← España

REPOSICION-PS-00432-2023

1/23  Expediente nº.: EXP202209645 RESOLUCIÓN DE RECURSO DE REPOSICIÓN Examinado el recurso de reposición interpuesto por LORO PARQUE, S.A. (en lo sucesivo, la parte recurrente o LP) contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos de fecha 1/10/2024, y en base a los siguientes HECHOS PRIMERO: Con fecha 1/10/2024 se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el expediente EXP202209645, en virtud de la cual se imponía a LORO PARQUE, S.A.: “por una infracción del artículo 9 del RGPD, tipificada en el artículo 83.5

  1. a)del RGPD, y calificada como muy grave a los solos efectos de la prescripción de dicha infracción en el artículo 72.1.
  2. e)de la LOPDGDD, una multa de 250.000 euros”. SEGUNDO: ORDENAR a LORO PARQUE, S.A., con NIF A38009023, en virtud del artículo 58.2.
  3. f)del RGPD, que en el plazo de 30 días desde que la resolución que ponga fin a este procedimiento sea ejecutiva, acredite haber procedido al cumplimiento de la medida del fundamento de derecho IX, concretada en la prohibición del tratamiento de datos analizado.” Dicha resolución, que fue notificada a la parte recurrente en fecha 10/10/2024, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo, LOPDGDD), y supletoriamente en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), en materia de tramitación de procedimientos sancionadores. SEGUNDO: Como hechos probados del citado PS/00432/2023, quedó constancia de los siguientes: procedimiento sancionador, “PRIMERO: La reclamada, según consta en la web “Monitoriza business” tiene como objeto social: Actividades de los parques de atracciones y los parques temáticos, constituida el 30/05/1972, con un capital social de (…) euros, constando unas ventas de (…) euros en 2021, último ejercicio presentado. SEGUNDO: Los tres reclamantes, reclaman en 7/08 y 13/09/2022, el primero, el 16/09/2022 el segundo, y el 3/11/2022 el tercero, que al adquirir los tickets para acceso conjunto a LORO PARQUE (parque zoológico) y SIAM PARK (parque de actividades acuáticas) en Tenerife, con la oferta denominada TWIN TICKET, TT, que gestiona la reclamada se ha de proporcionar para acceder la huella digital, incluso de menores de edad, sin que se informe cuando se adquiere el ticket. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/23 TERCERO: En actuaciones previas, a 17/08/2023, en la web de la reclamada https://www. loroparque.com/aviso-legal/, existía un apartado de “política de protección de datos”, que informaba: ”El usuario y/o consumidor para poder contratar los diferentes servicios que ofrece LORO PARQUE SA, así como para la recepción de boletines informativos del parque, deberá registrar los datos solicitados como cliente”, “la persona que se registra autoriza expresamente a LORO PARQUE para que proceda a incluir en un fichero automatizado los datos de carácter personal que figuran en los campos del formulario por resultar necesarios para la adecuada prestación de sus servicios”, con finalidad de gestionar las compras y peticiones hechas por el usuario a través de las páginas web, y que LORO PARQUE pueda proporcionar los servicios “ofertados y por usted aceptados”. Asimismo, se informa que el envío de los tickets se realiza a través del área de usuario en la plataforma y/o correo electrónico puesto que es un producto virtual en formato pdf. Similar información se contiene a https://www.loroparque.com/terminos-ycondiciones/,https://www.loroparque.com/privacidad/ la citada fecha, en No se contiene información alguna sobre el empleo de técnicas de biometría para el acceso de las personas a los parques LORO PARQUE y SIAM PARK con la entrada TT. El 8/07/2024, accediendo en el período de pruebas a la web https://www.loroparque.com/terminos-y-condiciones/, figura la advertencia que, a fecha de la reclamación, no se acredita que existiera, del tenor: “las entradas TWIN TICKET, entre otras, son entradas al portador, no identificando al titular o poseedor de las mismas, por lo que, para vincular las entradas con el adquirente, se ha establecido un sistema de verificación mediante la obtención de minucias…, no teniendo otra finalidad que la de poder constatar que quién se benefició de una oferta promocional, es quien utiliza el producto adquirido, y sin que sea posible relacionar posteriormente la representación matemática con el usuario que adquirió nuestro producto comercial La reclamada no acredita, al no responder en pruebas desde que fecha incluyó esta información de “verificación mediante la obtención de minucias”. CUARTO: La reclamada informó que la oferta especial a usuarios de sus parques: (una de ellas para residentes en las Islas o con reducción de precio) LORO PARQUE y SIAM PARK, denominada TWIN TICKET (TT) consiste en que el usuario de uno cualquiera de los parques (con independencia de su edad) pueda visitar el otro con rebaja de precio como entrada NO NOMINATIVA, al portador, igual que las entradas denominadas “SEGUNDAS VISITAS, IN PARK y TARJETAS ANUALES”, según reconoció en pruebas y así figura el 8/07/2024 en la captura de pantalla de la web loroparque.com, https://www.loroparque.com/terminos-y-condiciones/, en el apartado f.