PS-00546-2024

1/48 Expediente N.º: EXP202311801 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR RECONOCIMIENTO DE RESPONSABILIDAD Y PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 30 de marzo de 2025, la Presidencia de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a ULPIA TRAJANA ALAMEDA S.L. (en adelante, ULPIA), mediante el acuerdo que se transcribe: << Expediente N.º: EXP202311801 ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos y en base a los siguientes HECHOS PRIMERO: Con fecha 4 de julio de 2023 se interpuso reclamación ante la Agencia Española de Protección de Datos por una posible infracción imputable a ULPIA TRAJANA ALAMEDA S.L. con NIF B90468273 (en adelante, ULPIA). Los hechos que se pusieron en conocimiento de esta autoridad eran: Quien reclama señala que reservó un apartamento turístico a través de la plataforma ***PLATAFORMA.1, y que el propietario establecía la obligación de utilizar la aplicación ***APLICACIÓN.1 para realizar el proceso de 'check in' de manera online. Manifiesta que la citada aplicación exige fotografiar ambas caras del DNI, así como una fotografía del titular del documento para poder finalizar el check-in y reservar un apartamento. Afirma que se dirigió a la reclamada el 21 de junio de 2023 por correo electrónico solicitando una justificación al respecto, no habiendo recibido respuesta. Junto al escrito, se aportó: - Copia del correo electrónico enviado por quien reclama a ***EMAIL.1 con fecha 21 de junio de 2023, con el siguiente contenido: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/48 “He reservado un apartamento a través de la plataforma ***PLATAFORMA.1 y me obligan a hacer el check in en vuestra plataforma ***APLICACIÓN.1. Al realizar el check in he comprobado que los datos que se solicitan son excesivos incumpliendo con el art. 5.1.

1. c)del RGPD, el principio de minimización. Entiendo que por motivos legales se solicite la parte delantera del DNI para comprobar el número y comunicarlo a las autoridades si fuese necesario, tal como indiciáis en vuestra política de protección de datos. Sin embargo, no es necesaria la información que aparece en la parte trasera del DNI y que se me ha exigido para realizar el check-in si quiero acceder al apartamento que he reservado y ya pagado. Además, también incumple el principio de minimización de datos exigir una fotografía de mi cara. Tanto la imagen de mi cara como la parte trasera del DNI es obligatorio para finalizar el check in. Según la normativa vigente, estos datos no son necesarios comunicar a la autoridad competente si hubiese algún problema. Según la normativa vigente, los datos a comunicar únicamente serían número de DNI, fecha de expedición, nacionalidad, fecha de nacimiento y fecha de entrega del alojamiento. Por otro lado, la finalidad de vuestra política indica: "Los datos personales de incluidos en el formulario de contacto web por parte de contactos y solicitantes serán tratados con la finalidad de poder atender su solicitud y enviarle información sobre nuestros productos y servicios ***APLICACIÓN.1 relacionados con alojamiento." En este caso, no he podido no dar mi consentimiento para no recibir productos y servicios de ***APLICACIÓN.1. Me gustaría una respuesta del motivo por qué se obliga a dar el exceso de datos y cómo eliminar ese consentimiento obligatorio no he podido cancelar.” - Captura de pantalla de la aplicación ***APLICACIÓN.1 donde solicita la copia “frontal” y “trasera” del documento de identidad, así como la “identificación facial”. Asimismo, se incluye en el expediente: - Captura de pantalla de la política de privacidad de ***APLICACIÓN.1, de fecha 4 de septiembre de 2023, donde se detalla la información relativa a protección de datos: “[…] la titular de esta página web es ***EMPRESA.1 con CIF ***NIF.1, con quien se puede contactar en la siguiente dirección: (...) (...) Teléfono: ***TELÉFONO Dirección de correo electrónico: ***EMAIL.1 FINALIDADES BASADAS EN RELACION CONTRACTUAL: - Los datos personales de incluidos en el formulario de contacto web por parte de contactos y solicitantes serán tratados con la finalidad de poder atender su solicitud y enviarle información sobre nuestros productos y servicios ***APLICACIÓN.1 relacionados con alojamiento. FINALIDADES BASADAS EN INTERES LEGITIMO: - Poder enviarle información sobre productos o servicios similares comercializados por ***APLICACIÓN.1 en relación a soluciones aplicadas a servicios de alojamiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/48 Respecto a todas las finalidades indicadas, todos los datos solicitados tienen carácter obligatorio, en caso de no ser facilitados, ***APLICACIÓN.1 no garantiza que los servicios prestados se ajusten completamente a sus necesidades.” SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a ***EMPRESA.1., para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. TERCERO: Con fecha 4 de octubre de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación. CUARTO: Con fecha 5 de octubre de 2023 se recibe en esta Agencia escrito de respuesta de ***EMPRESA.1. indicando: “***EMPRESA.1 actúa como encargado del tratamiento en los procesos de check-in de alojamientos turísticos por cuenta de los responsables del tratamiento, los propietarios de los alojamientos, y ha intentado en todo momento conciliar en estos procesos la privacidad de los huéspedes con la obligación legal establecida por el artículo 25 de la Ley 4/2015 de registro documental y comunicación a las Fuerzas y Cuerpos de seguridad de los partes de entrada diarios de clientes alojados. […] El análisis de riesgo inicial se hizo con fecha 5 de marzo de 2019 determinando que los riesgos eran aceptables respecto a las medidas de seguridad siguientes: contraseñas, antivirus, encriptación de discos, copias de seguridad alojadas en ***PLATAFORMA.2. Y se recomendaba revisar los permisos de los desarrolladores y comprobar las garantías de seguridad de otros proveedores, fuera de ***PLATAFORMA.2. El proveedor más determinante respecto al proceso de check-in en la app ***APLICACIÓN.1 se trata de ***EMPRESA.2, que permite la comprobación de la validez de los documentos de identidad aportados por los clientes alojados, la lectura de los datos necesarios para rellenar los partes de entrada de viajeros, así como la autenticación biométrica de los mismos comprobando mediante foto desde sus teléfonos inteligentes que la persona que se registra es la misma que la que aporta el documento de identidad. […] Respecto al principio de minimización de datos se rechazó la posibilidad de realizar no sólo una fotografía fija del huésped para compararla con el Documento de identidad, sino la de pedir una “prueba de vida” solicitando al huésped que se moviera o hiciera gestos para ver que de verdad la persona era real y estaba viva y no estaba intentando pasar una foto fija copiada y no actual. Esta opción se descartó por considerarse demasiado invasiva de la privacidad.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/48 QUINTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VIII, de la LOPDGDD. Como consecuencia de las actuaciones realizadas, se ha tenido conocimiento de los siguientes extremos: La parte reclamante remite junto a su reclamación el documento, copia del correo electrónico enviado por la parte reclamante a ***EMAIL.1con fecha 21 de junio de 2023, en el que le solicita información del motivo por el que se exigen tantos datos para realizar el check-in. También solicita información sobre cómo eliminar el consentimiento para no recibir productos y servicios de ***APLICACIÓN.1. En la captura de pantalla de la aplicación ***APLICACIÓN.1 remitida por la parte reclamante se especifica la siguiente información: “Realiza el check-in validando tu identidad y documentación” y en la imagen del móvil se observa un espacio para subir una foto de la cara frontal del DNI, otra foto de la cara trasera y, por último, una foto selfie para identificación facial. Se revisa la Política de privacidad de ***APLICACIÓN.1, incluida en el expediente como Anexo a la entrada, donde se detalla la información relativa a protección de datos y se confirma que la dirección de correo a la que la parte reclamante envió su solicitud era correcta. “[…] la titular de esta página web es ***EMPRESA.1. con CIF ***NIF.1, con quien se puede contactar en la siguiente dirección: (...) (...) Teléfono: ***TELÉFONO Dirección de correo electrónico: ***EMAIL.1 FINALIDADES BASADAS EN RELACION CONTRACTUAL: - Los datos personales de incluidos en el formulario de contacto web por parte de contactos y solicitantes serán tratados con la finalidad de poder atender su solicitud y enviarle información sobre nuestros productos y servicios ***APLICACIÓN.1 relacionados con alojamiento. FINALIDADES BASADAS EN INTERES LEGITIMO: - Poder enviarle información sobre productos o servicios similares comercializados por ***APLICACIÓN.1 con relación a soluciones aplicadas a servicios de alojamiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/48 Respecto a todas las finalidades indicadas, todos los datos solicitados tienen carácter obligatorio, en caso de no ser facilitados, ***APLICACIÓN.1 no garantiza que los servicios prestados se ajusten completamente a sus necesidades.” Consultada con fecha 21 de marzo de 2024 la información disponible en el dominio web de ***APLICACIÓN.1 (…), se observa que se ha modificado ligeramente la información anterior, eliminando las finalidades basadas en interés legítimo: En la Política de privacidad (…) : FINALIDADES BASADAS EN RELACION PRECONTRACTUAL/CONTRACTUAL: - Los datos de carácter personal que nos proporciones serán tratados por ***EMPRESA.1. como responsable de esta web ***URL.1 con la finalidad de atender tu consulta y contactarte, ya seas potencial cliente, empleado o proveedor. Respecto a todas las finalidades indicadas, todos los datos solicitados tienen carácter obligatorio, en caso de no ser facilitados, ***APLICACIÓN.1 no garantiza que podamos atender su consulta. El usuario de la WEB ***APLICACIÓN.1 será el único responsable de la veracidad y exactitud de los datos aportados, actuando ***APLICACIÓN.1 de buena fe como mero prestador del servicio. En caso de haber facilitado datos falsos o de terceras personas sin mediar su consentimiento para ello ***APLICACIÓN.1 se reserva el derecho a la destrucción inmediata de los citados datos a fin de proteger el derecho del titular o titulares de estos.” En el Aviso legal (…) : “Finalidad de la página web: dar a conocer nuestra actividad, contactar, consultar y prestar servicio de acceso remoto, chek-in y app para huéspedes. El presente documento tiene por objeto establecer los términos y condiciones generales de uso del PORTAL que son de obligada aceptación y cumplimiento por parte de todos las personas, profesionales y empresas (en adelante el USUARIO), que deseen hacer uso de estos (actuales o nuevos servicios que ***APLICACIÓN.1 preste en el futuro a través del PORTAL).” También es interesante destacar las características del sistema que están ofertadas en la página (…) : “Características Destacadas de Nuestro Sistema de Check-In Online • Auto check in con documentos de identidad y pasaportes • Validación de la veracidad de documentos • Reconocimiento facial biométrico • Firma de parte de viajero • Generación de ficheros con partes de entrada C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/48 • Volcado automático de partes a: Policía Nacional, Guardia Civil, Mossos de Escuadra y Ertzaintza • Consigue el email personal de todos los huéspedes • Garantiza que todos los huéspedes realizan el check in correctamente y así cumples con la normativa” Con fecha 20 de noviembre de 2024 se descarga la APP ***APLICACION.1 desde Apple Store, donde se permite visualizar la política de privacidad de la APP en el enlace: (…) “FINALIDADES BASADAS EN RELACION CONTRACTUAL Los datos personales de reserva de los clientes serán recogidos y tratados por parte del Responsable del tratamiento (propietario del apartamento), con la finalidad de prestar el servicio de alojamiento incluyendo el check-in on-line, apertura de puertas e información sobre el alojamiento a través de la aplicación ***APLICACIÓN.1 (Encargado del Tratamiento). Puede consultar la información completa de privacidad en el enlace web del responsable del tratamiento. FINALIDADES BASADAS EN OBLIGACIONES LEGALES Los datos personales de los clientes a través de la aplicación ***APLICACIÓN.1 en la fase de check-in serán tratados para cumplir con las diferentes obligaciones legales, y comunicados a las Fuerzas y Cuerpos de Seguridad. Se incluye el acceso obligatorio a la funcionalidad de cámara del terminal móvil a efectos de identificación y escaneo de Documento de identidad a efectos de cumplir con la Ley Orgánica 1/1992, de 21 de febrero, sobre Protección de la