REPOSICION-PS-00164-2025

1/31 Expediente nº.: EXP202317887 RESOLUCIÓN DE RECURSO DE REPOSICIÓN Examinado el recurso de reposición interpuesto por YOTI LTD (en lo sucesivo, YOTI o la parte recurrente) contra la resolución dictada por la Presidencia de la Agencia Española de Protección de Datos de fecha 23 de noviembre de 2025, y en base a los siguientes HECHOS PRIMERO: Con fecha 23 de noviembre de 2025, se dictó resolución por la Presidencia de la Agencia Española de Protección de Datos en el expediente EXP202317887, en virtud de la cual se resolvía PRIMERO: IMPONER a YOTI LTD, con NIF 08998951: - Por la infracción del artículo 9 del RGPD: 500.000 euros. Por la infracción del artículo 7 del RGPD: 200.000 euros. Por la infracción del artículo 5.1

e)del RGPD: 250.000 euros Total: 950.000,00 euros SEGUNDO: ORDENAR a YOTI LTD, con NIF 08998951, que en virtud del artículo 58.2.
d)del RGPD, en el plazo máximo de SEIS MESES desde que la presente resolución sea firme y ejecutiva, acredite - Que el tratamiento de datos personales biométricos, considerados categorías especiales de datos, se realiza conforme lo dispuesto en el RGPD. - Que los tratamientos de datos personales basados en el consentimiento del interesado cumplan lo prescrito al respecto en el RGPD. - Que los datos personales objeto de tratamiento son conservados durante el plazo estrictamente necesario para el cumplimiento de la finalidad del tratamiento, de acuerdo con el artículo 5.1
e)del RGPD. Dicha resolución, que fue notificada a la parte recurrente en fecha 3 de diciembre de 2025, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), y supletoriamente en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), en materia de tramitación de procedimientos sancionadores. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/31 SEGUNDO: Como hechos probados del citado PS/00164/2025, quedó constancia de los siguientes: procedimiento sancionador, PRIMERO: YOTI es un proveedor de servicios de verificación de la edad que proporciona en España los siguientes servicios de verificación de la edad en régimen de software como servicio (“SaaS”) mediante: teléfono móvil; chequeo contra bases de datos; estimación de edad; documento identificativo; tarjeta de crédito. En estos supuestos, son los clientes de YOTI los que tienen la condición de responsables del tratamiento YOTI también proporciona una App para teléfonos móviles (‘App Digital ID’) que permite la verificación real dentro de la aplicación. YOTI es el responsable del tratamiento de datos personales que se realiza dentro de esta aplicación. Todos los servicios de verificación de edad de YOTI están disponibles para su uso en España SEGUNDO: El centro de datos de YOTI se encuentra en el Reino Unido y, para las transferencias de datos personales desde Reino Unido a la India, YOTI se basa en las cláusulas contractuales estándar de la UE con la adenda del Reino Unido. TERCERO: Para el tratamiento de los datos personales por parte de YOTI como responsable de tratamiento, manifiestan como base de licitud del tratamiento la ejecución de un contrato, afirmando que “el tratamiento se hace sobre la base de una solicitud del propio usuario y es parte del servicio Digital ID proporcionado por YOTI según los términos de uso establecidos”. CUARTO: De acuerdo con lo afirmado por YOTI, “La App Digital ID no puede ser utilizada por personas menores de la edad de consentimiento digital, es decir, 13 años en el Reino Unido y 14 años en España. La App Digital ID cuenta con un sistema de control de edad basado en la jurisdicción para garantizar que no se permite que personas que afirman ser menores de la edad de consentimiento digital en esa jurisdicción en particular utilicen dicha aplicación”. Del proceso de creación de una cuenta de usuario en la App de YOTI destacan los siguientes aspectos: C/ Jorge Juan, 6 28001 – Madrid
i)En la primera pantalla, y antes de introducir ningún dato personal, se proporciona un texto informando al usuario de que todos los datos a proporcionar se van a cifrar con una clave privada, incluyéndose un enlace a la Política de Privacidad junto a un botón con el texto “Entendido”. La App permite pulsar el botón (y continuar con el registro en la App) sin comprobar si el usuario ha pinchado y accedido al enlace con la política de privacidad.
i)La segunda pantalla del proceso de configuración de la cuenta en la APP de YOTI contiene el texto “Confirmar tu Edad”. La propia APP detecta la ubicación del usuario y, en virtud de ello, para el caso de www.aepd.es sedeaepd.gob.es 3/31 usuarios radicados en España ofrece dos alternativas distintas “Tengo 14 o más” o “Tengo 13 o menos”. Sólo puede continuarse con el proceso si se pulsa el botón declarando tener más de 14 años. La pantalla también incluye el texto (el subrayado es de esta AEPD): “Necesitamos tu consentimiento para utilizar escaneo facial…el escaneo facial es el único dato biométrico que utilizamos. La utilizamos para proteger tu cuenta, así como para asegurarnos de que eres tú quien está usando la App y que cualquier documento de identidad añadido te pertenece… No puedes utilizar la App sin proporcionar tus datos biométricos, ya que es el método que nos permite protegerte. Si deseas retirar tu consentimiento más adelante, puedes hacerlo en cualquier momento en Mis Datos y Permisos”.
ii)Posteriormente, se muestra una nueva pantalla con el título “Necesitamos tu consentimiento. El consentimiento se recaba tras pulsar el botón declarando ser mayor de 14 años. Se incluye el siguiente texto junto un botón con el título “Entiendo y doy mi consentimiento” (el subrayado es de esta AEPD): “Utilizamos escaneo facial para asegurarnos de que eres tú quien está usando la App y que cualquier documento que agregues te pertenece… No puedes utilizar la App sin escanear tu rostro, ya que es el método que nos permite protegerte”. Una vez pulsado botón de consentimiento, la App recaba la imagen facial del usuario a través de la cámara del dispositivo móvil. QUINTO: Según YOTI “La estimación de la edad a través de reconocimiento facial no utiliza categorías especiales de datos debido a que el procesamiento no tiene el propósito de identificar o autenticar a un individuo”. En relación con el consentimiento informado para el tratamiento de datos biométricos afirman: “Al incorporarse los usuarios a través de la App Digital ID deben dar su consentimiento para usar la aplicación, ya que dicha aplicación implica el tratamiento de datos biométricos. En la política de privacidad de YOTI a la que se tiene acceso en la App digital se indica lo siguiente (el subrayado es de esta AEPD): “Para creación y gestión de la cuenta de usuario YOTI trata los siguientes tipos de datos: -Número de teléfono móvil. -Foto del usuario que se vincula a la cuenta. -Foto del usuario para realizar determinadas acciones en la App. -Plantilla de datos biométricos que almacenan de forma segura. Se utiliza para comprobar que determinadas acciones realizadas en la App son realizadas por el usuario real que creó la cuenta, por ejemplo cuando el usuario quiere cambiar el PIN de la cuenta, compartir datos de su cuenta C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/31 o eliminar su cuenta (se vuelve a solicitar nueva foto o video en ese instante para comparar “automáticamente” con la plantilla almacenada). Se conserva esta información hasta que se cierra la cuenta. -Documentos identificativos oficiales, se extrae la foto y la fecha de nacimiento. Se verifica que el documento no está caducado. La foto se utiliza para contrastarla con la tomada cuando se configuró la cuenta para comprobar que se trata de su documento real. Cuando identifican documentos fraudulentos se pueden mantener por un plazo de hasta dos años y lo utilizan para entrenar el software a fin de que detecte mejor los documentos falsos. La imagen del documento también se almacena. -Dirección de correo electrónico y dirección física. La primera se verifica enviando código, para la segunda se da opción al usuario de verificarla con un tercero, si no se verifica o la verificación falla se marca como no verificada, informando que aun así el usuario puede compartirla, pero informando que algunas organizaciones solo aceptan direcciones verificadas. -Edad estimada por YOTI: se da la opción al usuario de utilizar la tecnología de YOTI para calcular la edad a través de la App. La tecnología de YOTI calcula al instante si es mayor de 18 años con el mapa digital del rostro creado cuando se creó la cuenta. Al considerar los errores de cálculo y por seguridad de los usuarios, se debe lucir al menos siete años mayor que el umbral de 18. Si YOTI calcula que el usuario es mayor de 28 años se agrega a la cuenta una edad calculada de mayor de 21”. Respecto del tratamiento de datos biométricos, la Política de Privacidad señala lo siguiente: “El objetivo de nuestro uso de datos biométricos para identificarlo o autenticarlo es evitar el uso fraudulento de la App y proteger sus datos. Son parte clave para garantizar el bloqueo de documentos falsos y garantizar que es el usuario real es que está actuando en la App”. “¿Qué datos biométricos utiliza la App y por qué? Cuando configura su cuenta escaneamos el rostro para crear plantilla biométrica que almacenamos de forma segura. Cuando realiza determinadas acciones en la App le pediremos que se tome una foto o grabe un video y lo comparamos con la plantilla para comprobar que coincide, comprobando que la imagen sea de una persona real. Estas comprobaciones garantizan que solo el usuario pueda realizar las acciones. Cuando agrega un documento comparamos su foto con la plantilla de rostro para asegurarnos de que los usuarios solo carguen sus propios documentos. Asimismo, YOTI utiliza datos biométricos de usuarios para finalidades de investigación y desarrollo (I+D), tal y como consta en el documento sobre la evaluación de impacto de los tratamientos de datos en la App para la finalidad I+D en su tecnología de estimación facial. En relación con la revocación del consentimiento para el uso de datos biométricos, en la política de privacidad de la App se afirma: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/31 “Esperamos que comprenda los motivos por los que los datos biométricos son una parte esencial de seguridad de nuestra app, pero si cambia de opinión puede revocar su consentimiento en cualquier momento mediante la eliminación de su cuenta en la configuración de la app. No existe una versión sin datos biométricos de la app, así que sin esa información la app no funciona”. En el texto “Términos y Condiciones. Al pulsar Aceptar y Continuar aceptas los Términos y Condiciones de Yoti”, accesible en el proceso de configuración de la cuenta de usuario, destaca lo siguiente: “Yoti almacenará una plantilla de datos biométricos de su rostro, tomada a partir del escaneo facial capturado durante la prueba de vida que completó en el registro, a fin de comprobar que siempre es usted quien intenta acceder a su cuenta de Yoti”. YOTI no considera que los datos personales utilizados para mejorar su tecnología sean datos biométricos de categoría especial en sentido RGPD, ya que no se utilizan para identificar de manera única a las personas. SEXTO: Entre las opciones que se encuentran en el menú de la App “Mis Datos y Permisos” se encuentra una opción de configuración con título “Consentimiento de datos biométricos” donde se muestra el texto: “Autorizaste a YOTI para usar tu escaneo facial de las siguientes formas: Enlace a la Política de Privacidad”. En la misma se encuentra una casilla declarativa activada por defecto a través de la cual el usuario puede oponerse al tratamiento de sus datos biométricos para fines de investigación interna. Existe también una opción que permite al usuario oponerse al tratamiento de sus datos con fines de análisis, pero en la que figura una casilla declarativa activada por defecto y en la que se indica el siguiente texto: “necesitamos saber qué funciona y qué no, cuantas personas usan nuestra app, en qué lugar del mundo están y qué productos o características son más populares. Recopilamos información sobre tu dispositivo y tu uso de la app mediante