño para el desarrollo seguro del producto, incluyendo revisión de los requisitos de seguridad durante los procesos de validación previos a la entrega de versiones. ● Medidas de (…). ● Medidas encaminadas a prevenir una indisponibilidad temporal de la información con la consecuente limitación del servicio. ● Se cuenta con un DPO interno que ha sido debidamente inscrito y que vela por el cumplimiento en materia de protección de datos en la organización. ● Se dispone de (…). 3 Copia de: 3.1- Contenido incluido en el Registro de Actividades de Tratamiento (artículo 30 del RGPD) relativo a las actividades que involucran el tratamiento de datos biométricos. 3.2- Contenido incluido en el Análisis o Evaluación de Riesgos (artículo 32 del RGPD) relativo a las actividades que involucran el tratamiento de datos biométricos. 3.3- Evaluación de Impacto relativa a la protección de datos (artículo 35 del RGPD) relativo a las actividades que involucran el tratamiento de datos biométricos. 3.4- En su caso, contratos que se hayan suscrito con los encargados de tratamiento implicados en las actividades que involucran el tratamiento de datos biométricos. Responde en conjunto, indicando que ya ha aportado la EIPD y otros documentos. Aportan copia del RAT en DOCUMENTO 14, del que se extrae el siguiente contenido: - Tratamiento: “CONTROL DE ACCESOS POR RECONOCIMIENTO FACIAL” o Fines: registro y gestión de los accesos a las instalaciones mediante sistema de reconocimiento facial. o Base jurídica: consentimiento del interesado 6.1
32. a)y 9.2
33. a)del RGPD). o Categorías de interesados: socios y abonados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 25/128 o Categorías de datos personales: Identificación: NIF/DNI; nombre y apellidos; imagen; dirección de correo electrónico. Circunstancias sociales: pertenencia a clubes y asociaciones; Otros: datos identificativos del socio (DNI del titular, anverso y reverso); dirección de correo electrónico del socio; datos del código QR abono socio (DNI, número de abonado, e ID acceso); número de socio; Imagen del socio. Datos especiales: datos biométricos. o Origen de los datos: el interesado. Categorías de destinatarios: “Organizaciones o personas relacionadas directamente con el responsable del tratamiento”. “No están previstas cesiones de datos a terceras entidades, salvo aquellos casos en los que se faciliten los datos a empresas y organizaciones que prestan servicios al responsable del tratamiento, al ser necesarias para la prestación del servicio.” o Transferencias internacionales: no existen. Al respecto, cita expresamente que “el alojamiento de los datos en los servidores de ***EMPRESA.1 tendrá siempre lugar dentro del Espacio Económico Europeo”. o Plazos previstos de supresión: “En cuanto al reconocimiento facial para el acceso al recinto, se indica que “los vectores irreversibles, así como las ID de acceso y la ID de usuario (creada por el socio), se conservarán hasta que los interesados/as soliciten su supresión, salvo que apliquen otras previsiones legalmente establecidas. En todo caso, los datos se suprimirán en caso de que el usuario/a dejase de ostentar la condición de abonado del C.A. Osasuna o cesionario/a de un abono del Club”” Encargados de tratamiento: DAS-GATE. CUARTO: Segundo requerimiento a C.A. OSASUNA en el curso de las actuaciones previas de investigación. Con fecha 16/09/2023, se solicita al C.A. OSASUNA: 1. La información facilitada en el escrito previo especificaba como categoría de interesados del tratamiento de datos biométricos los socios y abonados y como finalidad el control de acceso a los partidos de CLUB ATLÉTICO OSASUNA en el estadio de El Sadar. En relación con estos datos, y tomando en consideración lo publicado en medios de comunicación, se solicita: 1.1 Indicar si OSASUNA está utilizando el sistema con otras finalidades, interesados, y ubicaciones distintas a las especificadas en el escrito previo. En tal caso, facilitar la información de las actividades de tratamiento concretas (fecha en que se puso en marcha, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 26/128 descripción de la finalidad, base jurídica, juicio de proporcionalidad, deber de información, etc.) en lo que se distingan de lo señalado en el escrito previo. Responde el 9/10/2023 que el sistema sobre el que se ha informado en marzo 2023 “no está siendo aplicado para finalidades distintas de las manifestadas en dicha respuesta”. 1.2 Especificar el plan de expansión del sistema en términos de fechas previstas de puesta en marcha, localizaciones (puertas, edificios, etc..), y categorías de interesados (cesionarios de abonos, empleados de OSASUNA, compradores de entradas “de partido”, etc.…). Respondió: “Desde la puesta en funcionamiento del sistema se han mantenido conversaciones internas sobre su posible expansión a la totalidad del estadio El Sadar. Sin embargo, a fecha de presentación del presente escrito, no se ha concretado un plan de expansión específico del sistema. En todo caso, la posible implantación futura del sistema en otras puertas de acceso al recinto se realizaría con las mismas limitaciones y garantías que se están aplicando actualmente, implementando igualmente las mismas medidas técnicas y organizativas, analizadas en la DPIA para afrontar los riesgos que el tratamiento podría generar en los interesados.” 