Seguridad Ciudadana. FINALIDADES BASADAS EN INTERES LEGITIMO Igualmente, la aplicación ***APLICACIÓN.1 incluye la puesta a disposición de los clientes alojados de una guía de destino e información comercial sobre lugares de interés, oferta de ocio y cultural de la zona cercana a su alojamiento, así como diferentes planes y servicios. Cada ofertante dispone de su propia política de privacidad si usted desea encargar un servicio o realizar una compra. Según el caso puede incluir geolocalización para permitir alcanzar el destino solicitado. FINALIDADES BASADAS EN CONSENTIMIENTO Los datos personales serán igualmente tratados para geolocalizarle y mantenerle informado de los lugares de interés más cercanos a su posición geográfica (Consentimiento otorgado a través del teléfono móvil). Podrá desactivarlo a través de los ajustes del propio terminal telefónico.” En su escrito de respuesta al traslado, ***EMPRESA.1 proporciona la información ya indicada en el antecedente CUARTO y aporta el documento copia de la certificación ISO 27001 de la empresa ***EMPRESA.2, como garantía de su subencargado. (…) certifica que el sistema de Gestión de Seguridad de la Información de la organización: ***EMPRESA.2 para las actividades de: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/48 Sistema de gestión de seguridad de la información que da soporte a las actividades de desarrollo, implantación y soporte de las soluciones de verificación de identidad digital de ***EMPRESA.2, tanto en modalidad Software como Servicio (SaaS) como en instalaciones en cliente (on premise), según la Declaración de Aplicabilidad de 13/03/2023 es conforme con los requisitos de la norma ISO/IEC 27001:2013 ***EMPRESA.1 explica que la incidencia por no contestar a la solicitud de la parte reclamante se ha debido a “un error de gestión administrativa de los correos recibidos a través del buzón ***EMAIL.1. Normalmente la persona que nos dirige una solicitud o consulta a través de este buzón nos indica igualmente sus datos identificativos y de contacto. Pero, en el caso de la reclamante, su correo de 21 de junio de 2023 no lo indicaba, excepto su dirección de correo electrónico. Y ***EMPRESA.1 gestionaba hasta ahora todos esos correos a través de una herramienta CRM que los filtraba. Sólo vimos que la comunicación nos la dirigía A.A.A. y no supimos por error contestar. Igualmente erramos en el hecho de mantener la finalidad de consentimiento comercial cuando esta finalidad no estaba activa, no se recogen consentimientos en la app, ni se ha credo una base de datos comercial ni se han realizado comunicaciones comerciales, ninguna.” Respecto a las medidas adoptadas para evitar que se produzcan incidencias similares, ***EMPRESA.1 indica: “Para que no se produzcan incidencias similares hemos reemplazado el buzón de correo electrónico ***EMAIL.1 por ***EMAIL.2, sin dirigirlo a través del CRM para asegurarnos que todas las comunicaciones son contestadas en tiempo y forma. […] Hemos actualizado la política de privacidad de la app ***APLICACIÓN.1 con fecha 3 de octubre de 2023, eliminando la finalidad de comunicaciones comerciales, cambiando el buzón de correo electrónico de contacto por el de ***EMAIL.2 y reforzando la transparencia en la indicación de la necesidad de comprobación del documento de identidad y de la autenticación biométrica del huésped para cumplir con la obligación de exactitud de la ley de protección de la seguridad ciudadana.” ***EMPRESA.1 ofrece una copia del correo electrónico enviado a la parte reclamante con fecha 20 de septiembre de 2023 por la dirección ***EMAIL.2, en la que se le explica lo anterior y adicionalmente se destaca: “Y para poder cumplir correctamente con las tres disposiciones (…). La fotografía se recoge para realizar una verificación biométrica (véase el informe jurídico 0047/2021 de la Agencia Española de Protección de Datos sobre la diferencia entre datos biométricos y verificación biométrica), y comprobar que la persona que realiza el check-in y la que aparece en el DNI es la misma. Al tratarse de una comprobación uno a uno no se considera categoría especial de datos.” En la GUÍA SOBRE TRATAMIENTOS DE CONTROL DE PRESENCIA MEDIANTE SISTEMAS BIOMÉTRICOS emitida por la AEPD en noviembre de 2023, en el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/48 apartado IV. DATOS BIOMÉTRICOS Y CATEGORÍAS ESPECIALES DE DATOS, se especifica: “Las Directrices 05/2022 del Comité Europeo de Protección de Datos (CEPD), sobre el uso de reconocimiento facial en el ámbito de las fuerzas de orden público (véase Versión 2.0, de 26 de abril de 2023), determinan, en su apartado 12, que el concepto de dato biométrico abarca tanto la “autenticación” como la “identificación”, y si bien son conceptos distintos, en ambos procedimientos se tratan datos dirigidos a identificar a una persona física, por lo que ambos se incluyen en el concepto de “tratamientos de datos”, y más específicamente, son tratamientos de datos personales de categorías especiales. En consecuencia, a ambos se extiende la prohibición general establecida en el art. 9.1 del RGPD, por lo que dicha prohibición ha de aplicar no sólo a los tratamientos dirigidos a la identificación sino también a los supuestos de tratamientos de datos biométricos dirigidos a la autenticación o verificación de la persona con respecto al patrón previamente establecido para la misma.” ***EMPRESA.1 aporta el documento donde se describe el proceso de check-in en ***APLICACIÓN.1. “En el momento que se graba una reserva en la plataforma de ***APLICACIÓN.1, esta envía un email automático al huésped con el enlace de descarga de la app, la dirección del alojamiento y su código de huésped.” ***EMPRESA.1 remite una muestra genérica del email automático en (no particularizada al caso de la parte reclamante), donde se comprueba la obligatoriedad del uso de la APP ***APLICACIÓN.1 para poder hacer el check-in, abrir las puertas y acceder a toda la información sobre el alojamiento y el destino. (ver apartado 2.3.1) El documento continúa explicando: “El Código de huésped le permitirá: realizar el Check In con su móvil para poder cumplir así con la normativa de viajeros, acceder al alojamiento sin necesidad de llaves durante las fechas de su estancia y acceder a la información del alojamiento y el destino. Los datos de reserva pueden volcar en el sistema de ***APLICACIÓN.1 de forma automática, cuando se realizan en las plataformas como ***PLATAFORMA.1 o ***PLATAFORMA.2 si nuestro cliente cuenta con un sistema de gestión PMS y/o ***PLATAFORMA.3 con el que estemos integrado. También se pueden crear reservas de forma manual en nuestro sistema rellenando los siguientes datos: -Nombre -Email -Fecha y hora de entrada -Fecha y hora de salida -Nº de huésdes mayores de 14 años. (Obliatoriedad de realizar partes de viajeros) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/48 Hasta este momento, estos son los únicos datos con los que contamos del cliente y son facilitados por un PMS o rellenados de forma manual por el gestor o propietario del alojamiento. […] La única forma de acceder a la app es introduciendo el código de huésped personalizado y aceptando los Términos y Condiciones de la app. […] Se pide el escaneo de documento por las dos caras para la correcta extracción de datos, ya que la banda MRZ se encuentra en la parte posterior y para la validación del documento. Se pide el escaneo facial para cotejarlo con la foto del documento y evitar así fraudes de suplantación de identidad. Se muestran al huésped los datos extraidos mediante el proceso de escaneo de su documento de identidad. En caso de que el sistema no haya podido leer correctamente algún dato, se permite al huésped editarlo de forma manual a través del formulario. En este caso, el gestor o propietario del alojamiento, recibe una alerta de que existen datos no validados de forma automática para que lo compruebe y valide de forma manual. Se solicita la firma en pantalla, el email y la aceptación de la Políca de Privacidad para poder completar el registro. […] Se informa al cliente de que el proceso de registro ha finalizado correctamente y se facilita la posibilidad de que visualice el Parte de Viajeros relleno con sus datos y firma. […] El gestor o propietario del alojamiento puede ver o modificar, en caso necesario, los datos de los huéspedes. Los ficheros con los datos de los viajeros se envían diariamente y de forma automática, a los Cuerpos de Seguridad del Estado, en el plazo indicado de máximo 24H desde la llegada del huésped. Los partes firmados y los datos de los viajeros, se almacenan durante 3 años como manda la normativa.” (Nota: el subrayado ha sido incorporado por la Agencia) La información enviada en el correo electrónico de bienvenida indica la obligatoriedad de descargar la APP ***APLICACIÓN.1: “Es necesario que te descargues la app ***APLICACIÓN.1 antes de tu estancia para poder hacer el check-in, abrir las puertas y acceder a toda la información sobre el alojamiento y el destino. INFORMACIÓN BÁSICA SOBRE PROTECCIÓN DE DATOS PERSONALES Y CONFIDENCIALIDAD Los datos personales que usted ha facilitado directamente o a través de la plataforma como ***PLATAFORMA.2 o ***PLATAFORMA.1 son tratados por el propietario del alojamiento turístico Ulpia Trajana Alameda S.L., B90468273 Calle Martinez Montañés, 34, primero, 41002 Sevilla, Sevilla, (…), como responsable del tratamiento, para confirmar su reserva, poder prestarle el servicio de alojamiento una vez realizado el check in mediante la plataforma del proveedor ***APLICACIÓN.1, y cumplir con las obligaciones legales, en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/48 especial la de registro ante la policía una vez comprobada su identidad mediante su imagen. Usted tiene derecho a acceder, rectificar y suprimir los datos, así como otros derechos, como se explica en la información adicional. Puede consultar la información adicional detallada sobre Protección de Datos en nuestra web ***URL.1 o bien dirigiéndose directamente a nuestra organización mediante correo electronico a ***EMAIL.2[…] ” Solicitada la copia o captura de pantalla de los datos asociados a la parte reclamante en los sistemas de ULPIA, ésta proporciona la siguiente información en su escrito de respuesta: “Esta parte no guarda dicha información de ninguno de sus clientes. Ya que los mismos, una vez facilitados por ellos, se encuentran para su consulta a través de la aplicación de ***EMPRESA.1 ULPIA TRAJANA ALAMEDA S.L. tiene una aceptación de servicios con la empresa colaboradoras, ***PLATAFORMA.1 (***PLATAFORMA.1 (...)) que se encarga de contratar telemáticamente (mediante una APP) con el cliente final. Esta parte se limita a informar de la contratación a ***EMPRESA.1, S.L. que se encarga de tratar los datos de dichos clientes, sin que dicha información o datos, ni por supuesto, documentación personal o imágenes faciales) queden almacenadas en archivo alguno de esta parte, al encontrarse los mimos como he dicho anteriormente almacenados por dicha empresa una vez facilitados a la Policía. El cliente contrata con ***PLATAFORMA.1 directamente, a través de su página web o su APP, a quien le pagan, y éstas se encargan de facturar con esta parte independientemente de la identidad del cliente, tan solo siendo relevante el número de días de estancia, no la identidad del inquilino. Nosotros no necesitamos datos de dicho cliente. Seguidamente, el cliente se registra en la APP de ***EMPRESA.1, que es quien le facilita las claves e indicaciones para acceder al alojamiento. ***EMPRESA.1 recaba los datos imprescindibles para cumplir con los deberes ante la policía y facilitar al inquilino acceso a las cerraduras, que son de su propiedad. […] Por ello, todos los datos del inquilino no se almacenan en poder de ULPIA TRAJANA ALAMEDA S.L. En caso de necesitar cualquier acceso a los mismos, causado por alguna obligación legal (esta parte no necesita ya acceder a ellos por otra causa), se hace a través de la base de datos de ***EMPRESA.1” (Nota: el subrayado ha sido incorporado por la Agencia) ULPIA facilita la información de la parte reclamante proveniente de los archivos de ***EMPRESA.1 para cumplir el requerimiento, así como los contratos con ***EMPRESA.1 y ***PLATAFORMA.1. En la captura enviada como evidencia con los datos de la parte reclamante se aprecia que no figuran las fotografías de los DNIs ni el selfie. Los datos que se especifican son los siguientes: - Número de DNI: ***NIF.1 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/48 - Tipo de documento: (…) - Fecha de expedición del documento: (...) - Primer apellido: (...) - Segundo apellido: (...) - Nombre: A.A.A. - Sexo: (…) - Fecha de nacimiento: (…) - País de nacionalidad: (…) - Fecha de entrada: (…) El contrato firmado con ***EMPRESA.1 en fecha 18 de junio de 2021 identifica a ULPIA como CLIENTE y ***EMPRESA.1 como PROVEEDOR para la contratación de la APP ***APLICACIÓN.1 y alude al Reglamento (UE) 2016/679 de 27 de abril de 2016 (RGPD), a la Ley 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (LOPD1999) y al Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999 (RD1720) en vez de aludir a la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD). Indica que ***EMPRESA.1 actúa como encargado del tratamiento: “En el caso de que la prestación del servicio suponga la necesidad de acceder a datos de carácter personal, el PROVEEDOR, como encargado del tratamiento, queda obligado al cumplimiento de” (LOPD1999) y (RD1720). Incluye un apartado 6 dedicado a la Protección de Datos personales donde se especifican las instrucciones para el encargo del tratamiento de datos. “6.1. Objeto, naturaleza y finalidad del encargo: El tratamiento de datos consistirá en cumplir con el objeto del presente contrato las operaciones de tratamiento autorizadas serán las estrictamente necesarias para alcanzar la finalidad del encargo incluyendo, si se precisa, la recogida, registro, estructuración, modificación, conservación, extracción, consulta, comunicación por transmisión, difusión, interconexión, cotejo, limitación, supresión y destrucción de datos, informándole que se les debe aplicar las obligaciones previstas en el Título VIII del RDLOPD para el nivel de seguridad BÁSICO. 