análisis internos y de terceros. Despersonalizamos la información para que no sea posible identificarte personalmente…No creamos perfiles de las personas, simplemente buscamos tendencias y patrones para informar las decisiones empresariales. Si no deseas compartirnos datos de análisis puedes desactivar la función. Cierta información se comparte automáticamente cuando usas nuestros productos y no podemos desactivarla”. SÉPTIMO: En relación con la conservación de los datos por YOTI: “Cuando YOTI actúa como responsable conserva los datos de la cuenta mientras el usuario tenga una cuenta con Yoti y durante los próximos tres años de inactividad de dicho usuario. Los usuarios pueden eliminar estos datos, o su cuenta, en cualquier momento y los datos son borrados automáticamente al caducar los 3 años de inactividad. (…)”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/31 “Cuando los usuarios realizan el proceso de onboarding en la App Digital ID, pueden optar por agregar un documento de identidad. Si no es posible realizar una verificación automatizada de dicho documento, el documento de identidad, junto con la imagen ‘selfie’ se envía al centro de seguridad de Yoti a través del sistema interno de Yoti para una revisión manual por parte de nuestros especialistas en verificación de identidad. Como se ha indicado, esta revisión manual sólo se produce en el caso de que no sea posible una verificación automatizada, por ejemplo mediante el chip NFC del documento de identidad. Si hay una verificación manual, los especialistas de Yoti revisarán el documento para asegurarse de que sea genuino y también compararán la foto del documento de identidad con la imagen ‘selfie’, para asegurarse de que sean la misma persona. Estos datos son visibles para los empleados individuales de Yoti en el centro de seguridad durante 28 días, después de lo cual se eliminan del sistema de administración”. De acuerdo con la EIPD proporcionada por YOTI Para el token de edad y los datos de la Digital ID App, la retención queda establecida mientras el usuario mantiene activa la cuenta o después de tres años de inactividad. En relación con los periodos de retención de los datos, la EIPD de YOTI señala lo siguiente: “Para los Servicios de Verificación de Edad no se retienen datos por parte de YOTI. En el caso de subida de documento identificativo y cuando el cliente habilita la verificación manual, se almacena durante 28 días. En la Estimación Facial de la Edad, la fotografía es borrada tras obtener el resultado. Para el token de edad y los datos de la Digital ID App, la retención queda establecida mientras el usuario mantiene activa la cuenta o después de tres años de inactividad”. Por otra parte, en relación con la retención de datos de geolocalización: “Los datos de geolocalización retenidos por Yoti y derivados de la dirección IP se limitan al código de país y la provincia de cada usuario individual. Esta información se obtiene antes de completar cualquier verificación de edad; por lo tanto, en esta etapa Yoti no puede distinguir si el usuario en particular es menor o no. El período de retención de los datos de geolocalización es actualmente de 5 años”. En el proceso de configuración de la cuenta de usuario, en relación con el texto “Términos y Condiciones. Al pulsar Aceptar y Continuar aceptas los Términos y Condiciones de Yoti”, destaca lo siguiente: “Al registrarse para obtener una cuenta o al agregar sus primeros documentos de identidad, le pediremos que complete una breve prueba para demostrar que se trata de una persona viva real. Esta prueba podría incluir, entre otras opciones, repetir algunas palabras en un video grabado o podríamos pedirle que mueva su teléfono siguiendo su rostro para capturar varias imágenes (verá las instrucciones de este proceso en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/31 ese momento). Si le pedimos que use el método del video, el video grabado se cargará en nuestro servidor y, a menos que se nos exija conservarlo por motivos reglamentarios, lo eliminaremos permanentemente dentro de 30 días desde la fecha de su grabación. Si le pedimos que utilice otro método, la información se procesará automáticamente en su teléfono y recibirá una aprobación o rechazo al instante”. “Yoti almacenará una plantilla de datos biométricos de su rostro, tomada a partir del escaneo facial capturado durante la prueba de vida que completó en el registro, a fin de comprobar que siempre es usted quien intenta acceder a su cuenta de Yoti”. “Después de ingresar y comprobar la información, esta se cifrará de manera independiente y Yoti no podrá verla ni acceder a ella. Solo usted contará con las claves de cifrado (números imprevisibles y únicos que se utilizan para descifrar la información), almacenadas en su teléfono móvil u otros dispositivos, de modo que solo usted pueda acceder a su cuenta. Es su responsabilidad mantener su teléfono móvil y otros dispositivos seguros, y evitar que otras personas tengan acceso no autorizado a ellos. Una vez que su cuenta esté cerrada, eliminaremos de nuestro servidor todos los atributos de identificación, todos los datos biométricos que utilizó y otros atributos (como el correo electrónico)”. TERCERO: La parte recurrente ha presentado en fecha 24 de diciembre de 2025, en esta Agencia Española de Protección de Datos, recurso de reposición, fundamentándolo, básicamente, en los siguientes argumentos: - - - Falta de notificación efectiva del acuerdo de inicio. Sobre la infracción del art. 9 RGPD considera que sí trata datos biométricos de categoría especial, pero que cumple con el artículo 9 del RGPD. La base de legitimación la sitúa en el art. 9.2 a), ya que obtiene consentimiento explícito. Sobre la infracción del artículo 7 RGPD señalan que sólo son considerados datos biométricos de categoría especial según el art. 9 RGPD cuando se utilizan con el fin de identificación unívoca de una persona. Y el tratamiento con fines de I+D no tiene esa finalidad. Alegan el interés legítimo del art. 6.1
f)como base de licitud del tratamiento. Sobre la infracción del art.- 5.1 e), realizan una serie de aclaraciones en cuanto a los plazos de conservación- indican error en la información proporcionada por YOTI al efecto- y aluden a la proporcionalidad de dichos plazos en atención a la finalidad del tratamiento. El escrito de recurso señala una serie de factores atenuantes que entiende YOTI han de aplicarse para el cálculo de la sanción Finalmente, aluden a una desproporción manifiesta de la sanción impuesta. De igual forma, solicitan la suspensión cautelar de la publicación de la resolución recurrida. El escrito de recurso viene acompañado por dos anexos en los que se contiene identificados 8 documentos, aportados en apoyo de su pretensión. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/31 FUNDAMENTOS DE DERECHO I Competencia Es competente para resolver el presente recurso la Presidencia de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP) y el artículo 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo, LOPDGDD). II Contestación a las alegaciones presentadas En primer lugar, argumenta la recurrente como causa de nulidad de la resolución recurrida la indefensión producida por una presunta deficiencia en la notificación del acuerdo de inicio del procedimiento sancionador. Alegan que YOTI nunca recibió la notificación del acuerdo de inicio y aportan documento de seguimiento de envío en el que, tras la entrega que se muestra realizada el 12 de junio de 2025 a las 10:03(envío entregado al destinatario o autorizado), muestra actividad adicional casi dos meses después, culminando con una presunta entrega al remitente el 20 de agosto de 2025, a las 12:40. A su juicio, ello indica que la carta fue devuelta a la AEPD, lo que contradice el estado de la primera entrega, que afirma que fue entregada al destinatario. Alude a que YOTI no tiene ningún registro interno de haber recibido ninguna carta certificada de la AEPD alrededor del 12 de junio de 2025 y, en todo caso, la persona que hubiera firmado la recepción no es un empleado de YOTI ni persona autorizada para ello. A su juicio, las pruebas aportadas demuestran que existió un problema en la cadena de entrega postal, que impidió que la notificación del acuerdo de inicio llegara efectivamente a conocimiento de YOTI. Aluden a la actitud colaboradora demostrada previamente por YOTI para indicar la falta de motivos de que ahora no se hubiera dado una respuesta- en forma de alegaciones- a la apertura de procedimiento sancionador. Aportan junto con el recurso documento con información de Correos que señala una actuación posterior a dicha notificación consistente en la devolución del envío al remitente. Dicho documento no contiene fecha, firma o sello. En respuesta de dicha alegación cabe indicar en un primer momento que, tal y como consta en el expediente y ha tenido conocimiento el recurrente- al que se le suministró copia del mismo en respuesta a la petición formulada al efecto- la notificación, dirigida a YOTI LTD, fue entregada el día 12/06/2025 a las 10:03, figurando como dirección de entrega ***DIRECCIÓN.1 y número de envío ***REFERENCIA.1. Ha de señalarse que dicha certificación de la entrega se encuentra debidamente acreditada mediante la firma del órgano competente, en la que consta que el acuerdo de inicio, remitido mediante carta certificada internacional, fue debidamente entregado al destinatario o autorizado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/31 Frente a ello, se aporta de contrario lo que parece ser un documento de seguimiento de envío, sin firma ni sello, en el que YOTI sustenta su argumentación de que el acuerdo de inicio no sólo no fue entregado (a pesar de que en el documento que aporta lo indica expresamente) sino que fue devuelto al remitente, esto es, a la AEPD, donde no consta ninguna devolución en este sentido. Este documento es aportado por YOTI para aludir a un supuesto error en el reflejo de la entrega cuando, con esa misma argumentación, puede perfectamente tratarse de un error en el reflejo de una devolución al remitente que no se produjo. Máxime cuando, como decimos, esta presunta devolución no ha tenido su reflejo material para esta AEPD- que no ha recibido devuelto tal envío- y consta certificado de entrega expresamente emitido por Correos, entidad responsable del envío. Por lo tanto, no cabe acoger esta alegación. Con relación a la infracción del artículo 9 del RGPD, YOTI confirma que siempre ha considerado que trata datos biométricos de categoría especial en la aplicación Digital ID, por lo que el tratamiento de datos biométricos se menciona explícitamente en el proceso de incorporación y en el aviso de privacidad. Mencionan la EIPD realizada en 2019, cuya última fecha de actualización es mayo de 2025 y en la que se hace referencia específica al tratamiento de datos biométricos de categoría especial en la aplicación. Aluden también a las exhaustivas pruebas de usabilidad con niños que llevó a cabo en 2021 para garantizar que el mecanismo de consentimiento fuera claro, accesible y adecuado para su edad. Entiende que el proceso para la obtención del consentimiento cumple con todos los requisitos exigibles para solicitar el consentimiento explícito, establecidos en el artículo 9, apartado 2, letra a), del RGPD y desarrollados en las Directrices del CEPD sobre el consentimiento. Así, indican lo (el subrayado es de esta AEPD):
a)Consentimiento libre: Los usuarios tienen una opción real: pueden optar por no descargar y utilizar la aplicación. No existe una versión no biométrica de la aplicación, ya que los datos biométricos son necesarios para que funcione según lo previsto, es decir, como una cartera digital biométrica segura, pero los usuarios pueden no descargarse la aplicación. YOTI exige contractualmente a cualquier cliente empresarial que utilice la aplicación que ofrezca siempre un método alternativo de verificación. De este modo se garantiza que nadie se vea obligado a descargar la aplicación, lo que a su vez garantiza que el consentimiento de los usuarios para el uso de datos biométricos en la aplicación sea siempre libre y que los usuarios tengan una opción real.