- POLÍTICA DE PROTECCIÓN DE DATOS, dentro del apartado II “Condiciones generales de venta y servicios. Para el sistema de acceso, con esas entradas, entre las que se incluye TT, se utiliza control de tecnología biométrica basado en la huella dactilar, con objeto de que sea la misma persona que accede al primer parque, la que accede al segundo “ En alegaciones al acuerdo de inicio, la reclamada aportó del TT las “condiciones” en un impreso que rezan con la información de que solo podrá ser utilizado por una persona, y que en ningún caso es posible que las visitas a ambos parques sean efectuadas por C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/23 personas diferentes. Cifra el período para visitar el segundo parque en SEIS MESES desde la fecha de la visita al primero, pero se puede configurar otro distinto, pudiendo ser quince días. En el período de práctica de pruebas, la reclamada informó que también las entradas TT pueden ser adquiridas no solo online en su web, sino también presencialmente en la taquilla, quioscos, hoteles o a través de canales de terceros como operadores de turismo o Agencias con los que se suscriben acuerdos. QUINTO: En el acceso a una de las web OFICIAL de la reclamada para compra online de entradas TT, se pudo comprobar a 30/08/2023, en actuaciones previas, de investigación, que en la dirección https://tickets.loroparque.com/reservarEntradas.aspx? opc=20&m=INDIVIDUALTWIN&Ig=es-ES/. se han de completar CUATRO pasos. Iniciándose el 1 con la selección del número de entradas, de adultos (edad superior a 11 años), niño (de 3 a 11 años), gratis (0 a 2 años). En el paso 2, se elige el día y la hora en la que quiere la visita a cada parque, en el 3, se introducen los datos de contacto de la persona que compra las entradas, figurando un formulario para rellenar: NOMBRE, E MAIL, NÚMERO DE TELEFONO, PAÍS, CÓDIGO POSTAL, con una información básica sobre el tratamiento de datos, responsabilidad de LORO PARQUE, finalidad: gestión administrativa, emisión de entradas y control de acceso a recintos. Gestión contable y fiscal. Legitimación: por ejecución de un contrato, con información adicional en un enlace, casilla para solicitar la factura, y finaliza con dos casillas para marcar, una de “he leído y acepto las políticas de privacidad y de compras”, y otra de consentimiento para envío de información comercial. Por último, en el paso 4, se selecciona el método de pago que se produce a través de una pasarela de pago segura con una entidad bancaria, y se le envían las entradas por correo electrónico al e mail indicado, en formato pdf. Sin embargo, a la fecha de los hechos reclamados, la reclamada reconoce y, en el período de pruebas, también, que la dirección web donde se compraban en 2022 las entradas TT (y sigue existiendo) era en https://tickets.siampark.net/sereservarEntradas.aspx? opc=21&m=INDIVIDUALTWIN&lg=es-ES., con la misma operativa de adquisición. Añade la reclamada que también se podían adquirir las entradas TT, desde “2023 hasta ahora”, en la dirección web – https://www.loroparque.com/ticketsonline/es/paso0 Seleccionar la opción TWIN TICKET. En cualquiera de ellas, los datos a introducir para adquirir las entradas y la información es similar. La reclamada no aporta copia del Registro de Actividades de Tratamiento de estos datos que se cumplimentan (formularios) en, las TRES direcciones web citadas para la compra de entradas por los adquirentes de las mismas, entre otras, del TT, y que ella misma les informa que forman parte de un fichero, según consta en el punto 17 de la práctica de pruebas. SEXTO: La reclamada manifestó en alegaciones al acuerdo de inicio que, al acceder al primer parque, se le entrega a cada usuario un sobre con un “ticket/cartulina“y de la copia del mismo se aprecia que es distinto a la entrada TT on line adquirida en la web, teniendo en cuenta que el formato de la entrada on line adquirida en la web de la reclamada del TT tiene un formato pdf, y se le envía al e mail que proporciona en el proceso de registro y compra de las entradas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/23 El ticket cartulina que aporta, si bien no identifica su procedencia, podría ser de una entrada adquirida en la taquilla, no VÍA ONLINE, para el que en el caso de que así fuera, la reclamada informó que “no se pide ni datos al adquirente”. El ticket/cartulina que aporta, se ha de guardar y se presenta también al realizar la segunda visita. El citado ticket contiene: - un número de serie, - LORO PARQUE, fecha y hora para su acceso, - debajo, un código QR, -la información de no reembolsable, válido 15 