1.3 El documento Registro de Actividades de Tratamiento (RAT) incluido en el escrito previo incluye entre las categorías de datos personales objeto de tratamiento las siguientes: voz, circunstancias sociales (características de alojamiento y vivienda; propiedades y posesiones; situación “militar”; aficiones y estilo de vida; pertenencia a clubes y asociaciones; licencias, permisos y autorizaciones). Se solicita aclarar con qué finalidad se utilizan dichos datos personales y facilitar el esquema de base de datos (o similar) que recoja la totalidad de categorías de datos personales de los abonados tratados por OSASUNA. Respondió que: “Tal y como se describe en la DPIA y en las respuestas dadas por OSASUNA al anterior requerimiento de información de esa AEPD, así como en la respuesta a otras cuestiones que se plantean en el presente requerimiento, el tratamiento no incluye los datos relacionados con la voz ni, dentro de “circunstancias sociales”, los referidos a las características de alojamiento y vivienda, las propiedades y posesiones, la situación “militar”, las aficiones y estilo de vida o las licencias, permisos y autorizaciones. Únicamente se tratan, de los datos pertenecientes a las “circunstancias sociales” de los interesados, los que acreditan la “pertenencia a clubes o asociaciones”, ya que la condición de socio del Club es implícita a la propia naturaleza del tratamiento, toda vez que el mismo afecta a los socios abonados de OSASUNA que soliciten el uso de este sistema de reconocimiento para el acceso al estadio”. Teniendo en cuenta lo anterior, se ha procedido a modificar el RAT de Actividades de Tratamiento relacionado con el tratamiento objeto del presente requerimiento, que se adjunta como DOCUMENTO NÚMERO 1 en el que ya no figura en “categorías de datos personales” voz, circunstancias sociales (características de alojamiento y vivienda; propiedades y posesiones; situación “militar”). Los datos que C.A. Osasuna recaba de sus abonados, con la finalidad de gestionar su pertenencia a la entidad, y facilitados por el interesado en el momento de DARSE DE ALTA O RENOVAR SU CONDICIÓN DE ABONADO, son los siguientes: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 27/128 - Nombre y apellidos - DNI - Fecha de nacimiento - Sexo -Domicilio completo - Número de teléfono - Dirección de correo electrónico - Datos bancarios, para el pago del abono Como datos internos que se incorporan en la FICHA DE SOCIO, aparecen el nº de abonado, el tipo de abono con su precio y, en su caso, descuento aplicado, el asiento asignado y la zona por la que debe acceder. Adicionalmente, en caso de que el socio se haya dado de ALTA EN EL SISTEMA DE CONTROL DE ACCESOS MEDIANTE RECONOCIMIENTO FACIAL, se dispondrá del hash del identificador de usuario, así como del vector biométrico facial. Aporta copia de captura de tres pantallas de la aplicación de gestión usada por los Clubes pertenecientes a la Liga, donde se pueden ver los datos referidos, excepto los asociados al sistema de control de acceso mediante SBRF, que no se integran en esta aplicación 1.4 Indicar el número de tornos existentes en las puertas en las que se ha incorporado biometría facial con carácter previo a su incorporación. Señalar si la incorporación del torno con apertura mediante biometría facial ha supuesto la eliminación de uno de los anteriores. Facilitar, a tal efecto, fotografías que evidencien el antes y el después. Manifiesta que, a fecha de elaboración del presente escrito, de las 29 puertas totales de acceso al estadio El Sadar, únicamente OCHO de ellas disponen de un torno con acceso biométrico. La distribución de los tornos -incluyendo tanto los que disponen de lectura biométrica, como los que no la tienen implementada-, la ofrece en un cuadro en el que señala por cada número de puerta el número total de tornos, y lo desglosa en el número de tornos con lectura biométrica y tornos con lectura no biométrica. El resumen puede cifrarse en que existen ocho tornos con lectura biométrica, uno en cada una de las ocho puertas que se mencionan, y en cada una de esas ocho puertas, al menos existe un número de uno como mínimo de tornos con lectura no biométrica, llegando alguna puerta al máximo con cuatro tornos con lecturas no biométricas en la misma puerta. Aporta en DOCUMENTO DOS, reportaje en que se incluyen las puertas de acceso al recinto que incorporan en uno de sus tornos el sistema de reconocimiento biométrico. Al no disponerse de fotografías anteriores al momento en que se procedió a la instalación de los lectores, se ha optado por mostrar la situación de las puertas con el torno plegado (es decir, como se encontraría en caso de no producirse su encendido) y desplegado (es decir, como sucedería en el caso de celebración de encuentros en que sea posible el acceso al recinto mediante el sistema de reconocimiento biométrico). 1.5 Indicar si el sistema está funcionando “de continuo” tras ponerlo en marcha (de forma continua capta imágenes “rastreando” si existe “algo” que identificar) o bien hay algún evento que produzca que inicie el proceso de captación e identificación. Determinar, asimismo, si el sistema además de imágenes capta sonidos durante el proceso. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 28/128 Respondió que “debe diferenciarse entre el encendido del torno y su activación una vez se encuentra encendido. En cuanto al encendido, el mismo únicamente se produce durante los encuentros deportivos en los que es posible acceder mediante esta tecnología y siempre de forma conjunta con los restantes tornos de acceso. Así, previamente a cada encuentro, los terminales se encienden y destapan en el momento en el que los técnicos encienden la alimentación de los tornos de las puertas y descubren la totalidad de los dispositivos. Debe, no obstante, tenerse en cuenta que existirán encuentros respecto de los cuales el sistema permanecerá inactivo, dado que el reconocimiento únicamente se produce en los supuestos en los que el abonado podría acceder con su carnet sin necesidad de adquirir una entrada al recinto, por lo que quedan excluidos los encuentros fuera de bono de temporada. En estos supuestos, el sistema biométrico se encontrará fuera de servicio y cubierto por una funda opaca.” “En cuanto a la activación del lector, cuando el