b)Consentimiento específico: Se solicita específicamente el consentimiento para el tratamiento de datos biométricos (escaneo facial) con fines claramente identificados que son fundamentales para garantizar que cualquier acción en la cuenta sea realizada por el titular verificado de la misma:
c)Consentimiento informado: Los usuarios reciben información clara y comprensible sobre qué datos biométricos se tratarán (escaneo facial), para qué finalidades (protección de cuenta y verificación de identidad), y quién es el responsable del tratamiento de los datos (YOTI).
d)Consentimiento inequívoco: El usuario debe realizar una acción afirmativa clara (hacer clic en el botón «Entiendo y acepto») para dar su consentimiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/31 No hay casillas marcadas previamente y el consentimiento tácito no se considera válido. Alegan que la aplicación de identificación digital utiliza la autenticación biométrica 1 a 1 (1:1) para verificar que el usuario es quien dice ser, y la base que legitima el tratamiento es el consentimiento explícito en virtud del artículo 9, apartado 2, letra a), del RGPD. Por el contrario, la funcionalidad de estimación de la edad facial es un producto independiente que estima la edad de una persona a partir de una imagen facial (FAE), sin identificar de forma única al individuo. YOTI sostiene que la FAE no trata datos biométricos de categoría especial, ya que no identifica (ni puede identificar) de forma única a los individuos. Señalan que, si bien la función de estimación de la edad está disponible en la aplicación YOTI, FAE se ofrece y funciona como un producto independiente, distinto de los servicios básicos de verificación de identidad de la aplicación. Por lo tanto, según YOTI, nos encontraríamos ante un tratamiento de datos biométricos consistente en la verificación del usuario de la APP Digital, para el que se entiende como base de legitimación el consentimiento (art. 9.1
a)RGPD) y, ante un tratamiento de datos realizado, también en el marco de la aplicación, que tiene como finalidad la verificación de la edad, sobre el que entiende YOTI que no estamos ante un tratamiento de datos biométricos de categoría especial y en el que aplica, como base de legitimación del tratamiento, la ejecución de un contrato (art. 6.1
b)RGPD). En este punto, ha de comenzarse recordando que el procedimiento sancionador seguido contra YOTI y cuya resolución finalizadora se recurre se circunscribe al tratamiento de datos personales realizados en la App Digital, respecto del que YOTI es el responsable, tal y como ellos mismos han indicado en las actuaciones desarrolladas por esta AEPD: YOTI también proporciona una App para teléfonos móviles (‘App Digital ID’ o la ‘aplicación’) que puede ser elegida por nuestros clientes como método de verificación de la edad. Sin embargo, la verificación real se realiza dentro de la aplicación y YOTI es el responsable de los datos. En este tratamiento de datos del que YOTI es responsable ha de entenderse incluido tanto el que se efectúa al configurar el alta en la APP Digital como el realizado en el marco de la misma, a través de la funcionalidad de verificación de la edad. Una funcionalidad que, como YOTI expresamente reconoce, está incluida en la mencionada app. De acuerdo con lo señalado en la resolución recurrida para el fundamento de la infracción del art. 9 RGPD: En definitiva, según se informa en el proceso de creación de la cuenta de usuario y en la propia política de privacidad de la aplicación, la App genera una plantilla biométrica facial del usuario que servirá
i)en el momento de creación de la cuenta, para acreditar que el usuario es una persona real
ii)con posterioridad, para acreditar que quien desea realizar acciones como cambio de PIN o recuperación de cuenta es el usuario que se dio de alta originalmente en la aplicación. En este segundo momento se compara el patrón digital creado a través de un nuevo escaneo facial con el que se guardó en el momento de dar de alta la cuenta de usuario. Por lo tanto, YOTI realiza un escaneo facial del usuario de su App al objeto de obtener una plantilla biométrica que, como expresamente señalan, tiene como finalidad “asegurarnos de que eres tú C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/31 quien esta usando la app y de que cualquier documento de identidad que agregas te pertenece”. Se trata, de acuerdo con los preceptos antes señalados, de un tratamiento cuya finalidad es la identificación unívoca de una persona física y, por lo tanto, entra dentro del concepto de categoría especial de datos del artículo 9. 1 RGPD. Unos datos personales a los que, al tratarse de una categoría especial, se les aplica una prohibición general de tratamiento; prohibición que sólo puede ser levantada por la concurrencia de alguna de las circunstancias señaladas en el artículo 9.2. A pesar de ello, YOTI considera que no realiza un tratamiento de categorías especiales de datos porque, a su juicio, el tratamiento no tiene el propósito de identificar o autenticar a un individuo. Una conclusión que es errónea en atención a la finalidad que expresamente señala YOTI tiene el tratamiento de la plantilla biométrica facial que se crea. Ha de recordarse también este punto, que, según consta en el expediente Se acredita documento con la Evaluación de Impacto para la Protección de Datos (EIPD) de las soluciones de verificación de edad, el documento está en lengua inglesa e incorpora un historial de revisiones y actualizaciones, la fecha inicial de creación es de julio de 2018. Para el tratamiento de los datos personales por parte de YOTI como responsable de tratamiento, manifiestan como Base Legítima la ejecución de un contrato, afirmando que “el tratamiento se hace sobre la base de una solicitud del propio usuario y es parte del servicio Digital ID proporcionado por YTI según los términos de uso establecidos”. Cuando YOTI actúa como encargado de tratamiento afirman que la Base Legítima debe establecerla el cliente, como responsable de tratamiento, pudiendo ser alguna de las siguientes: consentimiento, ejecución de contrato o interés legítimo. En relación con el uso de categorías especiales de datos, se afirma: “La estimación de la edad a través de reconocimiento facial no utiliza categorías especiales de datos debido a que el procesamiento no tiene el propósito de identificar o autenticar a un individuo” En atención a lo anterior, la resolución sancionadora concluye lo siguiente: Así, al entender que no se están tratando datos biométricos, considerados de categoría especial, el consentimiento recabado para el tratamiento de datos en el uso de la app sólo puede ser considerado como imperfecto y, por lo tanto, no válido para cumplir los requerimientos del RGPD en lo relativo al tratamiento de datos personales de naturaleza biométrica de carácter especial. Teniendo en cuenta lo anterior, recordemos que YOTI califica la aplicación como una cartera digital biométrica segura, calificativo que sólo tendría sentido si, además de la identificación biométrica realizada en la configuración de la aplicación, tuviera dicha consideración toda información adicional relacionada con el usuario y que, en definitiva, hubiera motivado a éste la descarga y uso de la aplicación; esto es, todo token de verificación de la edad que se hubiera generado en la aplicación. Un token de verificación de la edad que, no olvidemos, en el marco de la aplicación está relacionada con un concreto usuario y, por lo tanto, que forma parte de la información utilizada para la identificación unívoca del mismo. Todo ello de acuerdo con el concepto de datos biométricos de categoría especial que realiza el RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/31 Alega ahora YOTI que siempre ha considerado que el tratamiento de datos biométricos en la configuración – que no el uso de la funcionalidad de estimación de la edad- de la APP Digital debía considerarse como tratamiento de datos de categoría especial para el que se contaba con el consentimiento como base de legitimación del tratamiento (art. 9.1 a)). Un consentimiento que entiende se manifiesta con la aceptación de los términos y condiciones de la aplicación al ser descargada, y que considera que cumple todo lo requerido por el CEPD con relación a las condiciones del consentimiento. Entiende YOTI que el consentimiento es libre porque los usuarios pueden optar por no descargar la aplicación, para la que no existe versión no biométrica, según afirma expresamente, dado que esos datos son necesarios para que la aplicación funcione como una cartera digital biométrica segura. En esta línea se pronuncia la política de privacidad de la APP en la que, según figura en el hecho probado quinto de la resolución recurrida se afirma que No existe una versión sin datos biométricos de la app, así que sin esa información la app no funciona”. No obstante, lo anterior, a renglón seguido, y con un argumento a ciencia cierta contradictorio, YOTI indica que exige contractualmente a cualquier cliente empresarial que utilice la aplicación que ofrezca siempre un método alternativo de verificación. De este modo se garantiza que nadie se vea obligado a descargar la aplicación, lo que a su vez garantiza que el consentimiento de los usuarios para el uso de datos biométricos en la aplicación sea siempre libre y que los usuarios tengan una opción real. Si existe un método alternativo de verificación cuando un cliente empresarial utilice la aplicación, ¿cómo es que se dice que el uso de la aplicación conlleva, necesariamente, el tratamiento de datos biométricos y, por ello, su descarga implica el consentimiento del tratamiento de dichos datos? Recordemos en este punto lo que señalan las Directrices 5/2020 del CEPD sobre el consentimiento, de las que destacamos los siguientes apartados: En general, el consentimiento solo puede ser una base jurídica adecuada si se ofrece al interesado control y una capacidad real de elección con respecto a si desea aceptar o rechazar las condiciones ofrecidas o rechazarlas sin sufrir perjuicio alguno El término «libre» implica elección y control reales por parte de los interesados. Como norma general, el RGPD establece que, si el sujeto no es realmente libre para elegir, se siente obligado a dar su consentimiento o sufrirá consecuencias negativas si no lo da, entonces el consentimiento no puede considerarse válido. Si el consentimiento está incluido como una parte no negociable de las condiciones generales se asume que no se ha dado libremente. En consecuencia, no se considerará que el consentimiento se ha prestado libremente si el interesado no puede negar o retirar su consentimiento sin perjuicio. La noción de desequilibrio entre el responsable del tratamiento y el interesado también se tiene en cuenta en el RGPD A la hora de valorar si el consentimiento se ha dado libremente, deben considerarse también las situaciones concretas en las que el consentimiento se supedita a la ejecución de contratos o a la prestación de un servicio tal y como se describe en el artículo 7, apartado 4. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/31 A nuestro juicio, el consentimiento otorgado en la descarga de la app, tal y como lo describe YOTI y como hemos argumentado en la resolución recurrida no puede considerarse libre en los términos en que dicho calificativo ha sido interpretado. Tengamos además en cuenta que la APP Digital se enmarca dentro de los servicios prestados por YOTI para la verificación de la edad de los usuarios. Aquí, de nuevo, llamamos la atención sobre la definición que aporta YOTI en el sentido de que nos encontramos ante una cartera digital biométrica segura. Por lo tanto, quien acude a la descarga y uso de la aplicación entiende, razonablemente, que acude a un servicio de verificación de la edad y, por lo tanto, que todo tratamiento de datos- en este caso, datos biométricos de categoría especial- que realiza, tiene esta finalidad de verificación de la edad. No se sustenta, por lo tanto, la diferenciación que hace YOTI entre datos