días, Ticket intransferible La reclamada también informó que todas las entradas, entre las que se incluye la TT generan un código QR. Este mismo extremo se confirma en el Manual aportado por el reclamado documento 3 en pruebas, sobre software contratado, de gestión de entradas y accesos, cuando se adquiere la entrada por la web, “en el caso de confirmación se envía automáticamente al cliente un email con los datos de su compra, que incluyen un QR que utilizará para acceder directamente a la visita o actividad comprada”. De acuerdo con la reclamada, todas las entradas compradas on line, incluyendo las TT, así como el citado ticket/cartulina se han de introducir en cada una de las dos visitas a los parques incluidos en TT, en los sensores de acceso físicos del software al parque habilitados para ello, por la lectura del código QR. Si detecta que es una entrada TT, pide a continuación el dato dactilar, dedo índice, también, tanto o si es el primer acceso como el segundo, en el sensor/terminal lector de huella. Tanto el sistema de software de reserva y venta de entradas, como la toma de la huella son gestionados por el contratado de la reclamada con ***EMPRESA.1, (“con los periféricos de lectura adecuados incorporados en los dispositivos de accesos, el Sistema ***SISTEMA.1 soporta la incorporación de sistemas de lectura de tarjetas y pulsera (...), así como validación de parámetros biométricos, como son la huella dactilar y el reconocimiento facial“, contenido en el 2.2 del Manual, documento 3 punto 6 de pruebas). Además, la reclamada reconoció que no tiene establecido otro sistema alternativo a la toma del registro biométrico para acceder, exigiéndose para el acceso incluso para menores de edad, desde la edad de 3 años que se ha de abonar entrada. El código QR es distinto para cada entrada, se genera con el número de operación, numero de entrada, localizador de la compra. Aparte de otra información que pueda contener el citado código QR, la reclamada indica sobre este, que: -Se genera con el número de operación, número de entrada, localizador de la compra, puede llevarse en papel, o en soporte móvil, digital, o fotografía, -No se genera nunca con datos que suministra el comprador, y, -Su fin es permitir y validar el acceso de las entradas compradas, detectando que es un TT C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/23 Además, de acuerdo con el Manual de gestión de venta de entradas y control de acceso del contrato de software con ***EMPRESA.1, todas las operaciones de venta o reserva on line generan un localizador, y con sus sistemas de software de entradas pueden comprobar si un localizador o ticket ha accedido a través de un punto de acceso concreto a un centro específico (apartado 2.1.1.7 Solicitud de datos del visitante: nominar entradas, para tener el control sobre quien realiza la visita). De acuerdo con lo manifestado por la reclamada en pruebas, toda la solución del ticketing derivado de la venta de entradas para acceso a los parques se almacena en una base de datos Microsoft SQL, conteniéndose todos los datos necesarios para la venta y el acceso a los parques, los datos de la compra de la entrada para el acceso. Si la persona que compra las entradas on line TT, es la que accede al parque, hecho normal que no precisa de prueba, se acredita que esta ha registrado sus datos personales en los sistemas de la reclamada obteniendo una entrada en pdf que se envía a su correo electrónico. El sistema de venta de entradas le asocia a su entrada un código QR propio y un localizador. Además, la entrada comprada suele tener concertada y prefijada la primera visita para un día concreto y una hora o, de ambos parques (se puede programar según la oferta la validez del ticket para una segunda visita, 15 días o 6 meses, por ejemplo, o un año la tarjeta anual). El sistema de gestión de ventas y accesos de la reclamada contratado con ***EMPRESA.1 ha generado dichos códigos asignados a la entrada del adquirente, y el mismo sistema almacena por lectura los códigos QR y seguidamente la toma de la huella para el acceso del adquirente a los parques, luego ese adquirente puede perfectamente ser o estar identificado, al poder asociarse las entradas, por disponer el reclamado de los datos personales, información y los mecanismos que hacen posible relacionar, la toma de la huella con su nombre, teléfono, país, código postal, e mail, y si pidiera una facturación, de más datos, pudiendo conocer de quien se trata. La entrada se deshabilita (deja de tener vigencia), una vez que ha sido leída las veces que tiene definida. En caso de un Twin Ticket, tiene dos lecturas, una por parque, por tanto, cuando se ha leído dos veces, ya queda desactivada, inhábil, inoperativa, sin que se pueda volver a usar. A la tercera lectura no lanza el proceso de captación. El sistema es el que valida cuantas veces se ha leído una entrada y en caso de un