mismo se encuentra encendido y operativo, el sistema no funciona “de continuo”, sino que su activación únicamente tiene lugar en caso de que se desencadene una situación específica que da lugar al inicio del proceso de captación de imagen e identificación, que se describe en el apartado sexto de este escrito. La activación se produce por “proximidad”, es decir, mediante la colocación del interesado que va a acceder al estadio El Sadar en un rango de menos de UN metro de distancia del dispositivo. De esta forma, el sistema sólo podrá capturar e identificar la imagen de la persona que se sitúa ante el torno, en el carril de acceso mediante reconocimiento facial y que no supere la distancia máxima de captación de imagen. A fin de garantizarse que la captación únicamente sea posible respecto de la persona que pretenda acceder al recinto, es preciso indicar que los sistemas de captación de imágenes se encuentran instalados dentro de la zona restringida del estadio, es decir, pasado el punto de control de entrada que ejercen los brazos del torno de acceso (el que tiene lectura biométrica) con el objetivo de que solo se capturen y procesen las imágenes de aquellas personas que se posicionen muy próximas a la / del torno con lectura biométrica, y mirando en la dirección del sistema. Este hecho puede comprobarse en el reportaje aportado como DOCUMENTO NÚMERO DOS.” “La limitación del rango de captura establecida en el sistema evita que se capten imágenes de personas que se encuentren en filas diferentes o a una distancia mayor de un metro, evitando de esta forma una identificación “en remoto” y por error.” Aporta como DOCUMENTO NÚMERO TRES, un ejemplo gráfico de la distancia entre los propios brazos del torno y el sistema de captación de imágenes. Por último, en lo que a la captación de sonidos se refiere, los sistemas no tienen posibilidad de captar este tipo de dato personal, se limitan exclusivamente a la captación de imágenes. 1.6 En relación con el consentimiento de los interesados, se solicita: -Determinar las medidas implantadas en el sistema para que las imágenes (frames) que recoge se restrinjan al interesado que quiere ser reconocido (limitación de distancia recogida, dispositivos físicos, etc.) y para que las personas puedan estimar la zona que captura el dispositivo. Respondió que “en lo que a la distancia en la captación de la imagen se refiere, el sistema está configurado de tal manera que no realiza ningún procesamiento de la imagen visible (en adelante, “RGB”) si no detecta algún objeto a menos de UN metro de distancia del sensor de profundidad. Así, en caso de detectar algún píxel en la imagen de profundidad a menos de la distancia predeterminada, el terminal procede a buscar caras en la escena C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 29/128 mediante la aplicación de algoritmos propietarios (del proveedor) de visión por computación sobre el canal RGB. Lo anterior se consigue ya que los dispositivos de identificación biométrica están equipados con cámaras estereoscópicas que proporcionan tanto una imagen RGB como un mapa de profundidad que representa la distancia de cada píxel en la imagen RGB con respecto al sensor de la cámara. Los mencionados algoritmos dedicados a la captación de rostros producen como resultado una serie de bounding boxes -rectángulos- sobre cada región de la imagen en la que el algoritmo considere que existe una cara con un grado de certidumbre suficiente. De esta forma, si estos algoritmos han generado algún rectángulo, el sistema procede a determinar mediante algoritmos propietarios la distancia de cada región de interés al sensor de la cámara. Así, si ninguna de las regiones de interés se encuentra a menos del metro de distancia establecido, el sistema descarta automáticamente el frame y queda a la espera del siguiente. En este sentido, cabe destacar que únicamente existe un tratamiento de la imagen cuando el interesado se encuentran a menos de un metro del terminal, pero no existen tratamientos de datos personales adicionales, ya que, siendo el criterio de selección la proximidad, el sistema solo continúa procesando la región de interés que se encuentre en el mencionado rango de menos de un metro, por tanto, no hay intento de reconocer biométricamente al sujeto captado ni se emplean las imágenes con otras finalidades ya que la región captada se descarta. Si la región de interés se encuentra en la distancia de captación, entonces el terminal continúa con el procesamiento y únicamente en ese caso aplica los algoritmos de reconocimiento facial desarrollados por VERIDAS para completar el proceso de autenticación del usuario, es decir, el cálculo del vector biométrico, la comparación 1: N, -estando la N compuesta únicamente por aquellos usuarios que voluntariamente se han dado de alta en el sistema con carácter previo- y prueba de vida. Por último, como medida reforzada, los terminales biométricos se encuentran instalados dentro de la zona restringida del estadio, es decir, pasado el punto de control de entrada que ejercen los brazos del torno de acceso con lectura biométrica con el objetivo de que solo aquellas personas que se posicionen muy próximas a dicho torno y mirando en la dirección del terminal, es decir, quienes pretendan acceder al recinto mediante el uso del sistema, puedan llegar ser captadas por aquél.” - Facilitar los datos de que dispone en relación con el ritmo/velocidad de acceso a través de los tornos de acceso al estadio con apertura mediante reconocimiento facial y de los tornos de acceso al estadio con apertura mediante el resto de los procedimientos. Respondió que: “Se ha procedido a realizar una estimación sobre el ritmo/velocidad de acceso de los interesados al estadio El Sadar tanto en lo que respecta al acceso a través de los tornos con sistemas biométricos