i)para la creación y configuración de la cuenta de usuario de la aplicación
ii)para proceder a la verificación de la edad del usuario. En este sentido, si se aceptara la argumentación de YOTI, un usuario podría descargarse la aplicación y no usar nunca el sistema de verificación de la edad disponible en la misma. ¿Se estaría produciendo un tratamiento de datos personales de categoría especial simplemente para la descarga de una aplicación y con la única finalidad de proteger el acceso a la cuenta? ¿puede entenderse que dicho tratamiento de datos personales es idóneo, necesario y proporcional si la única finalidad del mismo es proteger una cuenta y no los datos personales categoría especial asociados a la misma? ¿Se entendería entonces que la descarga de la aplicación de YOTI, sin utilizar nunca la finalidad de verificación de la edad del usuario, requiere el tratamiento de datos personales de categoría especial? ¿Para qué servicio se estaría entonces prestando el consentimiento? ¿Sólo para tener instalada la app Digital? Y ello sin perjuicio de que, recordemos, el nombre completo de dicha aplicación es App Digital ID (identidad digital) Debemos en este punto recordar que, según lo señalado por el CEPD en las Directrices antes mencionadas (…) El artículo 7, apartado 4, indica que, entre otras cosas, vincular el consentimiento a la aceptación de los términos y condiciones o supeditar el cumplimiento de un contrato o la prestación de un servicio a una solicitud de consentimiento para el tratamiento de datos personales que no son necesarios para la realización de dicho contrato o servicio, resulta muy inapropiado. Si el consentimiento se ha dado en estas circunstancias, se presume que no se ha dado libremente (considerando 43). El artículo 7, apartado 4, pretende garantizar que el tratamiento de los datos personales no se camufle o se vincule a la prestación de un contrato o servicio para el cual dichos datos personales no son necesarios. (…) 28. Por tanto, siempre que la solicitud de consentimiento esté vinculada a la ejecución de un contrato por parte del responsable del tratamiento, un interesado que no desee que sus datos personales estén a disposición del responsable para su tratamiento corre el riesgo de que se le nieguen los servicios que ha solicitado. 29. Para evaluar si tiene lugar esa situación de vinculación o supeditación, es importante determinar el alcance del contrato y qué datos serían necesarios para la realización de dicho contrato. 30. De acuerdo con el Dictamen 06/2014 del GT29, la expresión «necesario para la ejecución de un contrato» debe ser interpretada de manera C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/31 estricta. El tratamiento debe ser necesario para cumplir el contrato con cada interesado Teniendo en cuenta las discrepancias indicadas tanto en cuanto a lo que informa YOTI en la política de privacidad de la APP Digital como en lo afirmado en el recurso presentado, no puede acogerse el argumento de que el consentimiento sea libre, pero, tampoco, que sea específico ni informado. Como argumento subsidiario, YOTI considera que los factores citados por la AEPD para justificar la multa también son incorrectos, por las siguientes razones:
a)Ausencia de perjuicio para los interesados: No hay pruebas de consecuencias negativas reales para los usuarios; no se ha recibido ninguna queja de usuarios españoles en relación con el tratamiento de datos biométrico; no se han producido violaciones de la seguridad que hayan comprometido los datos biométricos de los usuarios y el cifrado fuerte significa que, incluso en el improbable caso de que se produjera una violación, las plantillas biométricas no podrían leerse ni reconstruirse sin la clave de descifrado del usuario.
b)No intencionado ni negligente: las amplias medidas de cumplimiento demuestran diligencia.
c)Transferencias de datos que cumplen plenamente con el capítulo V del RGPD: La AEPD menciona las transferencias internacionales de datos como motivo de preocupación. YOTI cumple plenamente con el capítulo V del RGPD: En respuesta a estos argumentos, no cabe más que recordar lo señalado por el Tribunal Constitucional en su STC 292/2000 en el sentido de que “el derecho fundamental a la protección de datos persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino, con el propósito de impedir su tráfico ilícito y lesivo para la dignidad y derecho del afectado.(…) El derecho a la protección de datos garantiza a los individuos un poder de disposición sobre esos datos así como que el contenido del derecho fundamental a la protección de datos consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el Estado o un particular. Y ese derecho a consentir el conocimiento y el tratamiento, informático o no, de los datos personales, requiere como complementos indispensables, por un lado, la facultad de saber en todo momento quién dispone de esos datos personales y a qué uso los está sometiendo, y, por otro lado, el poder oponerse a esa posesión y usos. (…) Así, este poder de control respecto de los propios datos desparece cuando el tratamiento de los datos se realiza sin una base de legitimación que lo ampare, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/31 exponiendo por lo tanto al interesado a un claro perjuicio derivado de la propia vulneración de su derecho fundamental a la protección de datos personales. Destacable es también la STJUE de 4 de septiembre de 2023, dictada en el asunto C655/23, que determina que "60 En particular, el Tribunal de Justicia ha subrayado que de la lista ilustrativa de los «daños» o los «perjuicios» que pueden sufrir los interesados que figura en el considerando 85, primera frase, del RGPD se desprende que el legislador de la Unión quiso incluir en estos dos conceptos, en particular, la mera «pérdida de control» sobre los propios datos personales de esos interesados como consecuencia de una infracción de dicho Reglamento, aun cuando no se haya producido concretamente un uso indebido de los datos en cuestión. Tal pérdida de control puede bastar para causar «daños y perjuicios inmateriales», en el sentido del artículo 82, apartado 1, de dicho Reglamento, siempre que ese interesado demuestre que ha sufrido efectivamente tales daños y perjuicios, por mínimos que sean, sin que ese concepto de «daños y perjuicios inmateriales» requiera la demostración de la existencia de consecuencias negativas tangibles adicionales (véase, en este sentido, la sentencia de 4 de octubre de 2024, Agentsia po vpisvaniyata, C 200/23, EU:C:2024:827, apartados 145, 150 y 156 y jurisprudencia citada)". (el subrayado es nuestro). La STJUE de 14 de marzo de 2024, en el asunto C-46/23 determina que las autoridades de control deben, con toda la diligencia exigible, velar por el pleno cumplimiento del RGPD, para lo que es preciso que disponga de poderes efectivos, que deben ejercer incluso de oficio. En este sentido dispone que “41 A este respecto, debe precisarse que, aunque la elección del medio adecuado y necesario corresponde a la autoridad de control y es esta la que debe proceder a esa elección tomando en consideración todas las circunstancias del caso concreto, dicha autoridad sigue estando obligada a llevar a cabo con toda la diligencia exigible su misión de velar por el pleno cumplimiento del RGPD (véase, en este sentido, la sentencia de 16 de julio de 2020, Facebook Ireland y Schrems, C 311/18, EU:C:2020:559, apartado 112). Por tanto, para garantizar la aplicación efectiva del RGPD, resulta especialmente importante que esta autoridad disponga de poderes efectivos para actuar eficazmente contra las infracciones de este Reglamento, y, en particular, para ponerles fin, incluso en aquellos casos en que los interesados no hayan sido informados del tratamiento de sus datos personales, no tengan conocimiento de tal tratamiento o, en cualquier caso, no puedan solicitar la supresión de esos datos. 42 En estas circunstancias, debe considerarse que la facultad de hacer uso de algunos de los poderes correctivos a que se refiere el artículo 58, apartado 2, del RGPD, entre otros los que figuran en las letras
d)y
g)de esta disposición, puede ser ejercida de oficio por la autoridad de control de un Estado miembro en la medida en que se requiera el ejercicio de oficio de tal facultad para permitirle cumplir su misión. Por consiguiente, cuando dicha autoridad considere, al finalizar su investigación, que ese tratamiento no cumple las exigencias del citado Reglamento, está obligada, según el Derecho de la Unión, a adoptar las medidas adecuadas para subsanar la infracción detectada, con independencia de la existencia de una solicitud previa presentada por el interesado para ejercer sus derechos con arreglo al artículo 17, apartado 1, de dicho Reglamento. (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/31 Por su parte, la STJUE de 30 de abril de 2025, en los asuntos acumulados C-313/23, C-316/23 y C-332/23, determina que "131 Por lo que respecta a las autoridades de control, tienen como misión principal, como se ha recordado en el apartado 120 de la presente sentencia, controlar la aplicación del RGPD y hacerlo aplicar. (…) 132 Asimismo, el artículo 58, apartados 1 y 2, del RGPD confiere a dichas autoridades importantes poderes de investigación, así como poderes correctivos. Debe precisarse, a este respecto, que están obligadas a intervenir cuando la adopción de una o varias de las medidas correctivas previstas en el artículo 58, apartado 2, del RGPD sea, habida cuenta de todas las circunstancias del caso concreto, adecuada, necesaria y proporcionada para subsanar la deficiencia constatada y garantizar el pleno respeto de dicho Reglamento [sentencia de 26 de septiembre de 2024, Land Hessen (Obligación de actuar de la autoridad de protección de datos), C 768/21, EU:C:2024:785, apartado 42]. 