TT, si se ha leído dos veces y se lee una tercera, dará entrada usada y el personal del control de acceso no debe de dejar acceder al cliente con una entrada usada. SÉPTIMO: La reclamada tiene suscrito un contrato con ***EMPRESA.1 de prestación asesoramiento e instalación y mantenimiento de un sistema de venta y reserva de entradas, control de accesos y actividades de los parques, que incluyen licencia de software, de 13/07/2020, para la explotación de la plataforma. En el anexo al contrato de gestión de venta de entradas y gestión de accesos de la reclamada con ***EMPRESA.1, documento 3 del punto 6, de práctica de pruebas, figura a modo de Manual de referencia, las características de dicha plataforma, que gestiona ***EMPRESA.1. Entre otras, se indica: Los distintos equipos que se pueden utilizar para los controles de acceso con los que es capaz de trabajar el sistema de reserva y acceso de entradas, comparten una BBDD común para la validación de las entradas donde se puede configurar que se debe tener C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/23 en cuenta a la hora de permitir o no la entrada: horario, un único acceso o varios, validez durante un rango de fechas, etc. Como tipo de control de acceso, el contrato con ***EMPRESA.1 menciona entre otros, tornos, atril con unidad lectora, PDA, y tiene la opción de verificar los accesos posteriores a la primera visita por medio de sistema biométrico-huella o reconocimiento facial (con los periféricos de lectura adecuados incorporado en los dispositivos de accesos) (o identificación por DNI o pasaporte-sistema OCR). Además, también para acceder por primera vez, se puede con los periféricos de lectura adecuados en los dispositivos de acceso donde están colocados, validar los mismos no solo con datos biométricos referidos, también con tarjetas y pulsera (...). El punto 2.3 del Documento 3, señala que el “sistema es multi-aforo y multi-recinto por lo que permite la venta y emisión de diferentes productos (entradas, bonos, promociones, abonados) con posibilidad de realizar varios accesos a uno o varios de los Parques del Grupo según las características definidas en el momento de definir el producto. Tal y como se detalla en el punto anterior de Control de Accesos se puede verificar los accesos posteriores a la primera visita por medio de sistema biométrico (huella o reconocimiento facial) o identificación por DNI o pasaporte.” “La información obtenida en el momento del acceso se guarda en la BBDD con toda la información estructurada de modo tal que se puede vincular con toda la información relativa a la venta, reserva, abonado … correspondiente. De este modo se obtiene la total, trazabilidad de las operaciones.(2.2. control de acceso (...), documento 3, aportado en pruebas, llamado “solución de venta y reservas de entradas control de accesos y actividades. Propuesta de alcance fase 1”, punto 6. El apartado 3 “Aplicaciones de informes (…)”, del citado documento 3, señala que el sistema cuenta con herramientas que permiten un seguimiento completo de las actividades y eventos creados en el sistema desde que fueron dados de alta hasta la finalización de los mismos, incluyendo un desglose de la trazabilidad de las operaciones realizadas sobre cada una de las entradas y recintos implicados desde que se reservaron hasta que accedieron al centro. Igualmente, el manual señala en el punto 2.1.1.7 “solicitud de datos del visitante: nominar entradas”, que, “en algunos casos, los productos que se adquieren requieren ser nominados para tener el control sobre quien realiza la visita”, pudiéndose guardar los datos. El apartado 2.1.1.9 Funcionalidades adicionales, indica que al finalizar la venta se pueden “capturar los datos del visitante para que quede asociada la venta a un visitante, aunque no esté registrado”. En la ventana de facturación, captura de datos 2.1.1.10, se han de completar los datos de NIF y dirección del cliente registrado o la factura se puede cambiar a un visitante diferente al cliente registrado. Según informó ***EMPRESA.1, la clave de cifrado de las minucias capturadas se almacena en la memoria interna del sensor. Afirma la misma entidad que la huella cifrada puede ser legible por parte del fabricante del dispositivo que la transformaría en legible. El dato codificado de la plantilla de cada usuario que accede a los parques se almacena en los sistemas de la reclamada. La reclamada manifestó que captura las minucias (diez puntos de coincidencia de huellas digitales) con cámara (...) y su encriptación automática en dicho dispositivo genera una C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/23 representación matemática que se almacena en equipamiento informático de LORO PARQUE SA, securizado y cuyo uso es exclusivo para el sistema de venta de entradas y validación de accesos. En la única localización física donde se guardan estos datos en la infraestructura