6.2. Obligaciones y derechos del CLIENTE El CLIENTE garantiza que los datos facilitados al PROVEEDOR se han obtenido lícitamente y que son adecuados, pertinentes y limitados a los fines del tratamiento. El CLIENTE pondrá a disposición del PROVEEDOR cuanta información sea necesaria para ejecutar las prestaciones objeto del encargo. […] C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/48 El PROVEEDOR no destinará, aplicará o utilizará los datos a los que tenga acceso para un fin distinto al encargo o que suponga el incumplimiento de esta cláusula, sin previa autorización.” Por su parte, el contrato de adhesión con ***PLATAFORMA.1 aportado, se encuentra sin firmar e indican los Términos de Servicio para Usuarios Europeos, con actualización de 25 de enero de 2024, que especifica “constituyen un contrato legalmente vinculante entre ***PLATAFORMA.1 y tú”. “También tienes la obligación de gestionar y utilizar los datos personales de los Huéspedes y otras personas de conformidad con la legislación sobre protección de datos y con los presentes Términos, incluidas las Normas de Privacidad para Anfitriones de ***PLATAFORMA.1.” “28. Acceso a los datos. Los Anfitriones Profesionales podrán acceder en su cuenta de ***PLATAFORMA.1 y en el panel del Anfitrión a los datos personales y de otro tipo que hayan proporcionado el Anfitrión Profesional o sus Huéspedes, o que se hayan generado con el uso de la Plataforma ***PLATAFORMA.1, y que sean necesarios para la prestación de sus Servicios de Anfitrión, así como a información agregada sobre las búsquedas, las reservas y el rendimiento de sus anuncios.” Consultado el origen de los datos personales de la parte reclamante y su modo de obtención, ULPIA contesta en su escrito de respuesta que: “Ese dato, el nombre, y primer apellido, se facilita a ***EMPRESA.1 (que usa el nombre comercial de ***APLICACIÓN.1) y esta compañía genera un código personal que se facilita al cliente” con un mensaje informando sobre el check-in de forma remota. ULPIA envía una captura del correo de bienvenida enviado a la parte reclamante, que indica: “Hola A.A.A., bienvenido a tu alojamiento. Es necesario que te descargues la app ***APLICACIÓN.1 antes de tu estancia para poder hacer el check-in, abrir las puertas y acceder a toda la información sobre el alojamiento y el destino. Mira este video antes de tu estancia para descubrir todo lo que podrás hacer con la app de ***APLICACIÓN.1: (...) Descárgate la app e introduce este código de huesped” Si se compara este mensaje con el correo electrónico de bienvenida genérico proporcionado en, se aprecia que en este último se ha intercambiado la información del vídeo de youtube por la información básica sobre protección de datos especificada anteriormente en el presente informe (ver apartado 2.3.1). El video de youtube es un video explicativo acerca de cómo utilizar la APP ***APLICACIÓN.1, con información similar a la proporcionada en el documento. Además, en su escrito de respuesta, ULPIA indica que la base legal para la recogida de dichos datos se encuentra recogida en (LO 4/2015) y (RD 933/2021). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/48 Con relación a los procedimientos seguidos para cumplir el deber de información y evidencias de su cumplimiento, ULPIA remite a ***PLATAFORMA.1 y ***EMPRESA.1: “Como hemos dicho anteriormente, en la página de la compañía que recoge los datos, con quien contrata la clienta y donde inscribe esos datos, se recoge el procedimiento y las garantías requeridas. Por otra parte, ***EMPRESA.1 también cumple con la obligación de información al recibir los datos, poniendo a disposición del inquilino el siguiente mensaje” y remite una copia de la información contenida en el correo electrónico de bienvenida especificado anteriormente en el presente informe (ver apartado 2.3.1). De nuevo el inspector quiere destacar que el correo de bienvenida enviado a la parte reclamante contiene un enlace a un video de youtube en lugar de la información sobre protección de datos (donde refiere la dirección de correo electrónico ***EMAIL.2). Además, la parte reclamante realizó el registro con su móvil con fecha 21 de junio de 2023 y ***EMPRESA.1 informó en sus alegaciones al traslado de la reclamación que, a consecuencia de la reclamación, activó la cuenta de correo ***EMAIL.2 y que cesarían el uso del CRM para atender consultas o ejercicio de derechos. La política de privacidad de la app ***APLICACIÓN.1 se actualizó con fecha 3 de octubre de 2023, en la que cambió el buzón de correo electrónico de contacto por el de ***EMAIL.2. Sin perjuicio de lo anterior, para acceder a la app es necesario introducir el código de huésped personalizado y aceptar los Términos y Condiciones de la app. Respecto a los plazos de conservación, ULPIA indica que no se conservan ya que el cliente paga a ***PLATAFORMA.1 directamente. En su escrito de respuesta, ULPIA continúa explicando que el cliente contrata con ***PLATAFORMA.1 directamente, entidad que se encarga posteriormente de facturar con ULPIA. Seguidamente, el cliente se registra en la APP de ***EMPRESA.1, que es quien le facilita las claves e indicaciones para acceder al alojamiento, ya que la puerta cuenta con una cerradura electrónica que se abre con clave. “En ningún momento hay contacto físico con el cliente, ni por parte de ULPIA TRAJANA ALAMEDA S.L. ni de ***EMPRESA.1, por lo que no es posible posibilidad de identificación presencial. Dado que no hay contacto físico con el cliente ni por parte de ULPIA TRAJANA ALAMEDA S.L. ni de ***EMPRESA.1, la información debe entregarse on-line. Además, la aportación del DNI u otra documentación oficial es obligatoria”, de acuerdo con (LO 4/2015). ULPIA facilita el documento [Resp_ULPIA#2_Doc#1], contrato firmado con ***EMPRESA.1 en fecha 18 de junio de 2021, que ha sido analizado en el punto anterior 3.1.1. También aporta el documento [Resp_ULPIA#3], Copia del Registro de las Actividades de Tratamiento de datos personales en insiste en que ULPIA “no recoge dato alguno de carácter personal de sus clientes, y se limita a transmitir la información recabada por ***PLATAFORMA.1, a ***EMPRESA.1, todo ello de forma que ninguno de los datos facilitados por la clienta llegue a ser tratados o conocidos por esta parte. Es por C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/48 ello que nos remitimos a la información que ***PLATAFORMA.1 y ***EMPRESA.1 posean al respecto.” Se reproduce el contenido del RAT: Tratamiento: Inquilinos
2. a)Responsable del tratamiento Identidad: ULPIA TRAJANA ALAMEDA S.L. - NIF: B90468273 Dirección postal: Calle Trajano, nº 45 - 41002 - Sevilla Correo electrónico: ***EMAIL.3 Teléfono: ***TELÉFONO.1
3. b)Finalidad del tratamiento Gestión de la relación con los inquilinos. Traslado de información de páginas de contratación a gestora del acceso al alojamiento: ***EMPRESA.1
4. c)Categorías de interesados Inquilinos: Personas que se alojan en el alojamiento.
5. d)Categorías de datos De identificación: nombre, un apellido, DNI, dirección postal, teléfono, e-mail
6. e)Categorías de destinatarios Fuerzas y Cuerpos de Seguridad Empresa de cerradura electrónica ***EMPRESA.1
7. f)Transferencias internacionales No está previsto realizar transferencias internacionales
8. g)Plazo de supresión Los datos no se almacenan ni se registran. Los conserva ***EMPRESA.1
9. h)Medidas de seguridad Las reflejadas en el ANEXO MEDIDAS DE SEGURIDAD Respecto a la evaluación de riesgos, ULPIA remite de nuevo a la información que ***PLATAFORMA.1 y ***EMPRESA.1 posean al respecto y proporciona como su Evaluación de Riesgos, que consiste en la captura del resultado de la herramienta Evalúa-Riesgo de la AEPD con fecha 8 de enero de 2024 en la que no se han especificado factores de riesgo. Con relación a la EIPD e informes técnicos del DPD, ULPIA manifiesta que no se necesita una EIPD y no disponen de informes de recomendaciones, remitiéndose a las que ***PLATAFORMA.1 y ***EMPRESA.1 hayan elaborado: “Por la actividad desarrollada y el procedimiento ya explicado de cómo se tratan los datos de carácter personal, no es probable que dicho tipo de tratamiento entrañe un alto riesgo para los derechos y libertades de las personas físicas. Dada el limitado recorrido de los datos suministrados, el escaso número de personas implicadas (tanto las empresas, como, más importante, el pequeño número de inquilinos que contratan con esta sociedad), y que sólo se usan para cumplir un deber legal de información a la Policía, riesgo para los derechos y libertades de las personas es mínimo, Por ello, de acuerdo con el apartado 1 del artículo 35 del RGPD, no es precisa una evaluación del impacto de las operaciones de tratamiento en la protección de datos personales. En cualquier caso, nos remitimos a las que posean las empresas con las que esta parte tiene contratos de tratamiento (***PLATAFORMA.1 y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/48 ***EMPRESA.1) por si ellas, por sus propias características, si considerasen necesario dicha evaluación.” En su escrito de respuesta al requerimiento, ***EMPRESA.1 proporciona la siguiente información y manifestaciones: ***EMPRESA.1 indica que la parte reclamante realizó el registro con su móvil el 21/06/2023 a las 11:49, momento en el que aceptó la política de privacidad y los términos y condiciones, y que el 29/06/2023, fecha de entrada al alojamiento, se reportaron sus datos a Policía Nacional para cumplir con la Normativa de Viajeros. Los datos que se registraron en el parte de viajeros y que fueron extraídos mediante lectura OCR de la banda MRZ de su DNI son: - Número de DNI: ***NIF.1 - Tipo de documento: - Fecha de expedición del documento: (...) - Primer apellido: (...) - Segundo apellido: (…) - Nombre: A.A.A. - Sexo: (…) - Fecha de nacimiento: (…) - País de nacionalidad: (…) - Fecha de entrada: (…) Respecto al origen de los datos, ***EMPRESA.1 indica que “El Origen de la reserva es una reserva creada manualmente en el sistema de información de ***APLICACIÓN.1 por el gestor/propietario del alojamiento, ULPIA TRAJANA ALAMEDA SL.” y envía como evidencia una captura de los datos iniciales de la huésped para gestionar su reserva, en la que se observan los siguientes datos: - Nombre: A.A.A. - Apellidos: (en blanco) - Email: ***EMAIL.3 - Check-in: (…) - Check-out: (…) - Adultos >14: (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/48 - Niños <14: (…) - Idioma: (…) ***EMPRESA.1 indica que “Se le envió desde (...) el siguiente correo con su código de huésped a la dirección de email ***EMAIL.3 “ La captura de pantalla del mensaje enviado es similar a la aportada por ULPIA y analizada en el apartado 3.1.1. “Hola A.A.A., bienvenido a tu alojamiento. Es necesario que te descargues la app ***APLICACIÓN.1 […]” ***EMPRESA.1, en su escrito de respuesta al requerimiento, proporciona los contratos con las entidades ULPIA y ***EMPRESA.2. El contrato con ULPIA es similar al documento aportado por ULPIA y analizado anteriormente en el punto 3.1.1. En cuanto al contrato de ***EMPRESA.1 con ***EMPRESA.2, consiste en un contrato de encargado de tratamiento firmado con fecha 1 de marzo de 2020 en el que ***EMPRESA.1 ejerce de Responsable del fichero y ***EMPRESA.2 actúa como encargado del tratamiento, para la prestación del servicio (...). En relación con el Análisis o Evaluación de Riesgos, ***EMPRESA.1 aporta información sobre ***EMPRESA.2: “***EMPRESA.2 cuenta con la certificación ISO 27001, un estándar