como al acceso a través de los tornos que no disponen de la mencionada tecnología. Así, se ha dispuesto personal en diferentes puntos del estadio El Sadar con el objetivo de que, en base a la observación y anotación de resultados en distintos momentos de uso del sistema, se pudiera obtener un ritmo de acceso. Resultado de las observaciones se pudo concluir que el ritmo medio de acceso de usuarios a través de un torno convencional usando el abono -lectura NFC o lector QR- o entrada en papel -lector código de /s- es 12 personas por minuto; en cambio, el ritmo medio de acceso de interesados a través de los tornos que tienen implementada la tecnología biométrica es de 20 personas por minuto. Los valores aportados suponen el valor que tiene mayor frecuencia en los ritmos de acceso”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 30/128 - Ejemplo del registro enviado para un interesado concreto desde el sistema de DAS-GATE a OSASUNA como consecuencia del proceso de alta para su almacenamiento y gestión en su plataforma de ejercicio de derechos. Respondió: Cuando un socio decide darse de alta en el sistema, se le solicita en primer lugar la aceptación expresa de la política de privacidad -tal y como se muestra en el Documento Número 14, al que se refiere el apartado décimo de este escrito- ya que, sin la lectura y aceptación de la política de privacidad, no es posible continuar con el registro. En caso de aceptación y alta en el sistema, DAS-GATE remite al gestor de consentimientos de OSASUNA la siguiente información: (aporta una pantalla con código de programación), manifestando que “Esta imagen muestra el fragmento de código que implementa el texto que se enviará al gestor de consentimientos de OSASUNA, que incluye el email y el DNI del usuario correspondiente, así como los dos textos concretos que el usuario consiente al darse de alta. Se puede comprobar que: 1 El texto es consecuente a los consentimientos que serán enviados (consent1 y consent2). 2 Los valores de email y DNI que dependen del usuario son proveídos a la función como argumentos de entrada, es decir, que para cada usuario tomarán los valores pertinentes que le corresponden. Con el proceso anterior, OSASUNA recibe en su gestor de consentimientos una notificación en la que se informa del consentimiento aportado por el interesado, la siguiente imagen puede servir como ejemplo de las notificaciones que recibe OSASUNA en relación con los consentimientos: (se trata de un escrito, reporte que contiene dominio: Osasunasocios.app.das-gate.com, los datos DNI, e mail, fecha, IP, y un literal que indica” consiento de forma expresa el tratamiento de mis datos personales incluida mi imagen para la generación de un vector facial mediante un sistema de inteligencia artificial (IA) que permite mi identificación en el momento de acceder al estadio: Aceptado checked: true. He leído y acepto la política de privacidad. Aceptado checked: true.” -Ejemplo de registro enviado para un interesado concreto desde el sistema DAS-GATE a OSASUNA como consecuencia del proceso de gestión en su plataforma de ejercicio de derechos: Respondió que “En relación con el ejercicio de derechos, se distinguen dos vías diferenciadas dependiendo de si el derecho ejercido por el interesado se corresponde con la retirada de su consentimiento y supresión de sus datos personales o si el derecho ejercido se corresponde con cualquiera de los restantes derechos a su disposición. En el primero de los casos, cuando el usuario desea ejercer su derecho de retirada de consentimiento y supresión, tiene la posibilidad de ejercitarlos desde dentro de su cuenta de usuario en el sistema. En ese caso, el sistema remite al gestor de consentimientos de OSASUNA la siguiente información-aporta impresión de una pantalla con código de programación -indicando que “muestra el fragmento de código que implementa el texto que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 31/128 se enviará al gestor de consentimientos. En concreto, en la función “notificacion-payload” se puede comprobar que: • El texto es consecuente a la cancelación que se enviará. • El valor de DNI que depende del usuario es proveído a la función como argumento de entrada, es decir, que para cada usuario tomará el valor pertinente que le corresponde. Con esto, OSASUNA recibe en su gestor de consentimientos, la siguiente notificación (aporta un escrito reporte similar al señalado en el punto anterior con el texto “cancelar cuenta. Aceptado checked: true” “Por otro lado, para ejercer cualquiera de los restantes derechos establecidos por la normativa de protección de datos, que podrían no estar relacionados con el tratamiento de los datos biométricos, desde su cuenta de usuario se le remite directamente al sitio concreto en el cual los interesados pueden encontrarlo disponible en la página web de OSASUNA. Así, OSASUNA trasladará al proveedor del sistema la solicitud concreta para, una vez analizada, trasladar respuesta al interesado. 1.7. Identificación del motor biométrico concreto utilizado por OSASUNA en el tratamiento. Facilitar, además, la siguiente documentación: - Certificaciones oficiales emitidas para el mismo. Respondió que “El motor biométrico instalado en los terminales de acceso que disponen del sistema biométrico en el estadio El Sadar se corresponde con el motor “(...)” y este motor se encuentra evaluado por el NIST FRTE 1: N desde noviembre de 2021 como se especifica en el siguiente apartado. Adicionalmente, el sistema de control de accesos mediante la identificación biométrica se encuentra dentro del alcance de las certificaciones de seguridad de la información y calidad del proveedor. En concreto, cumple con las siguientes certificaciones: (
34. i)(…), (
35. ii)(…), (iii) (…), (….), y (