tecnológica de Loro Parque SA, tanto en su (…). Durante el tiempo de vigencia del TT, cada entrada porta un localizador y un código QR incluyendo las no adquiridas en la web. Durante ese tiempo de vigencia de la entrada se ha de conservar el ticket que porta el código QR que se ha de presentar en cada acceso al dispositivo al efecto, junto a la toma de la huella. El sistema de venta de entradas y acceso contratado con la empresa ***EMPRESA.1 incorpora un sistema de validación de parámetros biométricos de la huella dactilar la marca (...), modelo (...) suministrados por la empresa ***EMPRESA.2,”. En el documento 3, que presenta la reclamada, sobre la fase 1 de implantación del sistema de reserva de entradas y accesos, anexo al contrato (instalación y puesta en servicio), se contiene una amplia variedad de funcionalidades, indicándose que todas las entradas generan un localizador que puede seguirse y verificarse si el poseedor ha accedido y por dónde. Además, el sistema valida lectura de códigos de barras y QR emitidos por las distintas plataformas de venta. En el punto 2.2 control de acceso, se indica que: “En el caso de realizar la nominación de los visitantes en cada una de las entradas, bonos, promociones, etc. que se emiten en el momento de la venta o reserva, se puede verificar en el punto de acceso la identidad del visitante por medio de la lectura de código OCR del documento de identidad o pasaporte. La información obtenida en el momento del acceso se guarda en la BBDD con toda la información estructurada de modo tal que se puede vincular con toda la información relativa a la venta, reserva, abonado … correspondiente. De este modo se obtiene la total, trazabilidad de las operaciones. Todos los códigos seguirán el mismo esquema de codificación, que incluye distintos datos para poder hacer las validaciones configuradas y unos dígitos de seguridad para verificar que el código pertenece al sistema. Las validaciones que un control de acceso realiza dependen del tipo de control asociado al tipo de entrada del ticket. Así, configurando dos tipos de control distintos, se podría hacer que el tipo de entrada “Invitación VIP” de una visita no controlase la hora de acceso, mientras que una entrada “General” sí lo hiciera y no pudiera pasar hasta que la sesión no estuviera cercana a su inicio.” Los tipos de control se pueden configurar por ejemplo para que la entrada acceda un día para el que se reservó, dentro de un rango horario, rango de fechas de validez del acceso, o sin acceso que se configuraría para prevenir el uso inapropiado de un producto Por reconocimiento de la reclamada en pruebas, indicó que todo tipo de entradas no nominativas, también las de TT son gestionadas mediante el sistema contratado con la empresa ***EMPRESA.1. OCTAVO: Queda acreditado que la reclamada es considerada a efectos de la normativa de protección de datos, la responsable del tratamiento de los datos que se recogen para C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/23 la venta de entradas a los parques mediante el uso de la oferta TT, en particular con la venta on line en sus sitios web, de tal tipo de entradas, estableciendo los datos personales que se han de proporcionar en el formulario de registro de datos para adquisición de entradas que incorpora a sus sistemas como responsable del tratamiento, así como del sistema seleccionado de recogida de muestra biométrica de la huella dactilar para accesos a sus parques, en concreto LORO PARQUE y SIAM PARK, mecanismos implementados a través de la empresa externa contratada, ***EMPRESA.1 ***SISTEMA.1 que actúa por cuenta de la reclamada. La entidad que a la reclamada le gestiona el sistema de reconocimiento biométrico con lectura de huella dactilar para los parques dependientes de Loro Parque, es la empresa externa -***EMPRESA.1 -***SISTEMA.1- por contrato de 13/07/2020 que se engloba y contiene en el más amplio de (suministros) “servicio de venta y reserva de entradas, control de acceso”, e incluye un sistema de asesoramiento, así como la instalación integral de los trabajos y licencias software, puesta de servicio, incluidos en el documento “solución de venta y reserva de entradas- control accesos y actividades, y su mantenimiento”. Entre estos servicios, se incluiría, la reserva de los clientes de los tickets, el pago, facturación, y cuestiones de la plataforma cuyo software gestiona, pudiendo destacarse la cláusula primera, que se indica que “***SISTEMA.1 dispone de recursos humanos y técnicos necesarios y suficientes para la correcta prestación de los suministros objeto del presente contrato, dependiendo el personal contratado por ***SISTEMA.1-***EMPRESA.1, y se prevé que “Las actividades ***SISTEMA.1 deberán realizarse con la debida diligencia atendiendo en su caso correctamente al público usuario y a los trabajadores o empleados de LORO PARQUE O DE SU GRUPO DE SOCIEDADES”. Así