1/8 Procedimiento nº.: E/07044/2019 ASUNTO: Recurso de Reposición Nº RR/00397/2020 Examinado el recurso de reposición interpuesto por D. A.A.A. contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos en el expediente de actuaciones previas de inspección E/07044/2019, y en base a los siguientes HECHOS PRIMERO: Con fecha 21 de julio de 2020, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el expediente de actuaciones previas de inspección E/07044/2019, procediéndose al archivo de actuaciones en aplicación del principio de presunción de inocencia. Dicha resolución, que fue notificada al recurrente en fecha 21/07/2020, según aviso de recibo que figura en el expediente. SEGUNDO: D. A.A.A. (en lo sucesivo el recurrente) ha presentado en esta Agencia, en fecha 21/08/2020, recurso de reposición, fundamentándolo básicamente en las alegaciones formuladas con anterioridad ante la AEPD y, además, manifestando su disconformidad con la resolución dictada no compartiendo las apreciaciones y fundamentos de la misma al basarse en hechos que no son ciertos y que la Agencia no ha velado por el derecho a la protección de datos del menor, su hijo. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP). II La resolución recurrida se fundamentaba en lo siguiente: “II El reclamante ha manifestado a que se tomó la huella de su hijo sin su consentimiento, no habiéndosele facilitado el acceso a los datos que le fueron recabados y que el procedimiento de acceso a las instalaciones es totalmente desproporcionado al no existir otro método alternativo para acceder a las mismas. En primer lugar, hay que señalar que de la documentación aportada y de las actuaciones realizadas por los servicios de inspección de este centro directivo se constata que la toma de la huella del menor fue producto de un error y que detectado el mismo fue subsanado de manera inmediata eliminando los datos de carácter C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/8 personal, sin que se hubiera procedido a tratamiento posterior alguno de los mismos por parte de la Comunidad. Además, se informó al reclamante de la incidencia producida así como del procedimiento para el ejercicio de sus derechos sin que exista constancia de que el afectado hubiera ejercitado el derecho de acceso. Por tanto, los hechos acaecidos implicarían un resultado no perseguido y por tanto, la comisión de un error. Hemos de tener en cuenta que, como pone de manifiesto la Audiencia Nacional, y en la medida en que no concurre voluntariedad en el acto, que no se ha producido un resultado especialmente lesivo, y que no consta la falta de cuidado en la actuación generalizada de la comunidad reclamada en sus funciones, sería contrario a la naturaleza del ámbito sancionador administrativo, sujeto a los principios de intervención mínima y proporcionalidad, imponer una sanción al respecto del acto producido, que puede resumirse en un mero error no merecedor de actuación sancionadora. En este mismo sentido, la Sentencia de la Audiencia Nacional de 14 de diciembre de 2006, recurso nº 1363/2005, señala en sus Fundamentos Jurídicos lo siguiente: “La resolución del presente recurso pasa por recordar, en primer lugar, que la culpabilidad es un elemento indispensable para la sanción que se le ha impuesto a la actora, tal como lo prescribe el artículo 1301.1 de la Ley 30/1.992 de 26 de noviembre, que establece que sólo pueden ser sancionados por hechos constitutivos de infracción administrativa los responsables de los mismos, aún a título de simple inobservancia. Se ha de hacer hincapié en que esa simple inobservancia no puede ser entendida que en el derecho administrativo sancionador rija la responsabilidad objetiva. Efectivamente, en materia sancionadora rige el principio de culpabilidad (SsTC 15/1999, de 4 de julio; 76/1990, de 26 de abril; y 246/1991, de 19 de diciembre), lo que significa que ha de concurrir alguna clase de dolo o culpa. Como dice la sentencia del Tribunal Supremo de 23 de enero de 1998 , "...puede hablarse de una decidida línea jurisprudencial que rechaza en el ámbito sancionador de la Administración la responsabilidad objetiva, exigiéndose la concurrencia de dolo o culpa, en línea con la interpretación de la STC 76/1990, de 26 de abril , al señalar que el principio de culpabilidad puede inferirse de los principios de legalidad y prohibición de exceso (artículo 25 de la Constitución) o de las exigencias inherentes al Estado de Derecho". III En segundo lugar, el reclamante hace referencia a la instalación de un control de acceso al club social basado en la huella dactilar sin que se ofrezca otra alternativa al citado sistema de acceso. Sin embargo, el reclamado ha indicado que en la situación actual para el acceso a las instalaciones entre las que se encuentra el servicio de piscina, se encuentran activados dos sistemas de control: por huella dactilar y por carné con fotografía que el controlador empleado compara con la fotografía almacenada en la base de datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/8 En cuanto al establecimiento de un sistema de control basado en la huella dactilar, los datos biométricos están estrechamente vinculados a una persona dado que pueden utilizar una determinada propiedad única de un individuo para su identificación o autenticación. Según el Dictamen 3/2012 sobre la evolución de las tecnologías biométricas, “Los datos biométricos cambian irrevocablemente