36. iv)(…). Se adjuntan al presente escrito como DOCUMENTOS NÚMEROS 4 a 7 evidencia de las mencionadas certificaciones. Por otro lado, los motores (…) VERIDAS se encuentran certificados de acuerdo a la (…). Se aportan los siguientes documentos relacionados con las certificaciones mencionadas: • 220406-VERIDAS-PAD-Level-1-Confirmation-Letter.pdf, como DOCUMENTO NÚMERO 8. • 201215-VERIDAS-PAD-Level-2-Confirmation-Letter.pdf, como DOCUMENTO NÚMERO 9. - Especificar, dentro del sitio de internet del NIST señalado en el escrito previo, cuáles son los resultados correspondientes a la evaluación del motor biométrico utilizado por Osasuna. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 32/128 Respondió que “El motor biométrico empleado en aras de identificar a los interesados ha sido evaluado por el NIST en los challenges FTRE 1:1 y FRTE 1: N. Los resultados del mencionado análisis pueden encontrarse en el siguiente enlace del NIST FRTE 1: N: (…)” - Procedimiento que habría que seguir para cambiar el motor/versión del motor biométrico y hacer que pudiera habilitarse para el control de acceso al estadio. Respondió que “El proceso de actualización del motor biométrico para el acceso al estadio El Sadar requeriría, en primer lugar, que el proveedor y el Club acordaran el cambio del motor y elaboraran de manera conjunta un calendario en el que quedarán reflejadas (
37. i)las fechas de las comunicaciones a las personas abonadas en las que se les informara de las variaciones que se fueran a producir y; (
38. ii)las actuaciones técnicas sobre la nube y los terminales biométricos del proveedor. Así, una vez elaborados los calendarios del proyecto, el proveedor realizará una operación de borrado de las bases de datos activas del entorno productivo, de tal manera que no quede ningún usuario activo en los sistemas de información, para, posteriormente, realizar la actualización del motor biométrico empleado en su nube para generar los vectores biométricos. A continuación, se actualizarían todos los terminales biométricos de control de acceso al estadio El Sadar, con una nueva versión de software que incorpore el nuevo motor biométrico. Esto es necesario porque los vectores biométricos generados por los modelos de reconocimiento facial de VERIDAS no son interoperables entre versiones. Tras la actualización de los terminales, se realizarían pruebas de validación para confirmar que el flujo completo de alta biométrica y acceso biométrico al estadio El Sadar funcionan correctamente a través de todas las puertas equipadas con terminales de reconocimiento facial. Por último y cumpliendo los plazos establecidos en el calendario, OSASUNA informaría a los interesados -personas abonadas que hayan consentido el tratamiento de sus datos con la finalidad de acceder al estadio El Sadar mediante la tecnología biométrica- que el motor biométrico ha sido actualizado indicándoles que si desean continuar haciendo uso del acceso mediante reconocimiento facial deberán realizar nuevamente el proceso de alta. La realización de este nuevo proceso es imprescindible, por cuanto, como se ha dicho, los modelos de reconocimiento facial no son interoperables y, en aplicación del principio de minimización de datos, tal y como se recoge en la EIPD, el sistema no conserva las imágenes faciales -selfies- que los usuarios aportaron en el momento de su registro, por lo que no es posible generar un vector a partir de dichas imágenes, siendo necesario repetir el proceso para que el sistema pueda generar nuevos vectores. 1.8 Determinar el procedimiento seguido para hacer efectivo el procedimiento de bloqueo de los datos incorporados durante el proceso de alta. Respondió reiterando que a los interesados se les solicitan los siguientes datos personales con el objetivo de proceder a su alta en el sistema: i DNI; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 33/128 ii Dirección de correo electrónico; iii Código QR de su abono de socio, que incorpora información sobre el número de DNI, el número de abonado y un identificador único de acceso a fin de evitar que se produzcan varios accesos con el mismo abono durante la celebración de un encuentro. iv Copia del anverso y reverso del DNI; y v Una fotografía selfie. Una vez que el interesado queda registrado en el sistema, los citados datos serán bloqueados, en los términos legalmente establecidos, al no ser precisos para llevar a cabo el reconocimiento biométrico, con la única excepción del identificador único. Este bloqueo, tal y como se indica en la Evaluación de Impacto relativa a la Protección de Datos elaborada con respecto al tratamiento y aportada en la respuesta al primero de los requerimientos efectuados por esa AEPD, tendrá una duración de TRES años, coincidente con el plazo máximo de prescripción de las infracciones en materia de protección de datos personales. De este modo, el proceso de bloqueo queda configurado de la siguiente manera: Como punto de partida, durante la fase de registro en el sistema, los datos personales que interesado va aportando quedan almacenados temporalmente en el servidor S3 proporcionado por ***EMPRESA.1 asociados a una etiqueta de borrado rápido (“short”), esto permitirá que los datos personales se supriman de manera definitiva en caso de que el usuario abandone el proceso de alta sin haberlo completado. Si el interesado completa el registro, como acción final del proceso de alta de usuario, se sustituye la etiqueta short por una etiqueta de larga duración (“long”) y otra de acceso restringido (“restricted”), lo que implicará que los datos personales no puedan ser accedidos (estado “bloqueado”) por ninguna persona que no disponga de una cuenta autorizada para ello, en este caso será la de DPO, y los mantiene durante un período de TRES años desde la fecha de registro coincidente con el plazo previsto en la normativa de protección de datos personales. La gestión del ciclo de vida de los datos personales es responsabilidad del proveedor y se establece en relación con las políticas de ciclo de vida de S3, las cuales se definen a través de las etiquetas short/long y restricted. De esta forma, las etiquetas son configurables para cada cliente del proveedor, y en el caso de OSASUNA están configuradas de la siguiente manera: 1 Long =3 años 2 Short =1 día. Asimismo, se solicita: - Registro de ejemplo con los datos que permanecen de un interesado concreto en el sistema una vez concluido el proceso de alta. - Registro de ejemplo de los datos que permanecen del mismo interesado concreto en el almacenamiento “bloqueado”. - Registro de los datos del mismo interesado incorporados a los terminales de acceso. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 34/128 - Logs registrados en relación con los accesos de dicho interesado al estadio hasta la fecha, tanto del proceso de reconocimiento del interesado en el terminal como de los envíos realizados a los servidores de SEFPSA. Respondió aportando como DOCUMENTO NÚMERO 10, informe emitido por VERIDAS DIGITAL AUTHENTICATION SOLUTIONS, S.L. que incorpora la descripción de un ejemplo concreto que relaciona los datos almacenados en el sistema tras el proceso de alta, entre los que figuran: hash del número de DNI, identificador de acceso, código alfanumérico que representa el vector facial, y datos internos (identificador interno del sistema, fechas de creación, actualización, etc.). Según señala, si un usuario se da de baja del sistema (retira su consentimiento), estos datos son eliminados. Asimismo, dicho documento incorpora también un ejemplo concreto de los datos que permanecen bloqueados. Identifica los ficheros en los que manifiesta que se consignan los datos siguientes: capturas del anverso y reverso del DNI efectuadas en el proceso de alta, contenido del QR escaneado durante el proceso de digitalización del abono, resultados del proceso de verificación digital de la identidad, vector biométrico generado a partir de la foto selfie del usuario. - Datos incorporados en el proceso de reconocimiento de entrada al estadio. De acuerdo con lo visto anteriormente, el proceso de reconocimiento tiene lugar en los propios terminales de acceso, en los que “se almacenan el vector facial y el identificador de acceso de los usuarios registrados”. De este modo, según lo expuesto, la comparación se efectúa “entre el vector biométrico generado en el momento de acceso y el vector biométrico generado en el momento de registro del usuario” en los sistemas de DAS-GATE. Osasuna ha facilitado (documento 10) un ejemplo concreto que relaciona los datos almacenados en los terminales del estadio. Según señala, coinciden con los registrados en el sistema tras el alta: hash del número de DNI, identificador de acceso, código alfanumérico que representa el vector facial, y datos internos (identificador interno del sistema, fechas de creación, actualización, etc.). Según señala si un usuario se da de baja del sistema (retira su consentimiento), estos datos son eliminados en virtud del “proceso de sincronización establecido”. Además, Osasuna expresó en su primera respuesta que “no almacena la imagen captada por el lector ubicado en el acceso al recinto ni el vector facial generado a partir de ésta, que únicamente se tratarán y conservarán durante el tiempo mínimo imprescindible para llevar a cabo la identificación del abonado”. Así, indica que cada vez que el terminal trata de realizar una identificación se registran los siguientes datos: fecha y hora; identificador del terminal biométrico; identificador de acceso del abonado más parecido al que se está tratando de identificar; y puntuación de similitud biométrica obtenida; registro del envío de la petición a los servidores de SEFPSA (en el caso de que la puntuación supere el umbral mínimo estipulado). Tal y como dispone el Informe EIPD esta información registrada sí se almacena en los servidores de DAS-GATE contratados con ***EMPRESA.1 (en adelante, ***EMPRESA.1). El tiempo de conservación, según cita Osasuna (EscritoOsasuna1), es “hasta el comienzo de la temporada posterior a aquélla a la que se refiere el acceso almacenado, en que se procederá igualmente a su bloqueo durante el plazo de tres años anteriormente mencionado”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 35/128 Igualmente, el Informe EIPD señala que a los servidores de SEFPSA se trasladará únicamente, cuando el reconocimiento resulte positivo, el identificador de acceso correspondiente, al efecto de que tome la decisión de si abrir o no el torno”, siendo ese dato necesario que tiene como objetivo evitar el fraude en el acceso al recinto como la entrada duplicada al estadio con un mismo abono, y constituyendo una de las medidas impuestas por la Ley Antiviolencia, que en su artículo 11.1 determina: Aporta como DOCUMENTO NÚMERO 11, los logs de autenticación de los accesos por los interesados al estadio El Sadar de un usuario concreto, con un apartado 1, titulado “Registro de ejemplo con los datos que permanecen de un interesado concreto en el sistema una vez concluido el proceso de alta” Se indica que para poder consultar los datos solicitados es necesario acceder a las bases de datos del entorno productivo, acción solo disponible para el administrador del sistema, y para la obtención de los datos de un usuario registrado en el sistema se ha de conocer el (…) al que se le aplica una (…) para obtener el (…). Desde ahí, accede al objeto (…), que contiene almacenadas las propiedades de los usuarios. Señala que se ofrece la información del identificador extraído del QR, ID de acceso del abonado, y luego obtiene el objeto “(…)”, “tipo de datos utilizado por VERIDAS para poder completar los procesos de autenticación en los terminales biométricos a través de una consulta por (…) a la base de datos. Indica que aparece el dato “(…) extraído durante el registro a partir (…) identificado con el (…). En el punto “2. Registro de ejemplo de los datos que permanecen del mismo interesado concreto en el almacenamiento bloqueado”, indica que, entre otros, se contienen los archivos del (…). También aporta los logs que refieren peticiones de acceso enviadas a los sistemas de SEFPSA. Entre otros datos, contiene: fecha, identificador de acceso del usuario, identificador del terminal de acceso, valoración de la identificación (numérica, con valores entre 993 y 999) e identificación del éxito de la identificación (en todos los casos ejemplificados ha sido exitosa). 