pues, se acredita que dicha empresa es la que realiza por cuenta de la reclamada no solo la captura dactilar que se convierte en representación matemática o plantilla biométrica, encriptada en sus sistemas, que se acredita son datos biométricos de carácter personal, sino también la gestión de las entradas y los accesos que las mismas otorgan y contienen, a través de su plataforma on line, por lo que se puede estimar que realiza funciones de encargo de tratamiento por cuenta de la responsable del tratamiento, la reclamada. NOVENO: El dispositivo lector de la huella dactilar (un dedo, índice) empleado por la reclamada, fue adquirido a la entidad ***EMPRESA.2, sociedad fabricante y creadora de sistemas biométricos basados en el software (...) tecnología de (...) y en su Manual, explica que se trata de un sensor que al capturar la huella puede cifrarla en el mismo momento, capturando las minucias-imagen-de una huella, a través del dispositivo ***DISPOSITIVO.1. El Manual contiene el funcionamiento del registro de la huella, siguiendo un proceso por pasos basado, primero en la adquisición de la imagen (3.2.1 manual, doc 4) y el tratamiento de la imagen acaba en la producción de una “lista de minucias, (puntos de la huella) - plantilla biométrica -que es una representación matemática de la huella original” “La plantilla es usada durante el proceso de matching para compararla contra las plantillas previamente almacenadas”. (3.2.2 del manual, tratamiento de la imagen y características de la detección), bien en una base de datos, bien en una tarjeta (3.2.3. matching). Añadió la reclamada que: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/23 - su sistema biométrico se basa en un “mecanismo que mediante diez puntos de coincidencia de huellas digitales” que se “almacenan” “verifica, con independencia de la edad, que quien hizo uso de la entrada a LORO PARQUE es la misma que la que hace uso de la entrada a SIAM PARK (o viceversa).” La “retención es limitada al tiempo que sea necesario para identificar al visitante” “Los datos de la huella se conservarán únicamente mientras la tarjeta o entrada en cuestión este vigente, y se destruirán de forma inmediata cuando dejen de estarlo, protegiendo así la privacidad y seguridad de los usuarios.” Las minucias de la huella en forma de representación matemática (plantilla biométrica) se almacenan encriptadas en una base de datos de la reclamada. Afirmó la reclamada que, a pesar del cifrado de la plantilla biométrica, la clave del descifrado la tiene el fabricante del dispositivo. DÉCIMO: Respecto a las entradas adquiridas a través de una Agencia, como el caso de reclamante 2, a través del barco, (...), manifiesta la reclamada que en esos casos su cliente es dicha Agencia, no el cliente final para el que la Agencia compra las entradas. Las entradas de reclamante 2 y sus familiares contenían para cuatro billetes, sus nombres y apellidos, localizadores:e1+`p el mismo para los cuatro billetes, (...), nº billete: (el mismo número para los cuatro billetes, (...) a (...), secuenciales seguidos), y NIF/NIE/tarjeta residente de dos adultos y NIF de dos infantes, y códigos de barras en cada billete del bono. Indica la reclamada que ella no recaba nombre y apellidos de los que van a usar los billetes, siendo cuestión de la Agencia, pero que se almacenan en sus sistemas los datos que la Agencia le proporciona. En este caso concreto, del relato de la reclamada, se desconoce ciertamente si la nominación e identificación de las entradas y el resto de los datos se asignaron por la Agencia a los usuarios tras adquirir las entradas de la reclamada, o la forma de proceder de la Agencia al solicitar estos billetes. DÉCIMO PRIMERO : Solicitada a la reclamada el número de clientes registrados en su web que dan sus datos para adquisición de TT en 2022, así como del número de personas que accedieron a los dos parques en 2022 con el TT, a pesar de contar con el citado software de entradas que facilitaría la respuesta y efectuar dicho conteo, respondió que: “No aparece una contabilidad diferenciada con respecto del resto de entrada”. DÉCIMO SEGUNDO: Respecto a si la reclamada tuvo en cuenta algún informe o dictamen profesional o técnico que analizara el uso del sistema biométrico para verificar que el segundo acceso a los parques con el TT se hacía por la misma persona que en el primer acceso, o si al respecto había analizado alternativas al sistema, y su afectación a protección de datos, la reclamada indicó que no era necesario pues no se tratan datos personales. DÉCIMO TERCERO: Solicitada en actuaciones previas de investigación la copia de la Evaluación de Impacto sobre Protección de Datos que refiere el artículo 35 del RGPD por el tratamiento de los datos biométricos de la huella dactilar para el control de acceso a los parques con la TT, o el informe por el que considera que no debe realizarla, la