la relación entre el cuerpo y la identidad, ya que hacen que las características del cuerpo humano sean legibles mediante máquinas y estén sujetas a un uso posterior.” En relación con ellos, el Dictamen precisa que cabe distinguir diversos tipos de tratamientos al señalar que “Los datos biométricos pueden tratarse y almacenarse de diferentes formas. A veces, la información biométrica capturada de una persona se almacena y se trata en bruto, lo que permite reconocer la fuente de la que procede sin conocimientos especiales; por ejemplo, la fotografía de una cara, la fotografía de una huella dactilar o una grabación de voz. Otras veces, la información biométrica bruta capturada es tratada de manera que solo se extraen ciertas características o rasgos y se salvan como una plantilla biométrica.” Los datos biométricos los define el artículo 4.14 del RGPD: «datos biométricos»: datos personales obtenidos a partir de un tratamiento técnico específico, relativos a las características físicas, fisiológicas o conductuales de una persona física que permitan o confirmen la identificación única de dicha persona, como imágenes faciales o datos dactiloscópicos; El tratamiento de estos datos está expresamente permitido por el RGPD cuando el empresario cuenta con una base jurídica, que de ordinario es el propio contrato de trabajo. A este respecto, la STS de 2 de julio de 2007 (Rec. 5017/2003), que ha entendido legitimo el tratamiento de los datos biométricos que realiza la Administración para el control horario de sus empleados públicos, sin que sea preciso el consentimiento previo de los trabajadores. Sin embargo, debe tenerse en cuenta lo siguiente: El afectado al que se recogen las huellas para acceder a la piscina debe ser informado sobre estos tratamientos. Deben respetarse los principios de limitación de la finalidad, necesidad, proporcionalidad y minimización de datos. En todo caso, el tratamiento también deberá ser adecuado, pertinente y no excesivo en relación con dicha finalidad. Por tanto, los datos biométricos que no sean necesarios para esa finalidad deben suprimirse y no siempre se justificará la creación de una base de datos biométricos (Dictamen 3/2012 del Grupo de Trabajo del art. 29). En relación con estos principios, la Sentencia de la Audiencia Nacional, de 19 de diciembre de 2019, señala lo siguiente: “Respecto a si la medida se considera necesaria para satisfacer dicha necesidad, o si es esencial para responder a dicha necesidad y no sólo la más adecuada o rentable, hay que señalar que la implantación del sistema, como reiteradamente ha sostenido la parte a lo largo del procedimiento, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/8 no obedece a razones de comodidad, sino a evitar que pretendan acceder al gimnasio personas ajenas al mismo, ya que se evita llevar tarjetas, pulseras o dispositivos que pueden ser intercambiados con otros usuarios dando lugar a intrusismo y fraude, redundando su uso en un aumento de la calidad del servicio y seguridad de los clientes y de la propia empresa (…).” Y añade “Enlazamos así con el principio de proporcionalidad estrictu sensu, pues las garantías adoptadas en el sistema de tratamiento de la huella por parte de la entidad recurrente son relevantes a la hora de valorar la injerencia en el derecho fundamental de protección de datos y en la proporcionalidad de la medida. A tal fin debe tomarse en consideración que la entidad recurrente se ha preocupado por la confidencialidad con la conversión de la huella a su algoritmo y no ha conservado en el sistema la huella o puntos de la misma, sino el algoritmo, tratando de minimizar así la injerencia en el derecho fundamental. A lo anterior hay que añadir que los datos son recogidos para el acceso y uso del gimnasio y los socios no pueden ser identificados para otros fines distintos a dicho acceso (…).” Uso de plantillas biométricas: Los datos biométricos deberán almacenarse como plantillas biométricas siempre que sea posible. La plantilla deberá extraerse de una manera que sea específica para el sistema biométrico en cuestión y no utilizada por otros responsables del tratamiento de sistemas similares a fin de garantizar que una persona solo pueda ser identificada en los sistemas biométricos que cuenten con una base jurídica para esta operación. El sistema biométrico utilizado y las medidas de seguridad elegidas deberán asegurarse de que no es posible la reutilización de los datos biométricos en cuestión para otra finalidad. Deberán utilizarse mecanismos basados en tecnologías de cifrado, a fin de evitar la lectura, copia, modificación o supresión no autorizadas de datos biométricos. Los sistemas biométricos deberán diseñarse de modo que se pueda revocar el vínculo de identidad. Deberá optarse por utilizar formatos de datos o tecnologías específicas que imposibiliten la interconexión de bases de datos biométricos y la divulgación de datos no comprobada. Los datos biométricos deben ser suprimidos cuando no se vinculen a la finalidad que motivó su tratamiento y, si fuera posible, deben implementarse mecanismos automatizados de supresión de datos. Por otra parte, la legitimación para el tratamiento de la huella dactilar para el acceso a las instalaciones por parte del reclamado debemos buscarlo en el artículo 9 y 6 del RGPD. El artículo 9 del RGPD establece en sus apartados 1 y 2.
Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.