1.9 Como parte del escrito previo se ha facilitado la información que se presentaría en una segunda capa de información. Se solicita identificar la dirección de internet en la que se encuentra esa información. Respondió que “La información correspondiente al tratamiento de datos personales en relación con el acceso al estadio El Sadar a través del sistema biométrico, resulta accesible en el enlace https://www.osasuna.es/facialRecognitionPolicy”. No obstante, a fin de facilitar el citado acceso, se aporta DOCUMENTO NÚMERO 12, documento actualizado enero 22. El documento contiene el mismo que se reseña en el punto 1.5 DOCUMENTO 7. 1.10 Capturas de pantalla del sistema que muestren cómo el interesado accede a su cuenta de usuario en el sistema de DAS-GATE y: - Ejerce el derecho de acceso y obtiene el resultado. - Revoca el consentimiento y ejerce el derecho de supresión. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 36/128 Respondió que “Se aportan, como DOCUMENTO NÚMERO 13, las capturas de pantalla correspondientes al acceso de los interesados a su cuenta de usuario en el sistema, así como el ejercicio de los derechos de acceso, supresión y revocación del consentimiento, junto con los resultados correspondientes al ejercicio de cada uno de los mencionados derechos.” En las capturas de pantallas del DOCUMENTO 13 figura, desde la página web de Osasuna, abonados.osasuna.es, en la pestaña de “área de socio”, introduciendo usuario y contraseña si ya se está registrado, lleva a una ventana en la que figura entre otras, la de “ Datos de tu abono”, “acceso biométrico”. Pinchando en esta última, lleva a una URL de Das GATE en la que se ve la pantalla de información inicial de “Ahora podrás acceder a El Sadar con tu cara” y una pestaña en la que se puede iniciar el proceso, con la pestaña “Comenzar”. La captura de pantallas aportada reitera el proceso de alta. Se inicia con otra de “Regístrate”, para acceder al sistema de registro para acceder con biometría facial-Recomendamos utilizar smartphone-“Escanear este QR con tu móvil para continuar” La siguiente pantalla que aparece es la que contiene los espacios para completar el número del DNI y el e mail. Debajo figura “Al hacer clic en Registro aceptas la política de privacidad”, y otra de “consiento…” Debajo la pestaña “regístrate” Se manifiesta por C.A. OSASUNA que al clicar sobre los checkboxes de consentimiento, se despliega un pop up que muestra obligatoriamente el texto de la primera capa”. “Es desde ese pop-up desde donde se acepta -opt-in- el tratamiento dando el consentimiento, de forma que el usuario siempre va a ver esa información antes de poder consentir”. “Si el usuario no acepta ambos ckeckboxes-se dividen en dos para garantizar mayor claridad-no puede continuar con el proceso, no puede clicar en “Regístrate” Adjunta la copia de la lectura del literal informativo “términos condiciones información básica sobre protección de datos. Adjunta el resto de las capturas de pantalla que continúan el proceso de registro de datos para el alta ya examinados: “Escanear el QR de tu abono”, “Escanear el documento oficial”, “selfie”. También aporta el proceso de acceso al portal de usuario, entrando también por “Área de socio”, accediendo a la misma página cuando fue a darse de alta, figurando la opción: ¿Quieres darte de baja?, para hacer según C.A. OSASUNA, más claro al usuario, lo “que desencadenaría la retirada del consentimiento y supresión de sus datos con esa finalidad de forma sencilla”. El proceso sigue registrado su DNI, y pidiendo el sistema que se haga un SELFIE para completar el acceso a su cuenta. Una vez que ha accedido figuran las opciones de derecho de acceso, en forma de “consulta de mis datos”. También aporta como complemento el modelo de escrito para ejercer el ejercicio de derechos, en el que figuran los espacios para rellenar los datos de nombre y apellidos, DNI, e mail, móvil, y subir un ARCHIVO, y un desplegable con los derechos, figurando también la “revocación”, y la pestaña de “Enviar” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 37/128 Señala C.A. OSASUNA que cuando se ejerce el derecho el usuario recibe un SMS en su teléfono móvil con la confirmación que su solicitud ha sido enviada. Aporta imp4sion de un mensaje en el que se le informa: “Toque el enlace para confirmar su solicitud ARSOL”, figurando un link para clicar. “Gracias por confirmar su solicitud ARSOL”. “Tras esa solicitud, dentro de los plazos legalmente establecidos, el usuario recibe por correo electrónico respuesta.” En cuanto al proceso de revocación, C.A. OSASUNA señala: “Si bien el usuario podría ejercer este derecho a través de la página web de Osasuna de ejercicio de derechos ARSOL antes indicada (en cuyo caso los pasos serían equivalentes a los ya indicados), se le ofrece al usuario una vía más rápida y directa de revocación del consentimiento para la finalidad concreta de acceso mediante reconocimiento facial. De hecho, Osasuna siempre ha querido que los usuarios pudiesen darse de baja de manera sencilla si deseaban dejar de utilizar este método de acceso (y continuar accediendo