1/4 Procedimiento nº.: PS/00002/2018 ASUNTO: Recurso de Reposición Nº RR/00512/2018 Examinado el recurso de reposición interpuesto por la entidad FITNESS MURCIA PROMOTIONS, S.L. contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00002/2018, y en base a los siguientes HECHOS PRIMERO: Con fecha 14/06/2018, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00002/2018, en virtud de la cual se imponía a FITNESS MURCIA PROMOTIONS, S.L., una sanción de 1.500 €, por la vulneración de lo dispuesto en el artículo 4.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), infracción tipificada como grave en el artículo 44.3.c), de conformidad con lo establecido en el artículo 45.1), 2), 4.b, j, e, y 5.
- a)de la citada LOPD. Dicha resolución, que fue notificada a la denunciada, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en el artículo 127 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 de diciembre. SEGUNDO: Como hechos probados del citado procedimiento sancionador, PS/00002/2018, quedó constancia de los siguientes: 1) El denunciante en el momento de la denuncia es socio usuario del gimnasio QUO FITNESS en Murcia, titularidad de FITNES MURCIA PROMOTIONS SL (la denunciada) y utilizaba el sistema de entrada al gimnasio mediante pulsera, y se verifica que el 2/02/2017 el acceso al centro solo se puede hacer a través de la huella dactilar. 2) La denunciada tiene inscrito el fichero CLIENTES en el que entre otros, se almacena la huella. 3) Cuando se toman los datos de las huella al socio del gimnasio, no se guarda esta sino que se genera una plantilla numérica utilizando algunos puntos de la huella generados a partir de algoritmos matemáticos, creando así un código único para cada huella. 4) No consta que los puntos de la huella recogida de los usuarios del gimnasio se almacenen encriptados en una tarjeta que porte el mismo usuario, sino que se almacenen por parte del responsable del fichero FITNES MURCIA PROMOTIONS SL a través de un contrato de encargado de tratamiento con la entidad PROYECTOS VISUALES ZARAGOZA SL (PROVISPORT). 5) En cuanto a la valoración de la necesidad de la implementación del sistema de control biométrico, ssegún la denunciada, el sistema se implantó para no tener que llevar C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/4 tarjetas u otros dispositivos encima (comodidad) y seguridad de uso de la instalación por el propio titular, y se comenzó a usar sobre 12/2016. 6) La información que se proporciona al usuario que pretenda utilizar los servicios de gimnasio de la denunciada se formaliza en el contrato, en el que se explica la toma de la huella que, convertida en un patrón, recoge una serie de puntos de aquella, y que no se permite la entrada a las instalaciones más que con dicho dato, no existiendo normalmente alternativa salvo para casos excepcionales (erosión de las huellas por algunos tipos de abrasión por ejemplo). 7) El envío de la propuesta de resolución se cursó por el mismo medio que el acuerdo de inicio, que este si fue aceptado el 7/02/2018 según obra en el certificado emitido por la FNMT. El envío de la propuesta de resolución dio como resultado rechazado el 8/05/2018, al haber transcurrido 10 días naturales desde la puesta a disposición, 27/04/2018. TERCERO: FITNESS MURCIA PROMOTIONS, S.L. (en lo sucesivo el recurrente) ha presentado en fecha 13/07/2018, en esta Agencia Española de Protección de Datos, recurso de reposición fundamentándolo en motivos que ya figuraban en alegaciones en el acuerdo como: -Falta de tipicidad al tratarse de una ámbito privado con la finalidad de entrada y salida de socios y era un consentimiento libre, el cliente tiene total libertad de elección del lugar en el que desee recibir una prestación de servicios y el sistema ni limita derechos. -La información tratada no puede ser considerada dato de carácter personal o que haga identificable a su titular, pues se recogía parte de una huella, sino un código numérica asociado a un número concreto, en este caso un cliente, no siendo tampoco un dato biométrico. -Se cumple la proporcionalidad del tratamiento pues la finalidad está claramente determinada, para permitir el acceso solo a los clientes sin que puedan acceder personas que no sean clientes. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/4 II En relación con las manifestaciones efectuadas por el recurrente, reiterándose básicamente en las alegaciones ya presentadas a lo largo del procedimiento sancionador, debe señalarse que todas ellas ya fueron analizadas y desestimadas en los Fundamentos de Derecho de la misma. Sobre si las muestras tomadas de la huella son o no datos de carácter personal, en el fundamento de derecho II, sobre la finalidad y el ámbito en el que se recogen los datos, el fundamento de derecho IV y sobre la aplicación analógica del uso de la huella dactilar en un centro educativo. En consecuencia, en el presente recurso de reposición, el recurrente no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por FITNESS MURCIA PROMOTIONS, S.L. contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 14/06/2018, en el procedimiento sancionador PS/00002/2018. SEGUNDO: NOTIFICAR la presente resolución a la entidad FITNESS MURCIA PROMOTIONS, S.L. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
- b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/4 reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada LPACAP. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es