133 Además, resulta especialmente importante que las autoridades de control dispongan de poderes efectivos para actuar eficazmente contra las infracciones del RGPD y, en particular, para ponerles fin, incluso en aquellos casos en que los interesados no hayan sido informados del tratamiento de sus datos personales, no tengan conocimiento de tal tratamiento o, en cualquier caso, no hayan presentado reclamación al amparo del artículo 77, apartado 1, de este Reglamento (véase, en este sentido, la sentencia de 14 de marzo de 2024, Újpesti Polgármesteri Hivatal, C 46/23, EU:C:2024:239, apartado 41)". Por lo tanto, de lo anterior se desprende que la actuación de esta AEPD, como Autoridad de Control competente, no está subordinada a la existencia de concretas reclamaciones que vengan referidas al tratamiento analizado, sino que sus potestades de control pueden- y, de hecho, deben- desplegarse cuando existan indicios de infracción en el ámbito competencial que le es propio. De igual manera, el perjuicio a los interesados en su derecho a la protección de datos personales reside en la propia pérdida de control respecto de esos datos; una pérdida de control que, de forma indefectible se da cuando se realiza un tratamiento de sus datos personales- máxime si estos se encuadran dentro de la categoría especial de datos- que no cuenta con base de legitimación y contraviene lo dispuesto en el RGPD. Por otro lado, no puede considerarse como cumplimiento el tratamiento de datos de categoría especial sin que concurra una excepción que levante la prohibición general de tratar categorías especiales de datos ni contar con una base de legitimación, y la misma falta de consciencia de que nos encontramos ante un supuesto que contraviene el RGPD implica, a nuestro juicio, una falta de diligencia que le es exigible a la parte recurrente en su condición de responsable del tratamiento. Finalmente, señalar que las transferencias de datos a países terceros no es una cuestión sancionada en el presente caso y que la resolución recurrida tan sólo puso de manifiesto la existencia de servidores de almacenamiento de datos fuera de la Unión Europea un hecho no rebatido por la parte recurrente y que, a nuestro juicio, influye en la pérdida de control de los interesados respecto de sus propios datos. En definitiva, han de desestimarse las alegaciones aducidas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/31 Con relación a la infracción del art. 7 RGPD, YOTI alega que el tratamiento de I+D no se lleva a cabo con el fin de identificar de manera única a personas físicas, por lo que no implica datos biométricos de categoría especial según el artículo 9 del RGPD. Alegan que el equipo de I+D de YOTI solo accede a imágenes faciales, mes y año de nacimiento, sexo (si está disponible) e información de documentos (tipo de documento, país de emisión) con el fin de mejorar el rendimiento de su tecnología; concretamente, las imágenes se utilizan únicamente como muestras de entrenamiento anónimas para perfeccionar la precisión de estos algoritmos. Destacan que este proceso de entrenamiento no crea, almacena ni utiliza plantillas biométricas que identifiquen de forma única a las personas. El proceso analiza las características y patrones faciales generales de los conjuntos de datos para mejorar el rendimiento algorítmico, en lugar de tratar los datos de manera que identifiquen de forma única a una persona específica. Por lo tanto, entienden que no se trata de datos biométricos de categoría especial según el artículo 9 del RGPD, y la base jurídica del artículo 6.1(
f)(interés legítimo) es suficiente. A continuación, la parte recurrente indica que no se utilizan casillas pre-marcadas para el consentimiento de datos biométricos. Alegan que YOTI no se basa en el consentimiento para la recopilación de datos personales con fines de investigación, durante la creación de una cuenta en YOTI, sino que se ha basado en el interés legítimo como base legal para este tratamiento desde 2019, cuando completó la realización de una evaluación de interés legítimo. En consecuencia, no se requiere ni se utiliza ningún mecanismo de consentimiento para el tratamiento de I+D. Alegan que el CEPD, en sus Directrices 06/2020 sobre el interés legítimo, reconoce expresamente que la «mejora de los productos y servicios existentes» puede constituir un interés legítimo válido, siempre que se cumplan los requisitos del test de equilibrio de intereses. Además, el considerando 47 del RGPD establece que «el tratamiento de datos personales puede considerarse un interés legítimo del responsable del tratamiento en la medida en que sea estrictamente necesario y proporcionado para garantizar la seguridad de las redes y la información». La mejora de los algoritmos de detección de fraude documental y verificación de la edad contribuye directamente a la seguridad del sistema y a la protección de los menores, lo que refuerza la legitimidad del interés invocado por YOTI. El interés legítimo de YOTI es desarrollar servicios que permitan una estimación precisa de la edad, y que le permitan prevenir y detectar el fraude en general, mediante el desarrollo de servicios que ofrezcan resultados precisos y seguros, y que prevengan y eliminen los sesgos. Entienden que el tratamiento de imágenes faciales, mes/año de nacimiento, sexo (si se dispone de él) y tipo de documento es necesario para entrenar y mejorar los algoritmos de verificación de la edad y detección de fraude documental. En respuesta a esta alegación, conviene recordar lo indicado en la resolución recurrida respecto de la infracción del art. 7 RGPD: Si bien YOTI fundamenta el tratamiento de datos que realiza a través de la App Digital en la ejecución de un contrato (art. 6.1
b)del RGPD), ha de entenderse que, con carácter previo a un tratamiento de datos destinado a la ejecución de un contrato debe C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 18/31 de acordarse dicho contrato mediante la manifestación de voluntad de las partes del mismo. Por lo tanto, con carácter previo a considerar que se realiza un tratamiento de datos para ejecutar un contrato, ha de existir dicho contrato y ha de contarse, por lo tanto, con el consentimiento de las partes para la vinculación por los términos del mismo. Es por ello por lo que YOTI pide el consentimiento del usuario en diversos pasos del proceso de creación de la cuenta en la App Digital; y ello por cuanto es el consentimiento del interesado el que ha de obtenerse para proceder con el tratamiento de datos pretendido. Un consentimiento que, como hemos señalado, al referirse a un tratamiento de datos personales biométricos, considerados como de categoría especial, y al no aludir su obtención a esta circunstancia, no podría considerarse conforme con el RGPD. Por otro lado, sentado lo anterior, según ha quedado acreditado, en el proceso de creación de una cuenta en la App de YOTI figura que la obtención del consentimiento para que los datos personales proporcionados sean también tratados con fines de investigación y al objeto de mejorar los servicios proporcionados por YOTI se realiza a través de una casilla premarcada. En este sentido, no se estaría recabando el consentimiento stricto sensu sino que el mismo estaría otorgado a no ser que, expresamente y de forma activa, el usuario desmarcara la casilla. Y ello por cuanto los consentimientos realizados mediante casilla declarativas activadas por defecto no son el resultado de un acto afirmativo y claro que refleje una manifestación de voluntad libre, específica, informada, e inequívoca. En estas condiciones, no puede afirmarse que el consentimiento cumpla los requisitos establecidos en la normativa anteriormente señalada. Según consta en el expediente, por ser información proporcionada por YOTI En la App Digital ID el valor por defecto es que los datos se puedan usar para I+D. Yoti ha tomado medidas para dejar esto claro a los usuarios. Los usuarios pueden optar por excluirse, evitando que sus datos se utilicen para I+D, haciendo para ello uso de la configuración de la App. Asimismo, existe opción de configuración de la App con el título “Consentimiento de datos biométricos” donde se muestra el texto: “Autorizaste a YOTI para usar tu escaneo facial de las siguientes formas: Enlace a la Política de Privacidad”. Por otro lado, muestra una casilla declarativa activada por defecto a través de la cual el usuario puede oponerse al tratamiento de sus datos biométricos para fines de investigación interna. Existe una última opción que permite al usuario oponerse al tratamiento de sus datos con fines de análisis, y existe casilla declarativa activada por defecto y mostrando el siguiente texto: “necesitamos saber qué funciona y qué no, cuantas personas usan nuestra app, en qué lugar del mundo están y qué productos o características son más populares. Recopilamos información sobre tu dispositivo y tu uso de la app mediante análisis internos y de terceros. Despersonalizamos la información para que no sea posible identificarte personalmente…No creamos perfiles de las personas, simplemente buscamos tendencias y patrones para informar las decisiones empresariales. Si no deseas compartirnos datos de análisis puedes desactivar la función. Cierta información se comparte automáticamente cuando usas nuestros productos y no podemos desactivarla”. Al respecto cabe responder que, por más que YOTI insista en lo contrario, los datos personales de naturaleza biométrica tratados en el marco de la APP digital ID cuya finalidad, recordemos, en palabras de la propia recurrente es configurarse como una C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 19/31 cartera digital biométrica han de considerarse datos biométricos en el sentido del art. 4.14 del RGPD. Y ello con independencia de que su finalidad sea la identificación o la autenticación, distinción que ya fue claramente superada por las Directrices del Comité Europeo de Protección de datos 5/2022 sobre el uso de la tecnología de reconocimiento facial en el ámbito de la aplicación de la ley, adoptadas el 26 de abril de 2023, cuyo apartado 12 indica lo siguiente, Aunque las dos funciones (autenticación e identificación) son distintas, ambas se refieren al tratamiento de datos biométricos relacionados con una persona física identificada o identificable y, por lo tanto, constituyen un tratamiento de datos personales y, más concretamente, un tratamiento de categorías especiales de datos personales Y ello sin perjuicio de que, como venimos indicando, estamos hablando de un tratamiento de datos personales que se configura en el marco de una app para cuya configuración se han utilizado datos personales que, esta vez sí, YOTI reconoce que son de categoría especial. El tratamiento de dichos datos para una finalidad distinta, en este caso, para I+D no desvirtúa, a nuestro juicio, la naturaleza de los datos objeto de tratamiento, que son datos que sirven para identificar a una persona y que, en definitiva, nos encontramos ante datos de categoría especial. Sentado lo anterior, recordemos que es YOTI quien recaba el consentimiento para tratar los datos de la APP Digital con fines de I+D y es este consentimiento y, en concreto, sus deficiencias, las que son analizadas y puestas de manifiesto en la resolución sancionadora recurrida. Alega ahora YOTI que la base de legitimación del tratamiento es distinta y que, a pesar de que ha quedado probado que se recaba un consentimiento- si bien, imperfecto-, la base de legitimación del tratamiento es su interés legítimo. Al respecto, no cabe sino señalar que este argumento se contradice con lo señalado por YOTI durante las actuaciones previas de investigación llevadas a cabo. Y no solo eso, sino con la propia constatación realizada por esta AEPD en el marco de las actuaciones previas de investigación en las que ha quedado demostradoy así consta en el expediente- que YOTI recaba el consentimiento para el tratamiento de los datos de la APP Digital con fines de I+D y que lo recaba mediante casillas premarcadas. Circunstancia que, claramente, contraviene las condiciones en las que debe prestarse el consentimiento para el tratamiento de datos personales; tal y como ha quedado probado en el expediente. Aluden por otro lado a la proporcionalidad y equilibrio de intereses: ya que
i)solo se tratan datos mínimos: imágenes faciales, mes/año de nacimiento, sexo (si está disponible) y tipo de documento
ii)el equipo de I+D no tiene acceso a nombres, números de documentos, direcciones u otros datos identificativos que permitan identificar a las personas iii) los datos se almacenan de forma segregada y con acceso restringido iii) Se informa a los usuarios de forma clara y destacada durante el proceso de onboarding