por los otros métodos disponibles). Es por esto por lo que, como antes se ha mencionado, se le ofrece al usuario el botón claro de “¿Quieres darte de baja?” desde el apartado de Acceso Biométrico de su perfil. Una vez accede a su portal de usuario siguiendo ese botón, se le indica la opción de “Eliminar cuenta”, que figura junto a la opción de “consultar mis datos”. El proceso, según la captura de pantalla que aporta precisa introducir el número del DNI, manifestando C.A. OSASUNA que “en la base de datos no se está almacenando este dato, necesario para desencadenar el borrado de los datos personales que estuviesen activos en el sistema y la notificación al gestor de consentimientos de Osasuna de que dicho usuario se ha dado de baja en el uso del sistema de acceso mediante reconocimiento facial. Debe tenerse en cuenta que esa baja concreta lo es de este sistema y que no implica que el socio pierda su condición de socio-podrá seguir accediendo con su abono con total normalidad”. Finaliza indicando que “dicha cuenta es eliminada sin perjuicio de los datos bloqueados que corresponda, desactivándose la opción de que el usuario pueda acceder al estadio el Sadar mediante reconocimiento facial. Asimismo, ya no tendrá habilitado el portal de usuario”. 1-11 Evidencias de que la configuración de los servicios provistos por ***EMPRESA.1 no suponen transferencias internacionales de datos. Respondió proporcionando una relación de los servicios de ***EMPRESA.1 (en adelante, “***EMPRESA.1”) involucrados en la prestación del servicio de control de acceso mediante reconocimiento facial. Manifiesta que “De todos los servicios anteriores, los únicos en los que residen o pueden residir datos personales serían: Instancias, RDS y S3. Asimismo, podrían ubicarse datos personales en (...) en caso de que se detectara una vulnerabilidad en el momento del análisis. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 38/128 En relación con los mencionados servicios, todos los datos personales gestionados por los mismos permanecen en la región ***EMPRESA.1 donde están desplegados, es decir, euwest-1 (Irlanda). A mayor abundamiento, en el momento de la contratación de los servicios de ***EMPRESA.1, se realizó un análisis de los servicios que aplicaban al tratamiento de control de acceso mediante reconocimiento facial al objeto de identificar si realmente no se producían las mencionadas transferencias de datos personales. Tras la realización del mencionado análisis, se concluyó que se podrían llegar a transferir datos personales desde (...), sin embargo, dicha transferencia únicamente sería posible si existiera una aprobación expresa del cliente que la permita. A este respecto, el proveedor deshabilitó esta funcionalidad por lo que no es posible que se transfieran los datos personales. En la siguiente imagen se puede ver evidencia del opt-out realizado-aporta impresión de pantalla con una configuración habilitada de “AI services opt ut policies”. “Así, una vez aportada información sobre los servicios de ***EMPRESA.1 que afectan al tratamiento, a continuación, se muestran como evidencia pantallazos de la consola de ***EMPRESA.1 donde se aprecia la región sobre la que está desplegado cada pieza de infraestructura antes mencionada -todo en eu-west-1 = Irlanda-:” Aporta varias impresiones de pantallas. Añade que “para los servicios de almacenamiento de datos personales, como puede comprobarse de los siguientes pantallazos, los datos se almacenan cifrados”, y aporta una serie de impresiones de pantalla con el título de los archivos “encriptado”. 1.12 En caso de haberse realizado, informe de (…) recomendadas por VERI-DAS DIGITAL AUTHENTICATION SOLUTIONS, S.L. (en adelante, VERIDAS) en el contrato suscrito con Das-gate. Respondió que “Considerando que el proveedor dispone de diversas certificaciones en materia de seguridad de la información, (…) de diversos componentes empleados en los sistemas de acceso mediante identificación biométrica, OSASUNA no ha considerado necesario realizar uno adicional al contar con los resultados y conclusiones arrojados por el ya elaborado.” 1.13 La Evaluación de Impacto de Protección de Datos adjunta al escrito previo, cita partes del documento “Informe técnico. Tecnología de biometría facial” de DAS-GATE Se solicita copia de dicho documento. Respondió aportándolo en DOCUMENTO 14 “Informe técnico. (…)”, (14 páginas) de VERIDAS, primera versión (…), en el que se cita: “Importancia y necesidad del reconocimiento seguro de la identidad real en el entorno digital” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 39/128 “Y al igual que en el entorno físico decimos que la sociedad nos reconoce por lo que somos, en el entorno digital la acreditación de la identidad también debe girar en torno a la persona, a sus atributos, y no en torno a dispositivos o tarjetas que éstos puedan poseer. “Los sistemas biométricos que son la clave para llevar a cabo esa acreditación de la identidad real en el entorno digital”. “A lo largo del informe se analizan (…). Del estudio de lo anterior, se concluye que el empleo de modelos biométricos basados en Inteligencia Artificial permite garantizar la privacidad por defecto y desde el diseño de estos Sistemas” “Del empleo de sistemas biométricos se derivan habitualmente dudas en cuatro principales ámbitos:     Protección de los datos personales. Calidad o precisión de la tecnología biométrica. No discriminación de los usuarios. Detección de intentos de suplantación de identidad. A lo largo de este documento, se intenta explicar (…), que permite dar respuesta y evitar o mitigar los riesgos que pudieran derivarse.” “Los sistemas de verificación (1:1 o uno-a-uno) e identificación (1:N o uno-a-varios) biométrica modernos (…).” En el apartado 2 (…)”, indica que el elemento clave de reconocimiento biométri