internacional que establece los requisitos para la implementación, mantenimiento y mejora continua de un Sistema de Gestión de la Seguridad de la Información (SGSI). Este sistema se utiliza para proteger la confidencialidad, integridad y disponibilidad de la información. Como parte de los procesos definidos en este Sistema de Gestión de Seguridad de la Información, se encuentra la realización de un completo Análisis de Riesgos anual del que se derivan Planes de Tratamiento de Riesgos y Planes de Mejora Continua. El propio Análisis y Gestión de Riesgos se realiza utilizando la herramienta software ***HERRAMIENTA.1 que proporciona el Centro Criptológico Nacional (CCN) siguiendo la metodología (...)” Requerida copia de la Evaluación de Impacto relativa a la protección de datos en el contexto del registro de clientes, ***EMPRESA.1 contesta que esta obligación corresponde al Responsable del tratamiento, ULPIA. “***EMPRESA.1 como encargado del tratamiento y ***EMPRESA.2 como subencargado de tratamiento, no tenemos obligación de realizar evaluación de impacto relativa a este tratamiento, aunque sí de colaborar en su realización con el Responsable del tratamiento. No obstante, nos permitimos señalar que la reclamación se ha realizado el 4 de julio de 2023, es decir, tal como argumentábamos en el primer escrito de alegaciones, bajo el antiguo criterio de la Agencia Española de Protección de Datos que distinguía identificación biométrica de autenticación o verificación biométrica, por ejemplo, en el informe 0047/2021 o en la Guía de relaciones laborales publicada en 2021. En esta C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/48 guía se indica que sólo los tratamientos de identificación biométrica (Uno a varios) requieren evaluación de impacto. La Agencia, siguiendo el Dictamen del Comité Europeo de Protección de Datos 5/2022, publica su cambio de criterio en noviembre de 2023, por lo que entendemos que es a partir de ese momento que la verificación biométrica que se incluye en ***APLICACIÓN.1 con la solución (...) de ***EMPRESA.2 quedaría incluida en la obligación de realizar una Evaluación de impacto. A tenor del cambio de criterio sobre los datos biométricos que deben ser considerados datos especialmente protegidos y la prohibición establecida en el artículo 9 del RGPD, ***APLICACIÓN.1 ha suspendido la funcionalidad de la verificación biométrica para poder cumplir con la obligación del artículo 4.3 del Real Decreto 933/2021 hasta que la AEPD confirme que estos tratamientos pueden seguir llevándose a cabo o un responsable del tratamiento nos aporte una evaluación de impacto favorable. Posteriormente se ha aprobado el Reglamento Europeo de Inteligencia Artificial en marzo de 2024 que establece una importante excepción ya que “quedan excluidos los sistemas de IA destinados a la verificación biométrica, que comprende la autenticación, cuyo único propósito es confirmar que una persona física concreta es la persona que dice ser, así como la identidad de una persona física con la finalidad exclusiva de que tenga acceso a un servicio, desbloquee un dispositivo o tenga acceso seguro a un local”. Es decir que existe en nuestra opinión en la actualidad una aparente contradicción entre el RGPD y el Reglamento IA ya que este último considera los tratamientos de autenticación biométrica mediante IA como el de ***APLICACIÓN.1, a través de ***EMPRESA.2, de bajo riesgo. Estamos a la espera de si la Agencia Española de Protección de Datos va a modificar de nuevo su criterio respecto a la autenticación biométrica y resolver esta contradicción.” (Nota: el subrayado ha sido incorporado por la Agencia) En fecha 23 de noviembre de 2024 se comprueba que en la página web de información del auto check-in de ***APLICACIÓN.1 ((...)) ha desaparecido la opción de Reconocimiento Facial Biométrico. Se graba la captura de dicha web como objeto asociado en el sistema SIGRID. En lo que respecta al tratamiento de datos biométricos, ***EMPRESA.1 indica que el tratamiento comenzó el 21/06/2023 a las 11:49, cuando la parte reclamante realizó el registro con su móvil. “Sólo en ese momento se produjo el tratamiento de datos biométricos que dura unos segundos. A partir de la imagen del DNI y del selfie de la afectada la app ***APLICACIÓN.1 mediante (...) genera un patrón de las dos imágenes y lo compara de manera automática mediante IA. Una vez realizada la verificación biométrica se valida el proceso para que la persona pueda continuar con el checkin y se eliminan las dos imágenes.” La parte reclamada indica que no tiene control en la decisión relativa a las bases legitimadoras, el deber de información y otras obligaciones directamente exigibles al Responsable del Tratamiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 18/48 Con relación al deber de información, indica el mismo texto que la información contenida en el correo electrónico de bienvenida especificado anteriormente en el presente informe (ver apartado 2.3.1). Solicitadas evidencias del cumplimiento, ***EMPRESA.1 manifiesta que, en el momento del registro, la parte reclamante aceptó. Respecto a los juicios de proporcionalidad del tratamiento realizado, ***EMPRESA.1 indica que no tiene control en esa decisión en su papel de encargado de tratamiento, pero proporciona una explicación extensa sobre la solución (...) de ***EMPRESA.2 que, entre otros temas, especifica. “(…).” “Finalmente indicar que durante los varios años que el sistema lleva funcionando, hemos tenido que explicar el sistema a la Policía Nacional durante el transcurso de alguna investigación relacionada con un huésped alojado y un robo por ejemplo, y hemos recibido por su parte siempre una opinión favorable sobre la idoneidad, necesidad y proporcionalidad del sistema de checkin de ***APLICACIÓN.1 que ayuda a la Fuerzas y Cuerpos de Seguridad a la finalidad de prevención, detección e investigación del delito, especialmente en la prevención y la investigación de los delitos de terrorismo o los relacionados con la delincuencia organizada de carácter grave.” ***EMPRESA.1 indica de nuevo que, como encargado de tratamiento, no tiene control en la decisión relativa a qué excepciones previstas en el artículo 9 RGPD son de aplicación al uso realizado por parte del Responsable de Tratamiento. No obstante, refiere que los hechos objeto de reclamación se produjeron a finales del mes de junio 2023 donde aplicaba el antiguo criterio de la Agencia española de Protección de Datos sobre datos biométricos que distinguía entre identificación y autenticación/verificación biométrica, “quedando estos últimos fuera de la prohibición del artículo 9 y encontrando su base de legitimación en el cumplimiento de obligaciones legales del artículo 6.1.C.” Plazos de conservación de los datos personales. La parte reclamada indica un plazo de conservación de los datos personales objeto de tratamiento de 3 años y alega la aplicación de la normativa (RD 933/2021) que en su artículo 5 establece: “Artículo 5. Obligaciones de registro documental. 1. Los sujetos obligados habrán de llevar un registro informático en el que consten los datos que se relacionan en los anexos I y II, en función de la actividad que desarrollen, incluidos, en su caso, los datos de las personas menores de catorce años. 2. Los sujetos obligados deberán registrar y conservar aquellos datos de sus usuarios, comprendidos en los anexos I y II, que recaben en el ejercicio de su actividad, en los términos que se determinen. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 19/48 3. Los datos del registro informático deberán conservarse durante un plazo de tres años a contar desde la finalización del servicio o prestación contratada […]” Asimismo, señala lo siguiente: “1) Responsable del tratamiento: ULPIA TRAJANA ALAMEDA SL 2) Encargado de Tratamiento: proveedor de plataforma (***EMPRESA.1. “***APLICACIÓN.1”) 3) Subencargado de Tratamiento: proveedor de tecnología de identificación remota (***EMPRESA.2) Respecto a la reclamación y la verificación biométrica ***EMPRESA.2 actúa como subencargado del tratamiento realizando los siguientes tratamientos encomendados por el Encargado de Tratamiento, ***EMPRESA.1, en virtud del contrato de prestación de servicios de provisión tecnológica: • Realiza una lectura OCR de los campos necesarios del DNI para el registro de huéspedes, previstos en la normativa vigente. • Igualmente, realiza el cotejo de imagen de la cara del usuario, capturada en el momento de alta, con la imagen del DNI, empleando biometría para ello. Ambas operaciones son completamente automatizadas sin que intervenga personal de ***EMPRESA.2 ni tengan acceso a los datos personales.” Respecto a la validación del DNI, en su escrito de respuesta al requerimiento, ***EMPRESA.1 confirma que los únicos datos extraídos son aquellos contenidos en la banda MRZ, aclarando que la información extraída del documento es la indicada en la Orden sobre libros-registro y partes de entrada de viajeros en establecimientos de hostelería y otros análogos (ver apartado 3.2.1 del presente informe). “Se realiza una extracción de la información de conformidad con la normativa de aplicación y se pone a disposición del Responsable del Tratamiento a través de la plataforma ***APLICACIÓN.1, eliminándose al terminar el proceso de verificación de identidad.” ***EMPRESA.1 especifica que el reconocimiento de los datos mediante tecnología OCR “Se realiza en un servidor seguro bajo el control de ***EMPRESA.2 ubicado dentro del Espacio Económico Europeo, realizándose la extracción de los datos en dicho servidor. La transmisión de las imágenes entre la aplicación móvil ***APLICACIÓN.1 y el servidor se realiza por un canal seguro que garantiza la confidencialidad e integridad de la transmisión, mediante el uso de protocolos criptográficos actuales considerados seguros en la industria (TLS 1.2 o superior).” Respecto al ciclo de vida de las fotografías, ***EMPRESA.1 confirma que toda la información es destruida de forma segura, incluyendo las fotografías del documento de identidad, tan pronto finaliza el proceso de comprobación de identidad y registro. La parte reclamada describe el proceso de autenticación biométrica en los siguientes pasos: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 20/48 1) Se captura la imagen del DNI 2) Se captura la imagen del usuario (selfi) 3) Se aplican los algoritmos biométricos para comparar el grado de coincidencia entre la imagen del DNI y el selfi. 4) Se devuelve un score que indica el grado de confianza de que se trate de la misma persona. 5) No se registra ningún patrón biométrico o similar, ni se realiza ningún otro tipo de búsqueda o comparativa biométrica. Las imágenes y los datos utilizados en la autenticación biométrica son eliminados de forma inmediata y automática al finalizar el proceso. Con relación al almacenamiento, indica que por parte de ***EMPRESA.2 no existe almacenamiento: “toda la información capturada es destruida de forma segura tan pronto finaliza el proceso de autenticación del usuario. No se registra ningún tipo de minucia ni de patrón biométrico, limitándose el tratamiento a la comparativa entre la foto presente en el documento y el selfi del usuario. […] En cualquier caso, la plataforma de ***EMPRESA.2 trata la información de manera segura, tanto la que se procesa de manera temporal como la que eventualmente pudiera almacenarse (en otros clientes y casos de uso) y como parte del ciclo de vida de este tratamiento también incluye procedimientos de borrado seguros. Para ello: • (…) • (…) • (…) Respecto a otra información que considere relevante, ***EMPRESA.1 expone: “Solicitamos como proveedores de servicios seguridad jurídica ya que, como hemos demostrado, el criterio sobre la verificación biométrica ha cambiado considerándose inicialmente fuera de la identificación biométrica del artículo 9 del RGPD, desde noviembre de 2023 incluida en esa disposición, y puede que tenga que cambiar de nuevo debido a la aprobación del Reglamento IA que lo considera de bajo riesgo. QUINTO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad ULPIA es una empresa constituida en el año 2019, y con un capital social de 3.000 €. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 21/48 II Procedimiento Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos”. De acuerdo con el artículo 64 de la LOPDGDD, y teniendo en cuenta las características de la presunta infracción cometida, se inicia un procedimiento sancionador. El procedimiento tendrá una duración máxima de doce meses a contar desde la fecha del acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones, de conformidad con lo establecido en el artículo 64 de la LOPDGDD. Si en el plazo estipulado no efectuara alegaciones a este acuerdo de inicio, el mismo podrá ser considerado propuesta de resolución, según lo establecido en el artículo 64.2.