iv)los usuarios fácilmente pueden optar por no participar en cualquier momento. Recuerdan que el TJUE confirma que las organizaciones pueden basarse en intereses comerciales para satisfacer la prueba de equilibrio de intereses legítimos, siempre que se cumplan todos los requisitos. En ese caso, el Tribunal sostuvo que la persecución de intereses comerciales no excluye, en sí misma, la invocación del interés legítimo, y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 20/31 que el ejercicio de equilibrio debe tener en cuenta las circunstancias específicas del tratamiento objeto de la prueba. Finalmente, YOTI reconoce que la configuración de la aplicación utilizaba anteriormente un lenguaje que daba a entender que los usuarios retiraban su consentimiento para fines de tratamiento de investigación, informan de que se identificó este problema y que han procedido a la actualización de la configuración de la aplicación para dejar más claro a los usuarios que se trata de una exclusión voluntaria y no de una retirada del consentimiento. En respuesta a lo alegado, señalar que vuelve a entrar en contradicción YOTI al señalar que, con la finalidad de I+D solo se tratan datos mínimos: imágenes faciales (…) e insistir en que no se realiza de un tratamiento de datos biométricos. Y teniendo en cuenta, además, el interés legítimo del responsable del tratamiento no se encuentra dentro de las causas de levantamiento de la prohibición de tratar datos personales de categoría especial del art. 9.2 RGPD Así, según figura en las actuaciones previas de investigación, al analizar videodiligencia con las opciones de configuración que se ofrecen al usuario dentro de la App haciendo uso del usuario registrado Existe opción de configuración con título “Consentimiento de datos biométricos” donde se muestra el texto: “Autorizaste a YOTI para usar tu escaneo facial de las siguientes formas: Enlace a la Política de Privacidad”. Por otro lado, muestra una casilla declarativa activada por defecto a través de la cual el usuario puede oponerse al tratamiento de sus datos biométricos para fines de investigación interna. Es decir, esta casilla declarativa activada por defecto se refiere a
i)los datos biométricos del usuario- escaneo facial-que tienen la consideración de datos de categoría especial en el sentido del art. 9 RGPD
ii)al uso de dichos datos biométricos con fines de investigación interna. Por lo tanto, se encuentra premarcada la casilla de obtención del consentimiento para el uso con fines de I+D de información biométrica considerada categoría especial de datos. Alega ahora YOTI una presunta deficiencia en la configuración de la aplicación, que utilizaba anteriormente un lenguaje que daba a entender que los usuarios retiraban su consentimiento para fines de tratamiento de investigación un consentimiento que ahora califican de inclusión voluntaria, en contraposición con la exclusión voluntaria que es como califican la retirada del consentimiento que debía realizarse desmarcando la casilla habilitada al efecto y premarcada. A nuestro juicio este argumento no se sostiene, sino que más bien parece traer causa a unas deficiencias en la descripción de la base jurídica que ampara el tratamiento que, alegan ahora, sería el interés legítimo y no el consentimiento. Si la base que legitima el tratamiento es el interés legítimo, no se entiende que se establezca como posibilidad ese sistema de exclusión voluntaria. Si un usuario se excluye voluntariamente de ese tratamiento basado en el interés legítimo, ¿no podría también argumentarse por YOTI que no cabe dicha exclusión voluntaria precisamente por el interés legítimo que ampara el tratamiento? Al respecto recordemos también que, según las directrices del CEPD sobre el consentimiento, antes mencionadas, El RGPD no permite que los responsables del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 21/31 tratamiento ofrezcan casillas marcadas previamente o mecanismos de exclusión voluntaria que requieran la intervención del interesado para evitar el acuerdo (por ejemplo, «casillas de exclusión voluntaria») Unido a lo anterior, recordemos que, según la Sentencia de la Audiencia Nacional de 13 de septiembre de 2024, dictada en el recurso 0002187/2021, en lo relativo al art. 6.1
f)Esta disposición establece tres requisitos acumulativos para que el tratamiento de datos personales resulte lícito, a saber, en primer lugar, que el responsable del tratamiento o el tercero persigan un interés legítimo; en segundo lugar, que el tratamiento de los datos personales sea necesario para la satisfacción de ese interés legítimo, y, en tercer lugar, que no prevalezcan los intereses o los derechos y libertades fundamentales del interesado en la protección de los datos [sentencia del TJUE de 4 de julio de 2023 Meta Platforms y otros (Condiciones generales del servicio de una red social), C-252/21, EU: C:2023, apartado 106 y jurisprudencia citada]. Comenzando por el requisito relativo a la necesidad del tratamiento de datos personales para la satisfacción del interés legítimo perseguido, este exige que se compruebe que el interés legítimo perseguido con el tratamiento de los datos no puede alcanzarse razonablemente de manera tan eficaz por otros medios menos atentatorios respecto de las libertades y los derechos fundamentales de los interesados, en particular respecto de los derechos al respeto de la vida privada y de protección de los datos personales, garantizados por los artículos 7 y 8 de la Carta, según el apartado 108 de la citada STJUE. Este es el enfoque que también se sigue en las Directrices 1/2024 sobre el tratamiento de datos personales basado en Artículo 6, apartado 1, letra f), del RGPD Versión 1.0 de 8 de octubre de 2024. Circunstancias que, claramente a nuestro juicio, no se dan en el caso que nos ocupa. Con respecto a esta infracción, también reiteran sus alegaciones relativas a la ausencia de perjuicio para los interesados, a un comportamiento no intencionado ni negligente, así como la referencia a que las transferencias de datos cumplen lo señalado en el RGPD. Al respecto, se reitera la respuesta dada a dichas alegaciones en el apartado correspondiente a las alegaciones respecto de la infracción del art. 9 RGPD. En lo relativo a la infracción del artículo 5.1(
e)del RGPD, la parte recurrente alega que el propósito de la aplicación, incluyendo la prevención del fraude, no puede lograrse sin los plazos de conservación previstos para cada uno de los tratamientos. Asegura que los fines para los que se almacena la plantilla biométrica existen independientemente de que el usuario decida utilizarlos o no. Es análogo, a su juicio, a una medida de seguridad: el hecho de que un sistema de alarma no se active no significa que su instalación sea innecesaria. La plantilla biométrica debe estar disponible cuando el usuario la necesite, aunque no se utilice en todas las sesiones. Mencionan el cifrado robusto de los datos como factor de proporcionalidad, que implica un riesgo insignificante, que debe tenerse en cuenta al analizar el principio de limitación del período de conservación del artículo 5, apartado 1, letra e), del RGPD y ello por cuanto la conservación de datos cifrados que no pueden leerse ni utilizarse sin C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 22/31 la clave del usuario, presenta un riesgo insignificante para los interesados, incluso si se conservan durante períodos prolongados. Por lo tanto, a su juicio, la conservación de plantillas biométricas cifradas durante el ciclo de vida de la cuenta cumple con el principio de limitación del período de conservación, interpretado a la luz de su finalidad de proteger a los interesados. A este respecto, procede responder a YOTI que, en la medida en que las plantillas biométricas implican un tratamiento de datos de carácter personal de naturaleza especial, el cumplimiento de los principios que han de tenerse siempre presente en el tratamiento de datos personales- en este caso concreto, el de limitación del período de conservación- se hace, aún más si cabe, pertinente En este punto cabe comenzar recodando que el art. 5.1
e)propugna que los datos personales serán mantenidos de forma que se permita la identificación de los interesados durante no más tiempo del necesario para los fines del tratamiento de los datos personales. Es decir, es la finalidad que motivó el tratamiento inicial de recogida de los datos personales la que ha de tenerse en cuenta a la hora de delimitar el plazo de conservación de los datos. Y es, por lo tanto, esa finalidad del tratamiento y, más específicamente, la necesidad de continuar con el tratamiento de los datos personales, la que ha de tenerse en cuenta a la hora de valorar si se cumple, o no, el principio de limitación del plazo de conservación. Sentado lo anterior, recordemos que el tratamiento de datos biométricos de categoría especial derivado de la imagen facial del usuario tiene como objeto la configuración de la cuenta al objeto de identificarlo. Una vez realizada esa identificación inicial en el proceso de configuración de la cuenta, YOTI almacena dichos datos biométricos hasta que el usuario mantiene activa la cuenta o hasta que transcurre tres años de inactividad. Es decir, el plazo de conservación de los datos finalizada cuando
i)hay una actuación expresa del usuario consistente en el cierre de la cuenta
ii)hay una inactividad- que puede entenderse como, actitud pasiva del usuario, que no utiliza la cuenta durante tres años. Un plazo, tres años, del que se desconoce su motivación y que se vincula, parece ser, a una presunción de que el usuario ha dejado de “tener interés” en usar la aplicación. A nuestro juicio, estos plazos de conservación no se corresponden con la necesitar de limitar un tratamiento a la finalidad concreta del mismo- que, recordemos, no es la prevención del fraude que alega YOTI-, sino la identificación del usuario tanto en la configuración inicial como en otras operaciones posteriores (como la modificación del PIN). Unas actuaciones posteriores que, además de que razonablemente pueden no darse, tiene una finalidad de comprobación de la identidad que pueden alcanzarse fácilmente con otros medios menos intrusivos que no requieren la conservación de datos personales de categoría especial por un tiempo que, con mucho, excede del requerido para la consecución de la finalidad para la que dichos datos fueron recabados. Recordemos en este punto que el Tribunal de Justicia de la UE ha interpretado de forma restrictiva el plazo de conservación de datos biométricos, por ejemplo, en casos en que el tratamiento se ampare en la detección, investigación y persecución de delitos. Por ejemplo, de acuerdo con lo indicado en la STJUE el 30 de enero de 2024 en el asunto C-118/2022 72 Habida cuenta de las consideraciones anteriores, procede responder a la cuestión prejudicial planteada que el artículo 4, apartado 1, letras