reclamada reconoció que no fue aportado porque no contaba con la misma, con base a que considera que no trata datos personales de este tipo. Solicitada copia del documento de análisis de riesgos sobre dicho tratamiento tampoco fue aportada. Solicitado el RAT sobre el mismo tipo de tratamientos, no lo aportó, manifestando que concurrían las circunstancias del artículo 30.5 del RGPD para su excepción. Se acredita, además, que la reclamada utiliza el sistema de huella dactilar referido para menores de edad, para C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/23 mayores de 3 años, siendo las entradas TT gratis para menores de dicha edad, según la referencia informativa que figura el momento de su adquisición on line en la web de la reclamada, por lo que no habría motivo alguno para exigir dicho tipo de datos para su acceso con la finalidad de verificar que es la misma persona dado su carácter gratuito.” TERCERO: La parte recurrente ha presentado en fecha 30/10/2024 en esta Agencia Española de Protección de Datos, recurso de reposición, fundamentándolo, básicamente, en: 1-Reitera lo ya alegado a la propuesta y reflejado en el punto 10 del apartado DÉCIMO TERCERO: Alegaciones a la propuesta de resolución, de los ANTECEDENTES de la Resolución ahora recurrida, de que una vez la AEPD ha manifestado su error al consignar como nueve meses de duración del procedimiento, por mor del artículo 64.2 de la LOPDGDD, en vez de doce meses, “Debe declarar la nulidad del acto administrativo en la parte errónea, y en su caso, convalidar el acto anulable, subsanando el vicio denunciado conforme dispone el artículo 52.1 de la LPACAP”. Insta la nulidad del acto por infracción del artículo 47.1.
  4. a)en relación con el artículo 52 de la LPACAP. La recurrente afirma que recibió la petición de pruebas tras haber vencido el plazo de duración del procedimiento de nueve meses que establecía el acuerdo de inicio, por lo que a fecha de 2/07/2024, dado que el acuerdo de inicio del procedimiento sancionador se firmó el 2/10/2023, debió declararse la caducidad, como indica el artículo 25.1.
  5. b)de la LPACAP, al haber transcurrido el tiempo de resolución del procedimiento que se estableció en el acuerdo de inicio de nueve meses. 2-Se contienen “en la resolución alegaciones como la de petición de nulidad en base al artículo 47.1.
  6. e)de la LPACAP” que considera no ha realizado. Y reitera lo ya alegado frente a la propuesta de resolución, y reflejado en el punto 11 del apartado DÉCIMO TERCERO: Alegaciones a la propuesta de resolución, de los ANTECEDENTES de la Resolución ahora recurrida, sobre nulidad del procedimiento y relacionado con el punto anterior, “por haberse dictado prescindiendo total y absolutamente del procedimiento legalmente establecido, en base al artículo 47.2 de la LPACAP”, por no llamar al expediente a todas las empresas a las que la AEPD ha considerado responsables de las infracciones, habiéndole causado indefensión al no haberlas traído al expediente para que “se pudieran defender y para que se pudiera defender correctamente LORO PARQUE”. No entienden que de la definición del artículo 70 de la LOPDGDD, el procedimiento solo se haya dirigido contra ellos. “Se vulnera el artículo 28.3 de la Ley 40/2015, de 1/10 de Régimen Jurídico del sector público, que indica que “Cuando el cumplimiento de una obligación establecida por una norma con rango de Ley corresponda a varias personas conjuntamente, responderán de forma solidaria de las infracciones que, en su caso, se cometan y de las sanciones que se impongan”. Insiste en que la AEPD, de acuerdo con el citado artículo 70 considera responsables de las infracciones a los responsables de los tratamientos y a los encargados, y en este caso se ha exonerado de toda responsabilidad al encargado de tratamiento.” Añade la recurrente que el hecho de no haber llamado al expediente a tales actores supone un vicio de nulidad del artículo 47.3 de la LPACAP, “ya que la declaración de responsabilidad solidaria ha debido hacerse con audiencia de los dos responsables que señala la resolución, pues de lo contrario, se quiebran los derechos de la parte condenada al pago de la sanción a repetir contra la otra mercantil responsable, que alegará la nulidad de la declaración por el defecto procedimental expuesto.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/23 3- Manifiesta la recurrente que al indicar la resolución que el RGPD no define los términos tecnológicos como plantilla biométrica, y en apoyo de sus tesis, la AEPD se remite al dictámenes 3/2012 o directrices 5/2022, sobre el uso de reconocimiento facial, se está infringiendo el principio de tipicidad, toda vez que viene a reconocer que no hay norma alguna que prohíba el sistema usado por LORO PARQUE, utilizando para describir la conducta infractora la remisión en parte a normas reglamentarias o de rango inferior a la ley (leyes penales en blanco). Al indicarse que se considera acreditado que se ha utilizado una plantilla biométrica, concepto que no se contempla en la ley sancionadora, infringe el principio de tipicidad, actuando el RGPD y la LOPDGDD como “leyes penales en blanco”, dado que no figura remisión expresa a ninguna otra disposición que sirva de apoyo a la hora de concretar el ilícito administrativo. 