10. f)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP). III Cuestiones previas El artículo 4.1) del RGPD, define «dato personal» como: “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona”. El artículo 4.2) del RGPD, define «tratamiento» como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que ULPIA realiza, entre otros tratamientos, la recogida y conservación de datos personales de personas físicas, como: nombre y apellidos, teléfono, dirección, correo electrónico, DNI o datos biométricos que son objeto de tratamiento técnico con fines de identificación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 22/48 Por otro lado, el artículo 4.7) del RGPD, define al «responsable del tratamiento» o «responsable» como: “la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros”. Esta figura no debe confundirse con la de encargado del tratamiento definida en el artículo 4.8 del RGPD como: “la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento”. Las Directrices del CEPD 07/2020 sobre los conceptos de «responsable del tratamiento» y «encargado del tratamiento» indican dos condiciones fundamentales para tener la consideración de encargado del tratamiento, que deben analizarse caso por caso para concluir si existe esta figura: “76. Para ser considerado encargado del tratamiento, es necesario reunir dos condiciones fundamentales:
11. a)ser un ente independiente del responsable del tratamiento; y
12. b)tratar datos personales por cuenta del responsable.” (subrayado de la AEPD) Conviene remarcar, llegados a este punto, que las Directrices del CEPD 07/2020 destacan que los conceptos de responsable del tratamiento y encargado del tratamiento son conceptos funcionales, siendo necesario establecerlos en virtud de sus actividades concretas en el caso analizado y no en función de la designación formal que pueda figurar en el contrato: “12. Los conceptos de «responsable del tratamiento» y «encargado del tratamiento» son conceptos funcionales: su objetivo es asignar responsabilidades en función del papel real de cada parte. Esto implica que la condición jurídica de «responsable del tratamiento» o «encargado del tratamiento» de los participantes debe establecerse en principio en virtud de sus actividades concretas en una situación determinada y no en función de la designación formal de un participante como «responsable del tratamiento» o «encargado del tratamiento» (p. ej., en un contrato).Esto implica que la asignación de la función de responsable o encargado debe derivar normalmente de un análisis de los hechos o circunstancias del caso y, en consecuencia, no es negociable.” Por tanto, para determinar quién es en cada caso el responsable del tratamiento, será necesario realizarse dos preguntas de acuerdo con las mencionadas Directrices: “20. (…) El responsable del tratamiento es quien decide determinados aspectos esenciales del tratamiento de los datos. La responsabilidad del tratamiento puede establecerse en la normativa o deducirse de un análisis de los hechos o las circunstancias del caso. Es necesario dirigir la atención a las actividades de tratamiento concretas de que se trate y comprender quién las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 23/48 determina. Para ello, primero deben examinarse las siguientes cuestiones: «¿por qué tiene lugar el tratamiento?» y «¿quién ha decidido que debe llevarse a cabo el tratamiento para un fin concreto?».” Sentado lo anterior y en relación con los hechos objeto de reclamación, ha de indicarse que ULPIA firmó un contrato con ***EMPRESA.1, en fecha 18 de junio de 2021, que identifica a ULPIA como CLIENTE y ***EMPRESA.1 como PROVEEDOR para la contratación de la APP ***APLICACIÓN.1, indicando que ***EMPRESA.1 actúa como encargado del tratamiento: “En el caso de que la prestación del servicio suponga la necesidad de acceder a datos de carácter personal, el PROVEEDOR, como encargado del tratamiento, queda obligado al cumplimiento de la Ley 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal y del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999 y demás normativa aplicable”. Incluye un apartado 6 dedicado a la Protección de Datos personales donde se especifican las instrucciones para el encargo del tratamiento de datos. “(…) El CLIENTE pondrá a disposición del PROVEEDOR cuanta información sea necesaria para ejecutar las prestaciones objeto del encargo. […] El PROVEEDOR no destinará, aplicará o utilizará los datos a los que tenga acceso para un fin distinto al encargo o que suponga el incumplimiento de esta cláusula, sin previa autorización.” Asimismo, la política de privacidad facilitada por ***EMPRESA.1, como proveedor de la plataforma APP ***APLICACIÓN.1, señala lo siguiente: “FINALIDADES BASADAS EN RELACION CONTRACTUAL Los datos personales de reserva de los clientes serán recogidos y tratados por parte del Responsable del tratamiento (propietario del apartamento), con la finalidad de prestar el servicio de alojamiento incluyendo el check-in on-line, apertura de puertas e información sobre el alojamiento a través de la aplicación ***APLICACIÓN.1 (Encargado del Tratamiento). Puede consultar la información completa de privacidad en el enlace web del responsable del tratamiento.” En este punto recordemos que las Directrices 07/2020 sobre los conceptos de «responsable del tratamiento» y «encargado del tratamiento» en el RGPD del CEPD determinan lo siguiente: “Corresponsables del tratamiento La figura de los corresponsables del tratamiento puede surgir cuando existen varios participantes en el tratamiento. El RGPD introduce disposiciones específicas sobre los corresponsables del tratamiento y establece un marco regulatorio para la relación entre estos. El criterio general para la existencia de la corresponsabilidad del tratamiento es la participación conjunta de dos o más entes en la determinación de los fines y los medios de una operación de tratamiento. La participación conjunta puede tomar la forma de una decisión común adoptada por dos o más entes o ser el resultado de la convergencia de decisiones de dos o más entes, siempre que dichas decisiones se C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 24/48 complementen entre sí y sean necesarias para que se lleve a cabo el tratamiento debido a que tienen un efecto tangible sobre la determinación de los fines y los medios del tratamiento. Un criterio importante para determinar la existencia de corresponsabilidad es la imposibilidad del tratamiento sin la participación de ambas partes, en el sentido de que los tratamientos por las distintas partes son inseparables los unos de los otros por estar indisolublemente unidos. La participación conjunta debe conllevar la determinación de los fines, por un lado, y de los medios, por otro. … El término conjuntamente debe interpretarse en el sentido de «junto con otros» o «no solo» y puede revestir distintas formas y combinaciones…. 53. Por otra parte, no todas las operaciones de tratamiento en las que participan varios entes dan lugar a una situación de corresponsabilidad. El criterio general para la existencia de la corresponsabilidad del tratamiento es la participación conjunta de dos o más entes en la determinación de los fines y los medios del tratamiento. En concreto, la participación conjunta debe conllevar la determinación de los fines, por un lado, y de los medios, por otro. Si cada uno de estos elementos es determinado por todos los entes en cuestión, estos deben considerarse corresponsables del tratamiento de que se trate. 54. La participación conjunta en la determinación de los fines y los medios implica que más de un ente influye de manera decisiva en la decisión de llevar a cabo el tratamiento y el modo de hacerlo. En la práctica, la participación conjunta puede revestir varias formas. Por ejemplo, puede tomar la forma de una decisión común adoptada por dos o más entes o ser el resultado de la convergencia de decisiones de dos o más entes en relación con los fines y los medios esenciales. 55. La participación conjunta por medio de una decisión común implica decidir conjuntamente y conlleva una intención común, y representa la interpretación más habitual del término conjuntamente incluido en el artículo 26 del RGPD. La participación conjunta como resultado de la convergencia de decisiones puede extraerse más concretamente de la jurisprudencia del TJUE sobre el concepto de «corresponsables del tratamiento». Puede considerarse que las decisiones convergen en los fines y los medios si se complementan entre sí y son necesarias para que tenga lugar el tratamiento de tal manera que tengan un efecto tangible en la determinación de los fines y los medios del tratamiento. Es necesario señalar que la noción de convergencia de decisiones debe considerarse en relación con los fines y los medios del tratamiento, con independencia de otros aspectos de la relación comercial entre las partes. En consecuencia, para identificar la convergencia de decisiones en este contexto, es importante preguntarse si el tratamiento no hubiera sido posible sin la participación de ambas partes en los fines y los medios, en el sentido de que los tratamientos por las distintas partes son inseparables los unos de los otros por estar indisolublemente unidos. La corresponsabilidad del tratamiento como consecuencia de la convergencia de decisiones debe distinguirse, sin embargo, de la figura del encargado del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 25/48 tratamiento, puesto que este, a pesar de participar en el tratamiento, no trata los datos para sus propios fines, sino que lleva a cabo el tratamiento por cuenta del responsable. (…) 59. Existe corresponsabilidad del tratamiento cuando los entes que participan en el mismo tratamiento lo llevan a cabo para unos fines definidos conjuntamente. Esto es así cuando los entes participantes tratan los datos para el mismo fin o para un fin común. 60. Además, en vista de la jurisprudencia del TJUE, es posible determinar la corresponsabilidad cuando los participantes persigan unos fines estrechamente vinculados o complementarios, aunque no compartan un mismo fin en el tratamiento.” En este sentido, se ha de partir de un concepto amplio del responsable del tratamiento, pues una interpretación contraria crearía un riesgo de elusión de las normas relativas a la protección de los datos personales, ya que su fin es garantizar una protección eficaz y completa de los interesados, tal y como establece la STJUE de 13 de mayo de 2014, en el asunto C-131/12, en su apartado 34. La STJUE de 5 de diciembre de 2023, en el asunto C-683/21 delimita cuándo nos encontramos ante corresponsables de un tratamiento: “41 Como ha declarado el Tribunal de Justicia, para poder ser considerada corresponsable del tratamiento, una persona física o jurídica debe responder, por tanto, de manera independiente a la definición de «responsable del tratamiento» que figura en el artículo 4, punto 7, del RGPD (véase, en este sentido, la sentencia de 29 de julio de 2019, Fashion ID, C 40/17, EU:C:2019:629, apartado 74). (…) 43 Como ha señalado el Abogado General en el punto 38 de sus conclusiones, la participación en la determinación de los fines y medios del tratamiento puede adoptar distintas formas y resultar tanto de una decisión común adoptada por dos o más entidades como de decisiones convergentes de esas entidades. Pues bien, en este último caso, dichas decisiones deben complementarse, de modo que cada una de ellas tenga un efecto concreto en la determinación de los fines y medios del tratamiento”. La STJUE de 11 de enero de 2024, en el asunto C-231/22, indica respecto de la existencia de corresponsabilidad que: “48 Además, el Tribunal de Justicia ha declarado, por una parte, que basta con que una persona influya, con sus propios fines, en el tratamiento de datos personales y participe por ello en la determinación de los fines y medios de dicho tratamiento para poder ser considerada corresponsable del tratamiento y, por otra parte, que la corresponsabilidad de varios agentes por un mismo tratamiento no presupone que cada uno de ellos tenga acceso a los datos personales de que se trate (véase, en este sentido, la sentencia de 5 de diciembre de 2023, Nacionalinis visuomenės sveikatos centras, C 683/21, EU:C:2023:949, apartados 40 a 43 y jurisprudencia citada)”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 26/48 De conformidad con la STJUE de 7 de marzo de 2024 (C-604/22) declara que incluso en los casos de corresponsabilidad habría responsabilidad del tratamiento por todos los responsables, aunque no necesariamente equivalente respecto de la misma operación de tratamiento: “58 A este respecto, si bien cada corresponsable del tratamiento debe responder de manera independiente a la definición de «responsable del tratamiento» del artículo 4, punto 7, del RGPD, la existencia de una responsabilidad conjunta no supone necesariamente que, con respecto a un mismo tratamiento de datos personales, los diversos agentes tengan una responsabilidad equivalente. Bien al contrario, los agentes pueden estar implicados en distintas etapas del tratamiento y en distintos grados, de modo que el nivel de responsabilidad de cada uno de ellos debe evaluarse teniendo en cuenta todas las circunstancias pertinentes del caso concreto. Además, la responsabilidad conjunta de varios agentes respecto a un mismo tratamiento en virtud de dicho precepto no presupone que cada uno de ellos tenga acceso a los datos personales en cuestión (véase, por analogía, la sentencia de 10 de julio de 2018, Jehovan todistajat, C 25/17, EU:C:2018:551, apartados 66 y 69 y jurisprudencia citada). 59. La participación en la determinación de los fines y medios del tratamiento puede adoptar distintas formas y resultar tanto de una decisión común adoptada por dos o más entidades como de decisiones convergentes de esas entidades. En este último caso, dichas decisiones deben complementarse, de modo que cada una de ellas tenga un efecto concreto en la determinación de los fines y medios del tratamiento. En cambio, no puede exigirse que exista un acuerdo formal entre dichos responsables del tratamiento en cuanto a los fines y medios del tratamiento (sentencia de 5 de diciembre de 2023, Nacionalinis visuomenės sveikatos centras, C-683/21, EU:C:2023:949, apartados 43 y 44) (…)”.” En atención a lo señalado y teniendo en cuenta los hechos objeto de reclamación, en el presente supuesto nos encontramos ante dos entidades, ULPIA y ***EMPRESA.1 que actúan como corresponsables del tratamiento de datos personales que es realizado a través de la aplicación ***APLICACIÓN.1. En lo que a este procedimiento interesa, este tratamiento afecta a datos personales contenidos en el DNI de los huéspedes de ULPIA, así como a sus datos biométricos a efectos de identificación. En consecuencia, en caso de confirmarse durante la instrucción que concurrió la infracción que se imputa mediante el presente acuerdo, ULPIA sería considerada corresponsable, con independencia de que no haya accedido a los datos personales proporcionados por sus huéspedes durante el proceso de check-in. IV Obligación incumplida. Minimización de datos La letra