c)y e), de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 23/31 Directiva 2016/680, en relación con los artículos 5, 10, 13, apartado 2, letra b), y 16, apartados 2 y 3, de la misma Directiva y a la luz de los artículos 7 y 8 de la Carta, debe interpretarse en el sentido de que se opone a una normativa nacional que establece la conservación, por las autoridades policiales, para fines de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales, de datos personales, en particular de datos biométricos y genéticos, relativos a personas que hayan sido objeto de una condena penal firme por un delito público doloso, y ello hasta el fallecimiento del interesado, incluso en el supuesto de su rehabilitación, sin imponer al responsable del tratamiento la obligación de revisar periódicamente si tal conservación sigue siendo necesaria ni reconocer al interesado el derecho a la supresión de tales datos cuando su conservación ya no sea necesaria a la vista de los fines para los que fueron tratados o, en su caso, a la limitación de su tratamiento. En este caso, además de la diferencia en cuanto a la finalidad del tratamiento y, por lo tanto, de los motivos por lo que se conservan los datos, recordemos que YOTI rechaza que pueda utilizarse la app Digital ID sin datos biométricos, circunstancia que, de facto no reconoce el derecho de supresión de los interesados. Y ello sin perjuicio de que no existe planteamiento de una revisión periódica de la necesidad de conservación de datos a que apunta el TJUE. En relación con la conservación de los datos de verificación, matizan que el período es de 28 días y no de 30 días, plazo que se indica erróneamente en los términos y condiciones, que se actualizarán para corregir esta inexactitud Entiende que, si YOTI no conservara estos datos durante un periodo de tiempo, los usuarios de la aplicación no tendrían ningún recurso en caso de que no entendieran por qué no se aprobó su documento o foto, o si creyeran que una decisión tomada por YOTI sobre ellos o su documento era incorrecta. Indican que este plazo de conservación no es automático, sino selectivo y ello por cuanto YOTI no conserva automáticamente los datos de todas las verificaciones durante 28 días, sino solo los datos de las verificaciones que requieren una revisión manual o que están por debajo de los umbrales de aprobación automática. De tal manera, se equilibra proteger los derechos de los usuarios, teniendo tiempo suficiente para que los usuarios identifiquen problemas y planteen consultas, se garantiza la minimización de datos: periodo limitado, tras el cual los datos se eliminan automáticamente y la calidad del servicio: capacidad de YOTI para investigar y resolver consultas de manera eficaz. En respuesta a este argumento, no podemos dejar de lado que la no aprobación del documento o foto se realiza de forma instantánea, por lo que el plazo de 28 días ha de considerarse excesivo si lo que se pretende es dar respuesta a eventuales recursos presentados por el usuario que, en lógica con el razonamiento de YOTI, se darían de forma prácticamente inmediata tras la respuesta. Sobre la conservación de los datos de geolocalización durante 5 años (país/provincia derivados de la dirección IP) hace referencia al uso en el producto AVS (Age Verification Service) de YOTI, no a la aplicación Yoti Digital ID, que es un producto independiente y el único objeto de esta investigación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 24/31 Al respecto, cabe indicar que, según consta en las actuaciones de investigación llevadas a cabo, En relación con los periodos de retención de los datos, la EIPD de YOTI señala lo siguiente: (…) Por otra parte, en relación con la retención de datos de geolocalización: “Los datos de geolocalización retenidos por Yoti y derivados de la dirección IP se limitan al código de país y la provincia de cada usuario individual. Esta información se obtiene antes de completar cualquier verificación de edad; por lo tanto, en esta etapa Yoti no puede distinguir si el usuario en particular es menor o no. El período de retención de los datos de geolocalización es actualmente de 5 años”. Es decir, referidos a los datos de la Digital ID App para cuya configuración, recordemos, se recaban los datos de geolocalización, al objeto de determinar la edad mínima prevista en el país del usuario para poder prestar su consentimiento en materia de protección de datos, se indica que el período de retención es de 5 años. Por ello, no cabe acoger la alegación de YOTI en el sentido que este dato de geolocalización se refiere al uso del servicio de verificación de la edad. Máxime cuando
i)la información sobre la localización de la IP del usuario se recaba al inicio mismo del proceso de configuración de la cuenta
ii)se ampara en la necesidad de conocer la edad mínima para consentir el tratamiento de los datos personales según el país del usuario; un consentimiento que, recordemos, YOTI alega que es la base de legitimación para el tratamiento del dato biométrico derivado del escaneo facial realizado en el proceso de configuración de la cuenta. En lo relativo a la conservación de documentos fraudulentos Yoti conserva los documentos y selfies fraudulentos durante un máximo de 6 años. Este periodo de conservación es esencial, consideran, para respaldar la capacidad de Yoti de detectar y prevenir intentos de fraude repetidos, apoyar las investigaciones de fraude y el análisis de patrones, ya que los intentos de fraude rara vez son casos aislados y mantener una prevención eficaz del fraude, ya que los documentos de identidad oficiales suelen tener una validez de entre 5 y 10 años, lo que significa que las versiones fraudulentas pueden seguir circulando mucho tiempo después de su detección inicial. Asimismo, dicho plazo de conservación lo considera proporcional y se ve garantizado por diversas salvaguardias: solo se conservan los documentos y selfies fraudulentos, todos los elementos están cifrados y el acceso está estrictamente limitado al personal autorizado y los datos fraudulentos se separan de los datos legítimos de los usuarios, y se tratan de acuerdo con el aviso de privacidad de la aplicación Digital ID. Al respecto, cabe poner de manifiesto que parece confundir YOTI las finalidades que persigue el tratamiento de datos que realiza en el marco de su APP Digital con otras que son las que parece atribuir a la conservación de esos datos. Y ello con la pretensión de justificar una duración del tratamiento que esta AEPD sigue considerando a todas luces excesiva y, por lo tanto, contraria a lo previsto en el RGD; concretamente a su art. 5.1 e). En efecto, el tratamiento de documentos, fotos y videos - procedentes del usuario tienen la finalidad de verificar la identidad de quien realiza determinadas operaciones en la APP Digital ID, no estando la prevención del fraude entre las mismas ni, en general, se trataría de una finalidad del tratamiento que pudiera enmarcarse en la actividad desarrollada por YOTI. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 25/31 La STJUE de 20 de octubre de 2022, dictada en el asunto C-77/21, ha precisado el alcance de este principio contenido en el artículo 5.1.
e)del RGPD relativo al principio de limitación del plazo de conservación: “Así pues, como se desprende sin ambigüedad de los términos en que está redactado dicho precepto, el principio de «limitación del plazo de conservación» exige que el responsable del tratamiento sea capaz de demostrar, en virtud del principio de responsabilidad proactiva recordado en el apartado 24 de la presente sentencia, que los datos personales se conservan únicamente durante el tiempo necesario para la consecución de los fines para los cuales fueron recogidos o para los que han sido tratados ulteriormente. De ello se deduce que incluso un tratamiento de datos inicialmente lícito puede devenir, con el tiempo, incompatible con el Reglamento 2016/679 (LCEur 2016, 605) cuando los datos ya no sean necesarios para la consecución de tales fines [ sentencia de 24 de septiembre de 2019 (TJCE 2019, 201) , GC y otros (Retirada de enlaces a datos sensibles), C-136/17, EU:C:2019:773, apartado 74] y que los datos deben suprimirse cuando se cumplan dichos fines (véase, en este sentido, la sentencia de 7 de mayo de 2009, Rijkeboer, C-553/07 (TJCE 2009, 119) , EU:C:2009:293, apartado 33).” ”(…) Habida cuenta de todas las consideraciones anteriores, procede responder a la segunda cuestión prejudicial que el artículo 5, apartado 1, letra e), del Reglamento 2016/679 debe interpretarse en el sentido de que el principio de «limitación del plazo de conservación», establecido en esa disposición, se opone a que el responsable del tratamiento conserve, en una base de datos creada para realizar pruebas y corregir errores, datos personales recogidos previamente para otros fines, durante un período superior al necesario para la realización de las pruebas y la corrección de los errores. Por lo tanto, cabe desestimar las alegaciones aducidas Por otro lado, alegan que han de considerarse diversos factores atenuantes en el cálculo de la sanción impuesta: - - - - El limitado alcance de la actividad de la aplicación de identificación digital de YOTI en España ya que durante el periodo específico de investigación (febreroabril de 2024), solo 16 usuarios utilizaron la aplicación Digital ID en España. Este alcance limitado demuestra el impacto mínimo de cualquier presunta infracción y debería reflejarse en el cálculo de la sanción. Ausencia de daño real a los interesados. No hay pruebas de perjuicio para los interesados, no se han recibido quejas de usuarios españoles sobre el tratamiento de datos, no se ha producido ninguna violación de la seguridad que haya comprometido los datos de los usuarios- si bien el cifrado fuerte (AES-256 con claves en poder del usuario) significa que, incluso en caso de violación, los datos no podrían leerse ni reconstruirse sin la clave de descifrado del usuario. El tratamiento se ha diseñado, desde el principio, teniendo en cuenta la privacidad y la seguridad, en pleno cumplimiento del artículo 25 del RGPD (protección de datos desde el diseño y por defecto): i. Autenticación principalmente 1:1, no identificación masiva 1:N: ii. Cifrado robusto con claves en poder del usuario: iii. Segregación de datos y controles de acceso: iv. Arquitectura de tokens funcionales: También ha de tenerse en cuenta la finalidad del tratamiento: contribuir a un ecosistema para la protección de los menores. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 26/31 Aluden a lo ya mencionado anteriormente en el sentido de ausencia de negligencia y medidas adoptadas para mitigar el daño sufrido por los interesados. En lo que respecta a su grado de responsabilidad, resaltan la aplicación de medidas técnicas y organizativas que demuestran un alto grado de responsabilidad. Igualmente, entiende que debe considerarse como atenuante el grado de cooperación con la AEPD; que, si bien el tratamiento implica datos biométricos de categoría, la forma en que se tratan estos datos reduce significativamente el riesgo; el cumplimiento de códigos de conducta aprobados o mecanismos de certificación aprobados, así como el reconocimiento del sistema por parte de otras autoridades de protección de dato y la ausencia de beneficio económico derivado de las presuntas infracciones. Respecto de estas alegaciones no cabe más que remitirnos a lo señalado en apartados precedentes de la presente resolución con relación a las capacidades de actuación reconocidas a las Autoridades de Control y a la, a nuestro juicio, falta de diligencia en el cumplimiento de la normativa de protección de datos personales demostrada por YOTI al no haber realizado un, a nuestro juicio, adecuado análisis del tratamiento pretendido, sus riesgos y, por lo tanto, establecer las salvaguardas y garantías requeridas por la normativa. Todo ello, en cumplimiento del principio de responsabilidad proactiva que propugna el RGPD. Por otro lado, no puede hablarse de cooperación con la AEPD en lo que es el cumplimiento de una obligación, como es la respuesta a los requerimientos formulados en el marco de unas actuaciones de investigación; unos requerimientos cuya ausencia de respuesta puede devenir en el inicio de un procedimiento sancionador. Finalmente, aluden a una desproporción manifiesta de la sanción total en comparación con la práctica sancionadora de la AEPD en la que las sanciones más elevadas se han impuesto en casos en los que se ha producido un perjuicio real a los interesados, ha habido dolo o negligencia grave y ha faltado la cooperación con la autoridad y en los casos en que el responsable del tratamiento ha demostrado buena fe, ha aplicado medidas técnicas sólidas y ha cooperado con la autoridad, las sanciones han sido significativamente menores. Sobre la ausencia de proporcionalidad en la fijación de la cuantía de la sanción impuesta, debe recordarse que el artículo 83.1 RGPD establece que las multas administrativas por las infracciones del RGPD deben ser “…en cada caso individual efectivas, proporcionadas y disuasorias”, indicando a continuación en el apartado 2 del citado precepto, que “Las multas administrativas se impondrán en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas…” (el subrayado es nuestro). Estableciendo a continuación determinadas circunstancias a tener en cuenta. (…) Las infracciones cometidas se encuentran tipificadas en el artículo 83.5 del RGPD que señala que las infracciones de las disposiciones que indica “…se sancionarán con multas administrativas de 20.000.000 EUR, como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen del negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía” (el subrayado es nuestro). Es decir, los porcentajes sobre el volumen de negocio, cuando se trata de una empresa, no operan como límites máximos cuando la cifra que arrojan es menor a 20 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 27/31 millones, sino todo lo contrario, permiten obtener un límite máximo superior a esos 20 millones. Por tanto, cuando el 4% del volumen de negocio total anual global de la multa impuesta para cada infracción sea menor al importe máximo establecido en el citado precepto, la cuantía fija señalada será el límite máximo. Por el contrario, si ese porcentaje arroja un importe superior, será el tenido en cuenta como límite máximo. Y ello porque el RGPD establece que ha de optarse por la de mayor cuantía. En definitiva, a la hora de determinar la cuantía de las multas no sólo se tiene en cuenta el nivel de negocio de las empresas. Ello es una circunstancia más. También se tienen en cuenta, como se ha señalado, otras circunstancias, especialmente las circunstancias específicas de cada caso. En el presente caso, se han tenido en cuenta las circunstancias del caso, especialmente la tipología de datos afectados y que los mismos vienen, en gran medida, referidos a menores. A este respecto, recordemos en este punto lo manifestado por el TJUE en la sentencia dictada en el asunto C-683-21 78 La existencia de un sistema de sanciones que permita imponer, cuando las circunstancias específicas de cada caso lo justifiquen, una multa administrativa con arreglo al artículo 83 del RGPD crea un incentivo para que los responsables y encargados del tratamiento cumplan el Reglamento. Con su efecto disuasorio, las multas administrativas contribuyen a reforzar la protección de las personas físicas en lo que respecta al tratamiento de datos personales y constituyen, por ende, un elemento clave para garantizar el respeto de los derechos de dichas personas, de conformidad con la finalidad del citado Reglamento de asegurar un elevado nivel de protección de esas personas en lo que respecta al tratamiento de los datos personales. Asimismo, la reciente STJUE de 13 de febrero de 2025, en el asunto C-383/23, dispone que la imposición de una multa exige en el examen de cada caso particular de una serie de elementos previstos en el artículo 83 del RGPD, del que el volumen de negocios es un elemento más (ni el único ni el determinante), para imponer una multa que sea proporcional, disuasoria y efectiva y se refuerce, de esta forma, la protección de las personas físicas. 25 Así, en virtud del artículo 83, apartado 1, del RGPD, cada autoridad de control tiene que garantizar que las multas administrativas con arreglo al referido artículo 83 por las infracciones del RGPD indicadas en sus apartados 4 a 6 sean, en cada caso individual, efectivas, proporcionadas y disuasorias. 26 Más allá del cumplimiento de estos tres requisitos, el apartado 2 de dicho artículo 83 exige, para decidir la imposición de una multa administrativa y su importe, que la autoridad de control competente tenga debidamente en cuenta, en cada caso individual, una serie de elementos. 27 De conformidad con esta última disposición, entre esos elementos figuran, en particular, la naturaleza, gravedad y duración de la infracción, el número de interesados afectados y el nivel de los daños y perjuicios sufridos, la intencionalidad o negligencia en la infracción, las medidas adoptadas por el responsable o el encargado del tratamiento para paliar los daños y perjuicios sufridos, el grado de responsabilidad C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 28/31 del responsable o del encargado del tratamiento y las categorías de datos personales afectados por la infracción. 28 Los citados elementos se refieren, bien al comportamiento de ese responsable o encargado, acusado de infringir determinadas disposiciones del RGPD, bien a las propias infracciones. Así pues, sirven para garantizar que cada una de dichas infracciones se aprecie sobre la base de todas las circunstancias individuales pertinentes y que se alcancen los objetivos perseguidos por el régimen sancionador contemplado en el RGPD. 29 Aunque estos elementos no hacen referencia al concepto de empresa, en el sentido de los artículos 101 TFUE y 102 TFUE, el Tribunal de Justicia ya ha declarado que solamente una multa que tenga en cuenta no solo todos los elementos que caractericen las infracciones del RGPD constatadas, sino también, en su caso, la capacidad económica real o material de su destinatario, reúne los tres requisitos establecidos en el artículo 83, apartado 1, del RGPD, a saber, ser a la vez efectiva, proporcionada y disuasoria. Pues bien, para apreciar estos requisitos, debe tenerse en cuenta si ese destinatario forma parte de una empresa en el sentido de los artículos 101 TFUE y 102 TFUE (véase, en este sentido, la sentencia de 5 de diciembre de 2023, Deutsche Wohnen, C 807/21, EU:C:2023:950, apartado 58). Por último, y con relación a la medida solicitada de suspensión de la publicación de la resolución recurrida señalar que es el artículo 50 de la LOPDGDD el que obliga a dicha publicación, en los siguientes términos: Artículo 50. Publicidad. La Agencia Española de Protección de Datos publicará las resoluciones de su Presidencia que declaren haber lugar o no a la atención de los derechos reconocidos en los artículos 15 a 22 del Reglamento (UE) 2016/679, las que pongan fin a los procedimientos de reclamación, las que archiven las actuaciones previas de investigación, las que sancionen con apercibimiento a las entidades a que se refiere el artículo 77.1 de esta ley orgánica, las que impongan medidas cautelares y las demás que disponga su Estatuto. En este sentido, la resolución sancionadora ya señalaba que: De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez la resolución haya sido notificada a los interesados. Asimismo, señalar que el artículo 11. Transparencia y publicidad del Real Decreto 389/2021, de 1 de junio, por el que se aprueba el Estatuto de la Agencia Española de Protección de Datos indica lo siguiente: 1. La Agencia Española de Protección de Datos publicará en su página web las resoluciones de su Presidencia que declaren haber lugar o no a la atención de los derechos reconocidos en los artículos 15 a 22 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, las que pongan fin a los procedimientos de reclamación, las que archiven las actuaciones previas de investigación, las que sancionen con apercibimiento a las entidades a que se refiere el artículo 77.1 de la Ley Orgánica 3/2018, de 5 de diciembre, y las que impongan medidas cautelares. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 29/31 2. Sin perjuicio de lo previsto en la Ley 19/2013, de 9 de diciembre, de transparencia, acceso a la información pública y buen gobierno, será igualmente objeto de publicación en la página web toda aquella información que la Presidencia considere relevante y que contribuya al mejor cumplimiento de sus funciones. Por último, recordemos que la Audiencia Nacional- por todas, la sentencia de 15 de enero de 2026, dictada en el recurso nº 463/2023- ha señalado lo siguiente: Esta misma Sala y Sección ya ha declarado en ocasiones anteriores, en que se ha planteado idéntica cuestión ( Autos dictados en los PO 816/2016, 2336/2021 y 233/2023, entre otros muchos) en línea con la doctrina iniciada por la Sección 6ª, respecto de resoluciones del Tribunal de Defensa de la Competencia cuya publicación en el BOE y en diarios de información general se pretendía suspender, que conforme a consolidada y reiterada doctrina, tal publicación no causa perjuicios irreparables, y que el daño a la imagen de la entidad recurrente puede ser reparado por la publicación de la sentencia que acoja sus pretensiones y anule la resolución de dicho Tribunal. Doctrina aplicable, por analogía y con mayor motivo, dada la cada vez mayor digitalización de las comunicaciones, a la publicación de las resoluciones en la página web de la AEPD. En definitiva, y como se desprende de lo antedicho, la publicidad de las resoluciones sancionadoras dictadas por la AEPD parte de una obligación legal al objeto de dotar de transparencia a la actuación de esta Agencia en lo que a la interpretación de la normativa de protección de datos se refiere. Por ello, no cabe alegar ningún perjuicio reputacional derivado de la publicación cuya suspensión se solicita. Por lo tanto, se desestiman todas las alegaciones aducidas. III Conclusión En consecuencia, en el presente recurso de reposición, la parte recurrente no ha aportado hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. IV Obligación de dictar resolución expresa De acuerdo con lo establecido en el artículo 24 de la LPACAP, el sentido del silencio administrativo en los procedimientos de impugnación de actos y disposiciones es desestimatorio. No obstante, a pesar de que haya transcurrido el plazo legalmente establecido para resolver, la Administración mantiene la obligación de dictar resolución expresa y de notificarla en todos los procedimientos cualquiera que sea su forma de iniciación, incluidos los recursos administrativos que se hayan podido interponer, según dispone el artículo 21.1 de la citada LPACAP. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 30/31 En los casos de desestimación por silencio administrativo, la resolución expresa posterior al vencimiento del plazo se adoptará por la Administración sin vinculación alguna al sentido del silencio, según dispone el artículo 24.3 de la misma ley. Por tanto, aunque no se resuelva el recurso en plazo, procede emitir la resolución expresa que lo finalice. Vistos los preceptos citados y demás de general aplicación, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por YOTI LTD contra la resolución de esta Agencia Española de Protección de Datos dictada con fecha 23 de noviembre de 2025, en el expediente EXP202317887. SEGUNDO: NOTIFICAR la presente resolución a YOTI LTD. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea notificada la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si la fecha de la notificación se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente resolución se hará pública. La publicación se realizará una vez la resolución sea firme en vía administrativa. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), los interesados podrán interponer recurso contencioso-administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
a)LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 31/31 el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada LPACAP. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 180-071125 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.