13. c)del artículo 5.1 del RGPD propugna: "1. Los datos personales serán: (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 27/48
14. c)adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»);" El objetivo del citado principio de minimización de datos, como se desprende de la jurisprudencia del Tribunal de Justicia de la Unión Europea (asuntos C-708/18 y C524/06), es garantizar que el tratamiento de datos personales se limite estrictamente a la información que sea adecuada, pertinente y necesaria para alcanzar fines legítimos y previamente determinados. De esta forma, este principio busca prevenir el uso excesivo o desproporcionado de datos, y se reducen los riesgos de accesos indebidos, posibles abusos y vulneraciones de derechos. En el presente caso, quien reclama, después de reservar un alojamiento gestionado por ULPIA a través de una plataforma web, fue requerido para que se descargara la aplicación ***APLICACIÓN.1 y remitiera a través de la misma una fotografía del rostro y el documento de identidad escaneado por ambas caras, con la finalidad de realizar el check-in. ULPIA firmó un contrato con ***EMPRESA.1, en fecha 18 de junio de 2021, por el que se encomienda la realización del check-in de los huéspedes a la misma a través de la aplicación ***APLICACIÓN.1. La relación contractual que supone la estancia en un alojamiento justifica el tratamiento de datos personales de los clientes por ULPIA, siempre que resulten necesarios para el cumplimiento de las obligaciones que conlleva dicha estancia; pero no justifica el acceso a toda la información que contiene el documento de identidad del cliente y, menos aún, la solicitud de una fotografía o imagen de este documento sin que exista una base jurídica que así lo justifique. ULPIA señala en su escrito de contestación al requerimiento de información de 6 de mayo de 2024 a esta Agencia que “Dado que no hay contacto físico con el cliente ni por parte de ULPIA TRAJANA ALAMEDA S.L. ni de ***EMPRESA.1, la información debe entregarse on-line. Además, la aportación del DNI u otra documentación oficial es obligatoria, porque debe notificarse a la policía, de acuerdo con el artículo 25 de la Ley Orgánica 4/2015, de 30 de marzo, de protección de la seguridad ciudadana, además del Real Decreto 933/2021, de 26 de octubre, por el que se establecen las obligaciones de registro documental e información de las personas físicas o jurídicas que ejercen actividades de hospedaje y alquiler de vehículos a motor.” La normativa que regula los libros-registros y partes de entrada de huéspedes en establecimientos de hostelería, así como la obligación de comunicar la información contenida en las hojas-registro a las Fuerzas y Cuerpos de Seguridad del Estado, está constituida, básicamente, por la Ley Orgánica 4/2015, de 30 de marzo, de protección de la seguridad ciudadana (en adelante, LO 4/2015), y el Real Decreto 933/2021, de 26 de octubre, por el que se establecen las obligaciones de registro documental e información de las personas físicas o jurídicas que ejercen actividades de hospedaje y alquiler de vehículos a motor (en adelante, RD 933/2021). Primero, la actividad realizada por la ULPIA está incluida en el ámbito de aplicación de esta normativa, que va dirigida a las personas físicas o jurídicas que realicen C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 28/48 actividades de hospedaje. A estos efectos, el artículo 2 del RD 933/2021 establece lo siguiente: “Artículo 2. Definiciones. A los efectos de lo establecido en este real decreto, se consideran: 1. Actividades de hospedaje: las llevadas a cabo, de modo profesional o no, con la finalidad de proporcionar, a cambio de un precio, contraprestación o compensación, habitación o espacio para la pernoctación a las personas, con o sin otros servicios de carácter complementario. En todo caso, quedan incluidas en esta definición las siguientes actividades:
15. a)Las llevadas a cabo por establecimientos comerciales abiertos al público integrados en este sector conforme a la normativa dictada por la administración competente. Se incluyen dentro de este concepto los hoteles, hostales, pensiones, casas de huéspedes, establecimientos de turismo rural o análogos.
16. b)Las realizadas por campings y zonas de estacionamiento de autocaravanas, cualquiera que sea su titularidad o régimen de uso, apartamentos, bungalows y otros alojamientos similares de carácter turístico.
17. c)Las de los operadores turísticos que presten servicios de intermediación entrelas empresas dedicadas a la hospedería y los consumidores.
18. d)La actividad de las plataformas digitales dedicadas, a título oneroso o gratuito,a la intermediación en estas actividades a través de internet, presten o no el servicio subyacente objeto de mediación, siempre que ofrezcan servicios en España. 2. Actividades de alquiler de vehículos a motor sin conductor: (…) 3. Sujetos obligados: las personas físicas o jurídicas que desarrollen o intermedien en la realización de las actividades descritas.” El artículo 24 de la LO 4/2015 dispone en su apartado primero lo siguiente: “Las personas físicas o jurídicas que ejerzan actividades relevantes para la seguridad ciudadana, como las de hospedaje (…) quedarán sujetas a las obligaciones de registro documental e información en los términos que establezcan las disposiciones aplicables”. Estas obligaciones quedan fijadas actualmente por el mencionado RD 933/2021, al que hace referencia la reclamada, y cuyos artículos 4 y 5 disponen lo siguiente: Artículo 4. Partes de entrada en establecimientos de hospedaje y hojas de servicios en actividades de alquiler de vehículos. 1. Las personas titulares de las actividades de hospedaje y de alquiler de vehículos incluidos en el ámbito de aplicación de esta norma recogerán los datos de las personas usuarias de las mismas con el objeto de proceder a su registro y a la comunicación necesarias para el cumplimiento de las obligaciones legales que se desarrollan mediante este real decreto. (…) 3. Los partes y hojas serán proporcionados por el establecimiento de hospedaje o de alquiler de vehículos, los cuales serán responsables de la exactitud de los datos que se hagan constar en ellos, de modo que coincidan con los documentos o sistemas que acrediten la identidad de las personas, que habrán de ser exhibidos o facilitados por los usuarios de estos servicios. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 29/48 Artículo 5. Obligaciones de registro documental. 1. Los sujetos obligados habrán de llevar un registro informático en el que consten los datos que se relacionan en los anexos I y II, en función de la actividad que desarrollen, incluidos, en su caso, los datos de las personas menores de catorce años. 2. Los sujetos obligados deberán registrar y conservar aquellos datos de sus usuarios, comprendidos en los anexos I y II, que recaben en el ejercicio de su actividad, en los términos que se determinen. 3. Los datos del registro informático deberán conservarse durante un plazo de tres años a contar desde la finalización del servicio o prestación contratada. (…) Por otro lado, es el Anexo I. a), en su apartado 3 el que fija los datos de los huéspedes cuya recogida es obligatorio incorporar a la llamada “Hoja-registro” que la entidad responsable del hotel debe trasladar a las Fuerzas y Cuerpos de Seguridad del Estado, cuando se trata de establecimientos hosteleros profesionales. En concreto, son legalmente necesarios los siguientes datos del viajero: “
19. a)Nombre.
20. b)Primer apellido.
21. c)Segundo apellido.
22. d)Sexo.
23. e)Numero de documento de identidad.
24. f)Número de soporte del documento.
25. g)Tipo de documento (DNI, pasaporte, TIE).
26. h)Nacionalidad.
27. i)Fecha de nacimiento.
28. j)Lugar de residencia habitual.– Dirección completa.– Localidad.– País.
29. k)Teléfono fijo.
30. l)Teléfono móvil.
31. m)Correo electrónico.
32. n)Número de huéspedes.
33. o)Relación de parentesco entre los huéspedes (en el caso de que alguno sea menor de edad).” En consecuencia, de acuerdo con lo previsto en esta normativa, se deduce que la obligación de recabar y remitir los datos prescritos corresponde al sujeto obligado, esto es, al servicio de hospedaje en el presente caso y que no es obligatorio recoger, registrar ni comunicar a las autoridades competentes la imagen, fotocopia o imagen completa del documento de identidad de cada viajero, sino únicamente de algunos datos contenidos en el mismo como: nombre y apellidos, el número de identificación, el número de soporte, el tipo de documento (DNI; pasaporte…etc.), la nacionalidad, y la fecha de nacimiento. Por tanto, no legitima el tratamiento de datos personales consistente en recabar la copia completa del documento. Y entre esta información que ha de recabarse mucho menos se encuentra una foto selfie para reconocimiento facial. Y es que hay que tener en cuenta que la imagen o fotocopia del DNI del viajero (en sus dos caras), del pasaporte u otros documentos acreditativos de la identidad contiene datos personales que exceden de los exigidos en esta normativa, tales como: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 30/48 la imagen o cara del viajero, el número de equipo, o los nombres de los progenitores del viajero, sobre los que no concurre una obligación legal de recogida, registro, y comunicación, de acuerdo con la mencionada normativa. Todos ellos serían datos personales cuyo tratamiento implica un tratamiento excesivo que es contrario al principio de minimización de datos previsto en el artículo 5.1.
34. c)del RGPD. Al respecto, la obligación de comprobar la exactitud de los datos reflejados en el documento de identidad aportado por los clientes alojados, prevista en el artículo 4.3 del Real Decreto 933/2021, puede alcanzarse sin necesidad de que se tenga que requerir y almacenar la imagen del documento de identidad y la fotografía del rostro de sus clientes, debiendo ULPIA, como responsable del tratamiento, buscar alternativas de check-in que permitan cumplir con la referida normativa. Siendo así, la recogida de la fotografía del documento de identidad del cliente con toda la información contenida en ese documento y la solicitud de una fotografía de su persona para la autenticación biométrica del documento de identidad aportado podría entenderse, sin perjuicio de lo que resulte de la instrucción, como un tratamiento de datos personales inadecuados, no pertinentes y no necesarios para el fin específico del tratamiento, contrario a los principios de protección de datos, concretamente, al principio de “minimización de datos”, regulado en el artículo 5.1.
35. c)del RGPD. Por tanto, de conformidad con las evidencias de las que se dispone en este momento de acuerdo de inicio de procedimiento sancionador, se considera que los hechos conocidos podrían ser constitutivos de una infracción, imputable a ULPIA, por vulneración del artículo 5.1.
36. c)del RGPD. V Tipificación de la infracción del artículo 5.1.
37. c)del RGPD y calificación a efectos de prescripción El artículo 83.5 del RGPD tipifica como infracción administrativa la vulneración de los artículos siguientes, que se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: "
38. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9." Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A los solos efectos del plazo de prescripción, el artículo 72.1 de la LOPDGDD establece lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 31/48 "En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
39. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679." VI Propuesta de sanción A fin de determinar la multa administrativa a imponer se han de observar las previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan: “1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias. 2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
40. a)a
41. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
42. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
43. b)la intencionalidad o negligencia en la infracción;
44. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
45. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
46. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
47. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
48. g)las categorías de los datos de carácter personal afectados por la infracción;
49. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
50. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
51. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
52. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 32/48 Por su parte, el artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD dispone: “1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos en el apartado 2 del citado artículo. 2. De acuerdo a lo previsto en el artículo 83.2.
53. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
54. a)El carácter continuado de la infracción.
55. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
56. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
57. d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
58. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
59. f)La afectación a los derechos de los menores.
60. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
61. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado”. En el presente caso, considerando la gravedad de la posible infracción, atendiendo especialmente a las consecuencias que su comisión provoca en los afectados, correspondería la imposición de multa, además de la adopción de medidas, si procede. La multa que se imponga deberá ser, en cada caso individual, efectiva, proporcionada y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD. A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de conformidad con las evidencias de que se dispone en el presente momento de acuerdo de inicio de procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera que el balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 5.1.
62. c)del RGPD, permite fijar inicialmente una sanción de multa administrativa de 1.000,00 euros. VII Obligación incumplida. Tratamiento de categorías especiales de datos personales El artículo 9 del RGPD, que regula el tratamiento de categorías especiales de datos personales, establece lo siguiente: "1. Quedan prohibidos el tratamiento de datos personales que revelen el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical, y el tratamiento de datos genéticos, datos biométricos dirigidos a identificar C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 33/48 de manera unívoca a una persona física, datos relativos a la salud o datos relativos a la vida sexual o la orientación sexual de una persona física. 2. El apartado 1 no será de aplicación cuando concurra una de las circunstancias siguientes:
63. a)el interesado dio su consentimiento explícito para el tratamiento de dichos datos personales con uno o más de los fines especificados, excepto cuando el Derecho de la Unión o de los Estados miembros establezca que la prohibición mencionada en el apartado 1 no puede ser levantada por el interesado;
64. b)el tratamiento es necesario para el cumplimiento de obligaciones y el ejercicio de derechos específicos del responsable del tratamiento o del interesado en el ámbito del Derecho laboral y de la seguridad y protección social, en la medida en que así lo autorice el Derecho de la Unión o de los Estados miembros o un convenio colectivo con arreglo al Derecho de los Estados miembros que establezca garantías adecuadas del respeto de los derechos fundamentales y de los intereses del interesado;
65. c)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física, en el supuesto de que el interesado no esté capacitado, física o jurídicamente, para dar su consentimiento;
66. d)el tratamiento es efectuado, en el ámbito de sus actividades legítimas y con las debidas garantías, por una fundación, una asociación o cualquier otro organismo sin ánimo de lucro, cuya finalidad sea política, filosófica, religiosa o sindical, siempre que el tratamiento se refiera exclusivamente a los miembros actuales o antiguos de tales organismos o a personas que mantengan contactos regulares con ellos en relación con sus fines y siempre que los datos personales no se comuniquen fuera de ellos sin el consentimiento de los interesados;
67. e)el tratamiento se refiere a datos personales que el interesado ha hecho manifiestamente públicos;
68. f)el tratamiento es necesario para la formulación, el ejercicio o la defensa de reclamaciones o cuando los tribunales actúen en ejercicio de su función judicial;
69. g)el tratamiento es necesario por razones de un interés público esencial, sobre la base del Derecho de la Unión o de los Estados miembros, que debe ser proporcional al objetivo perseguido, respetar en lo esencial el derecho a la protección de datos y establecer medidas adecuadas y específicas para proteger los intereses y derechos fundamentales del interesado;
70. h)el tratamiento es necesario para fines de medicina preventiva o laboral, evaluación de la capacidad laboral del trabajador, diagnóstico médico, prestación de asistencia o tratamiento de tipo sanitario o social, o gestión de los sistemas y servicios de asistencia sanitaria y social, sobre la base del Derecho de la Unión o de los Estados miembros o en virtud de un contrato con un profesional sanitario y sin perjuicio de las condiciones y garantías contempladas en el apartado 3;
71. i)el tratamiento es necesario por razones de interés público en el ámbito de la salud pública, como la protección frente a amenazas transfronterizas graves para la salud, o C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 34/48 para garantizar elevados niveles de calidad y de seguridad de la asistencia sanitaria y de los medicamentos o productos sanitarios, sobre la base del Derecho de la Unión o de los Estados miembros que establezca medidas adecuadas y específicas para proteger los derechos y libertades del interesado, en particular el secreto profesional;
72. j)el tratamiento es necesario con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, sobre la base del Derecho de la Unión o de los Estados miembros, que debe ser proporcional al objetivo perseguido, respetar en lo esencial el derecho a la protección de datos y establecer medidas adecuadas y específicas para proteger los intereses y derechos fundamentales del interesado. 3. Los datos personales a que se refiere el apartado 1 podrán tratarse a los fines citados en el apartado 2, letra h), cuando su tratamiento sea realizado por un profesional sujeto a la obligación de secreto profesional, o bajo su responsabilidad, de acuerdo con el Derecho de la Unión o de los Estados miembros o con las normas establecidas por los organismos nacionales competentes, o por cualquier otra persona sujeta también a la obligación de secreto de acuerdo con el Derecho de la Unión o de los Estados miembros o de las normas establecidas por los organismos nacionales competentes. 4. Los Estados miembros podrán mantener o introducir condiciones adicionales, inclusive limitaciones, con respecto al tratamiento de datos genéticos, datos biométricos o datos relativos a la salud." El RGPD define en su artículo 4.14 los datos biométricos como unos datos personales resultantes o producto de procesamientos técnicos, según su literal “datos personales obtenidos a partir de un tratamiento técnico específico, relativos a las características físicas, fisiológicas o conductuales de una persona física que permitan o confirmen la identificación única de dicha persona, como imágenes faciales o datos dactiloscópicos”. Los datos biométricos son un tipo de datos personales generados durante el tratamiento técnico de características biométricas con fines de reconocimiento biométrico. Resulta pues que se definen por su misma finalidad de permitir la identificación o confirmar/verificar la misma, con el añadido en cualquiera de los dos casos, de ser “única de dicha persona”, en el caso planteado en la reclamación origen de este acuerdo de inicio de procedimiento sancionador, partiendo de dos imágenes, la del DNI y una foto como en este caso. El término "biometría" deriva de las palabras griegas "bio" (vida) y "métricas" (medición), lo que refleja su enfoque en la medición y análisis de rasgos biológicos. Reconocimiento biométrico es el reconocimiento automatizado de las personas en función de sus características biológicas y de comportamiento. A diferencia de las formas tradicionales de autenticación, que se basan en el conocimiento (por ejemplo, contraseñas) o la posesión (por ejemplo, tarjetas de identificación), la biometría autentica e identifica a las personas en función de quiénes C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 35/48 son, aprovechando atributos físicos o de comportamiento únicos. Los datos biométricos son un tipo de datos personales generados durante el tratamiento técnico de características biométricas con fines de reconocimiento biométrico. Mientras que los métodos tradicionales de autenticación como las contraseñas requieren una coincidencia del 100% de carácter por carácter para permitir que el usuario acceda por ejemplo a una cuenta o aplicación (métodos deterministas), los métodos de biometría se denominan “probabilísticos”, porque son tecnologías probabilísticas que pueden reconocer automáticamente a las personas por su rostro o por su huella para autenticarlas o identificarlas (punto 23 del Dictamen 11/2024 sobre el uso del reconocimiento facial para racionalizar el flujo de pasajeros en aeropuertos). Tanto en el sistema de identificación como de autenticación (verificación) biométrica, las técnicas de reconocimiento facial utilizadas se basan en una concordancia estimada entre plantillas: la que se compara y la de referencia que puede haber sido previamente registrada. Desde este punto de vista, son técnicas probabilísticas: la comparación deduce una probabilidad mayor o menor de que la persona sea efectivamente quien se ha de autenticar o identificar; si esta probabilidad supera un determinado umbral en el sistema, definido por su usuario o su desarrollador, el sistema entenderá que existe una coincidencia. El Comité Europeo de Protección de Datos (CEPD) denomina esta probabilidad sobre la incertidumbre del resultado que no es definitivo por cuanto se basa en probabilidades de que dos caras o imágenes de caras correspondan a la misma persona como “puntuación de confianza” (27 de las Directrices 5/2022 sobre el uso del reconocimiento facial en la aplicación de la Ley). Un sistema biométrico trabaja con los datos biométricos obtenidos de una persona, a partir de los cuales un algoritmo selecciona características para crear una plantilla biométrica. A continuación, el sistema coteja la identidad de la persona con la base de datos biométrica. Puede hacerlo en un segundo, mientras compara cientos de millones de datos biométricos en la base de datos La definición se acota más con el considerando 51 del RGPD, relativo a los datos personales que, “por su naturaleza, son particularmente sensibles en relación con los derechos y las libertades fundamentales…” y en concreto sobre las fotografías, como las que utiliza el reclamado en el proceso de realización del check-in, indicándose: “Especial protección merecen los datos personales que, por su naturaleza, son particularmente sensibles en relación con los derechos y las libertades fundamentales, ya que el contexto de su tratamiento podría entrañar importantes riesgos para los derechos y las libertades fundamentales. (…). El tratamiento de fotografías no debe considerarse sistemáticamente tratamiento de categorías especiales de datos personales, pues únicamente se encuentran comprendidas en la definición de datos biométricos cuando el hecho de ser tratadas con medios técnicos específicos permita la identificación o la autenticación unívocas de una persona física. Tales datos personales no deben ser tratados, a menos que se permita su tratamiento en situaciones específicas contempladas en el presente Reglamento, habida cuenta de que los Estados miembros pueden establecer disposiciones específicas sobre protección de datos con objeto de adaptar la aplicación de las normas del presente C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 36/48 Reglamento al cumplimiento de una obligación legal o al cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento. Además de los requisitos específicos de ese tratamiento, deben aplicarse los principios generales y otras normas del presente Reglamento, sobre todo en lo que se refiere a las condiciones de licitud del tratamiento. Se deben establecer de forma explícita excepciones a la prohibición general de tratamiento de esas categorías especiales de datos personales, entre otras cosas cuando el interesado dé su consentimiento explícito o tratándose de necesidades específicas, en particular cuando el tratamiento sea realizado en el marco de actividades legítimas por determinadas asociaciones o fundaciones cuyo objetivo sea permitir el ejercicio de las libertades fundamentales”. Los sistemas de procesamiento de datos biométricos se basan en recoger y procesar datos personales relativos a las características físicas, fisiológicas o conductuales de las personas físicas, entre las que cabe incluir las de la voz o de la cara mediante dispositivos o sensores, creando plantillas biométricas (también denominadas firmas o patrones) que posibilitan la identificación, seguimiento o perfilado de dichas personas. Ha de señalarse, por otro lado, que el proceso de identificación incluye necesariamente la realización de varias operaciones de tratamiento (recogida o captura de datos, registro, almacenamiento, procesamiento, comparación, autenticación, conservación, supresión, limitación…etc.) Durante la fase de registro de datos biométricos, la información discriminante e identificativa que contiene una cara se extrae para transformarse en datos biométricos legibles por máquina. Es precisamente esta información la que permitirá la individualización e identificación de los individuos. Una plantilla biométrica, o vector facial, es una forma de escritura de una característica biométrica humana, como un rostro, una huella dactilar, la voz de una persona, de manera que sea interpretable por una máquina de forma eficiente y eficaz para un propósito o propósitos determinados. La plantilla biométrica no está orientada a ser interpretada por una persona, como una fotografía, sino que está orientada a ser tratada en un proceso automatizado, es decir, ser eficiente y eficazmente interpretable por una máquina. Este registro tanto mediante su almacenamiento como su cotejo en tiempo real puede permitir singularizar a una persona. La plantilla biométrica es el resultado de un procesamiento de datos biométricos y contiene las características personales de los parámetros capturados del usuario, es una representación digital de las características únicas que se han extraído de una muestra biométrica y pueden o no almacenarse en una base de datos, en una tarjeta, en el propio dispositivo (tablet, móvil). Los datos biométricos presentan la particularidad de ser producidos por el propio cuerpo y lo caracterizan definitivamente, son datos no sobre esa persona, sino que los datos refieren a la misma persona, sus identificadores biométricos son medidas de información inherentemente privada, en principio no modificables por voluntad del individuo, ni la persona puede ser liberada de ellos. Cada estructura facial de cada persona es única para esa persona. Además, debido a que los datos biométricos son propios de una persona y perpetuos, el usuario utiliza los mismos datos en diferentes sistemas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 37/48 Por lo tanto, son únicos, permanentes en el tiempo y la persona no puede liberarse de ellos, no se pueden cambiar nunca, ni con la edad, creando cuestiones de responsabilidad en caso de compromiso, pérdida o intrusión en el sistema, suponiendo un específico y significativo riesgo para las personas. Ello significa que, si el dato biométrico se pierde, se roba o se usa inapropiadamente, a diferencia de un PIN o contraseña, no podría ser cambiado o variado, teniendo acceso a todos los dispositivos o cuentas que asegurara dicho identificador. La inmutabilidad de los identificadores biométricos expone a las personas que los emplean a repetidos casos de fraude. Debido a sus especiales características, puede afirmarse que, cuando son comprometidos, estos datos tienen un impacto más significativo en el derecho fundamental a la protección de datos de su titular en comparación con otro tipo de datos personales. De ahí la especial relevancia que ha otorgarse a las garantías que se adopten en su tratamiento debido que la incidencia, especialmente significativa, en el derecho fundamental a la protección de datos personales de su titular. Datos biométricos es un término genérico que describe los diferentes formatos resultantes de la transformación de las características biométricas para medirlas. El término abarca la muestra (no transformada) y las características extraídas de la muestra o plantilla (reducción de las características biométricas en un patrón matemático). El término “muestra biométrica”, hace referencia a la captura de una muestra del individuo extraída de esa característica biométrica (la cara). El registro de datos biométricos de una persona en una base de datos se denomina “referencia biométrica”. La muestra biométrica se presenta a comparación con la referencia biométrica y busca coincidencias, en este caso, entre las fotografías, devolviendo un identificador para cualquier referencia que coincida. Naturalmente, la referencia biométrica en la comparación facial será la foto del DNI, documento oficial que proclama la titularidad de una identidad personal oficial. Así, cabe recordar que,
73. i)al definir los datos biométricos, el artículo 4.14 RGPD se refiere a datos que “permitan o confirmen la identificación única”
74. ii)que el artículo 9, a la hora de calificar como categoría especial de datos personales a los datos biométricos, establece como única “condición” que tengan como objetivo la identificación unívoca de una persona física y iii) que la confirmación de la identificación unívoca de un individuo se da tanto en los supuestos de identificación como de autenticación, conforme se desprende también del considerando 51 del RGPD, al referirse a las fotografías como posibilidad de ser datos biométricos, “únicamente se encuentran comprendidas en la definición de datos biométricos cuando el hecho de ser tratadas con medios técnicos específicos permita la identificación o la autenticación unívocas de una persona física.” Técnicamente, la plantilla biométrica o el vector facial que se extrae de la cara de la fotografía del DNI contra el vector facial que se extrae de la fotografía que se solicita a los clientes, que resultan cotejados entre si son la muestra de que se produce una C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 38/48 medición que identifica unívoca y únicamente a cada individuo del que se toman las muestras biométricas. Por lo tanto, ha concluirse que el tratamiento de datos biométricos constituye un tratamiento de categorías especiales de datos. Una conclusión que ha sido incorporada por el Comité Europeo de Protección de Datos (CEPD) en sus Directrices 5/2022 sobre el uso de la tecnología de reconocimiento facial en el ámbito de la aplicación de la ley, y por la propia AEPD en la guía sobre tratamientos de control de presencia mediante sistemas biométricos mencionada por la parte reclamada. En este caso, en la captura de pantalla de la aplicación ***APLICACIÓN.1 aportada por la parte reclamante se especifica la siguiente información: “Realiza el check-in validando tu identidad y documentación” y en la imagen del móvil se observa un espacio para subir una foto de la cara frontal del DNI, otra foto de la cara trasera y, por último, una foto selfie para identificación facial. Asimismo, ***EMPRESA.1 confirma en su contestación que, efectivamente, se requirió el DNI junto a la fotografía a efectos de la autenticación biométrica: “(…) El proveedor más determinante respecto al proceso de check-in en la app ***APLICACIÓN.1 se trata de ***EMPRESA.2, que permite la comprobación de la validez de los documentos de identidad aportados por los clientes alojados, la lectura de los datos necesarios para rellenar los partes de entrada de viajeros, así como la autenticación biométrica de los mismos comprobando mediante foto desde sus teléfonos inteligentes que la persona que se registra es la misma que la que aporta el documento de identidad (…).” ***EMPRESA.1 describe el proceso de autenticación biométrica en los siguientes pasos: 1) Se captura la imagen del DNI 2) Se captura la imagen del usuario (selfi) 3) Se aplican los algoritmos biométricos para comparar el grado de coincidencia entre la imagen del DNI y el selfi. 4) Se devuelve un score que indica el grado de confianza de que se trate de la misma persona. 5) No se registra ningún patrón biométrico o similar, ni se realiza ningún otro tipo de búsqueda o comparativa biométrica. Las imágenes y los datos utilizados en la autenticación biométrica son eliminados de forma inmediata y automática al finalizar el proceso. Así, pues, se crean unos vectores biométricos en cada una de las imágenes, comparando posteriormente los mismos, el de la foto con la del DNI, con lo que se consigue una verificación del cliente partiendo de un documento público oficial que acredita la identidad de la persona. Aunque ***EMPRESA.1 indica que “una vez realizada la verificación biométrica se valida el proceso para que la persona pueda continuar con el checkin y se eliminan las dos imágenes”, la eliminación de las fotografías no resulta indispensable para que se haya producido procesamientos técnicos del rasgo biométrico de la cara, que supone C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 39/48 un tratamiento de datos personales calificados como de categoría especial, encaminado a identificar y verificar al cliente. De lo señalado en los apartados anteriores cabe concluir que, en el caso analizado en el presente acuerdo de inicio de procedimiento sancionador, nos encontramos ante el tratamiento de una categoría especial datos personales biométricos. El artículo 9.1 del RGPD, antes mencionado, al definir las categorías especiales de datos, parte del principio general de prohibición de su tratamiento. Únicamente cabe excepcionar la prohibición de tratamiento de los datos de categoría especial cuando concurra alguna de las circunstancias que se especifican en el apartado 2 del art. 9 del RGPD. Según la información obrante en el expediente y que ha quedado reflejado en los antecedentes, ***EMPRESA.1 no consideraba que los datos personales objeto de tratamiento constituían categorías especiales de datos y, por lo tanto, no ha determinado la existencia de alguna de las circunstancias previstas en el art. 9.2 del RGPD para el levantamiento de la prohibición general de tratamiento de categorías especiales de datos y que ha considerado que el tratamiento realizado no afecta a dicha tipología de datos. En el análisis de la aplicación de dichas circunstancias es importante recordar que el TJUE ya se ha pronunciado sobre el carácter restrictivo que debe otorgarse a las excepciones a la prohibición de tratamiento de las categorías especiales de datos. Por ejemplo, en su sentencia de 4/07/2023, dictada en el asunto C 252/21, en la que indica lo siguiente: 76 Por otra parte, en la medida en que establece una excepción al principio de prohibición del tratamiento de categorías especiales de datos personales, el artículo 9, apartado 2, del RGPD debe interpretarse de manera restrictiva (véanse, en este sentido, las sentencias de 17 de septiembre de 2014, Baltic Agro, C 3/13, EU:C:2014:2227, apartado 24 y jurisprudencia citada, y de 6 de junio de 2019, Weil, C 361/18, EU:C:2019:473, apartado 43 y jurisprudencia citada). Teniendo en cuenta lo anterior y que el reclamado no ha especificado la circunstancia que entiende le habilita para el tratamiento de datos personales de categoría especial del reclamante, ha de entenderse que, sin perjuicio de lo que resulte de la instrucción, no se cumpliría con lo dictaminado por el artículo 9.2 RGPD. Por tanto, de conformidad con las evidencias de las que se dispone en este momento de acuerdo de inicio de procedimiento sancionador, se considera que los hechos conocidos podrían ser constitutivos de una infracción, imputable a ULPIA TRAJANA ALAMEDA, por vulneración del artículo transcrito anteriormente. VIII Tipificación de la infracción del artículo 9 del RGPD y calificación a efectos de prescripción C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 40/48 El artículo 83.5 del RGPD tipifica como infracción administrativa la vulneración del artículo siguiente, que se sancionará, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: "
75. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;" Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A los solos efectos del plazo de prescripción, el artículo 72.1 de la LOPDGDD establece lo siguiente: "En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
76. e)El tratamiento de datos personales de las categorías a las que se refiere el artículo 9 del Reglamento (UE) 2016/679, sin que concurra alguna de las circunstancias previstas en dicho precepto y en el artículo 9 de esta ley orgánica." IX Propuesta de sanción A fin de determinar la multa administrativa a imponer se han de observar las previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan: “1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias. 2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
77. a)a
78. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
79. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
80. b)la intencionalidad o negligencia en la infracción;
81. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 41/48
82. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
83. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
84. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
85. g)las categorías de los datos de carácter personal afectados por la infracción;
86. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
87. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
88. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
89. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción”. Por su parte, el artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD dispone: “1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos en el apartado 2 del citado artículo. 2. De acuerdo a lo previsto en el artículo 83.2.
90. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
91. a)El carácter continuado de la infracción.
92. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
93. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
94. d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
95. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
96. f)La afectación a los derechos de los menores.
97. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
98. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado”. En el presente caso, considerando la gravedad de la posible infracción, atendiendo especialmente a las consecuencias que su comisión provoca en los afectados, correspondería la imposición de multa, además de la adopción de medidas, si procede. La multa que se imponga deberá ser, en cada caso individual, efectiva, proporcionada y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 42/48 A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de conformidad con las evidencias de que se dispone en el presente momento de acuerdo de inicio de procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera que el balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 9 del RGPD, permite fijar inicialmente una sanción de multa administrativa de 1.500,00 euros. X Medidas correctivas De confirmarse la infracción, la resolución que se dicte podrá establecer las medidas correctivas que la entidad infractora deberá adoptar para poner fin al incumplimiento de la legislación de protección de datos personales, en este caso del Artículo 5.1.
99. c)del RGPD, de acuerdo con lo establecido en el citado artículo 58.2.
100. d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…” Así, se podrá requerir a la entidad responsable para que adecúe su actuación a la normativa de protección de datos personales, con el alcance expresado en los anteriores Fundamentos de Derecho. En el presente acto se establece cuál es la presunta infracción cometida y los hechos que podrían dar lugar a esa posible vulneración de la normativa de protección de datos, de lo que se infiere con claridad cuáles son las medidas a adoptar, sin perjuicio de que el tipo de procedimientos, mecanismos o instrumentos concretos para implementarlas corresponda a la parte sancionada, pues es el responsable del tratamiento quien conoce plenamente su organización y ha de decidir, en base a la responsabilidad proactiva y en enfoque de riesgos, cómo cumplir con el RGPD y la LOPDGDD. No obstante, en este caso, con independencia de lo anterior, de conformidad con las evidencias de que se dispone en el presente momento de acuerdo de inicio de procedimiento sancionador, en la resolución que se adopte se podrá requerir a ULPIA para que, en el plazo de 3 meses, a contar desde la fecha de ejecutividad de la resolución finalizadora de este procedimiento: - Adopte las medidas necesarias con el fin de evitar la exigencia a los huéspedes de una copia de su Documento de identidad y de su imagen para poder alojarse. Cese las actividades que involucran el tratamiento de datos biométricos o cumplir con los requisitos previstos en el RGPD, incluyendo la realización y superación de una evaluación de Impacto de protección de Datos (EIPD). La imposición de esta medida es compatible con la sanción consistente en multa administrativa, según lo dispuesto en el art. 83.2 del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 43/48 Se advierte que no atender la posible orden de adopción de medidas impuestas por este organismo en la resolución del presente procedimiento sancionador podrá ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. Asimismo, se recuerda que ni el reconocimiento de la infracción cometida ni, en su caso, el pago voluntario de las cuantías propuestas, eximen de la obligación de adoptar las medidas pertinentes para que cese la conducta o se corrijan los efectos de la infracción c