4- Refiere la recurrente modificaciones sufridas en la resolución con respecto a la propuesta de resolución, ampliando a la vista de las alegaciones los fundamentos de derecho, sufriendo indefensión, que “persigue un fin inculpatorio no mantenido en la propuesta”, vulnerándose el principio acusatorio al introducir nuevos argumentos interpretativos que han limitado el derecho de defensa al no haber conocido plenamente desde un principio los hechos que se le imputan. Los cambios consistieron en añadir: -”la calificación de que es indiferente que el proceso sea o no reversible, siendo una cuestión de seguridad”, cuando la recurrente considera que la reversibilidad o no del proceso es una cuestión altamente trascendente. - tres folios y medio al fundamento de derecho III, en “datos biométricos”. -“Sin embargo como hemos explicado y motivado la plantilla biométrica es un dato de carácter personal”. - párrafos que suponen valoraciones nuevas, como ejemplo “sostener que las personas físicas no son identificables cuando la finalidad del tratamiento es precisamente identificarlos, sería una incoherencia”. -Cinco párrafos la pagina 51/80 y el primero de la página 52/80 con consideraciones refutadas por esta parte. 5- Reitera lo manifestado a la propuesta de resolución, y reflejado en el punto 1 del apartado DÉCIMO TERCERO: Alegaciones a la propuesta de resolución, de los ANTECEDENTES de la Resolución ahora recurrida, en cuanto a que considera que la representación matemática de una huella no es un dato personal como estima la AEPD, “porque la citada representación, no permite hacer un camino inverso hasta la huella digital del cliente, y por ende hasta su identificación (no posibilidad de uso de ingeniería inversa)”, no habiendo hecho prueba alguna la AEPD de que esta afirmación sea errónea (en otras partes de sus alegaciones en vez de representación matemática utiliza el término “minucias de las huellas, que no son las huellas dactilares”). Añade que la representación matemática de la huella no nos dice nada sobre el cliente, y que “el portador de la entrada tampoco es en ningún momento identificado nominadamente, es igual que el portador de una entrada de cine”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/23 Añade que, al no existir dato personal, no existe tratamiento, pues no hay información referente a persona alguna. Tampoco considera que se dan las premisas de la definición contenida en el artículo 4.14 del RGPD, al indicar que los datos biométricos son datos personales-información sobre una persona, “obtenidos a partir de un tratamiento técnico específico, relativos a las características físicas, fisiológicas o conductuales de una persona física, como imágenes faciales o datos dactiloscópicos”, “lo que no sucede en este caso, ya que la representación matemática de la huella (lo único que obtiene) no nos proporciona dato personal alguno sobre la persona alguna, por lo que es imposible obtener datos identificativos de la persona”. “Nunca ha obtenido huella digitales ni puntos de huellas digitales, sino que mediante los sensores de huella ***DISPOSITIVO.1 se cifra internamente la huella que capturan en el mismo momento de la captura dactilar y recibe directamente el dato codificado, LORO PARQUE recibe directamente un dato codificado, no recibe una huella dactilar ni puntos de la huella dactilar. Al recibir la empresa a la que se pretende sancionar un dato codificado, no recibe ningún dato de carácter personal de los señalados en el artículo 4.14 del RGPD.” Continua indicando que así, al estar codificado el dato, la información biométrica de la persona se convierte en una forma ilegible sin el descifrado correspondiente, “así como que la conversión de la huella en una clave cifrada contribuye a la anonimizacion de datos, al separar de manera efectiva la información biométrica de cualquier otra información identificable. Al no almacenar directamente la huella en su forma original, se reduce la posibilidad de correlacionarla por sí misma con otros datos personales, datos a los que no tiene acceso la empresa, lo que disminuye el riesgo de identificación del individuo a partir de la huella, fortaleciendo su privacidad”. Reitera que la representación matemática les sirve para comprobar que quien usa una entrada de acceso a un parque, adquirida haciendo uso de una promoción económica, es la misma persona que accede posteriormente, y considera que no implica obtener dato personal alguno del usuario, pues, de hecho, manifiesta que “nunca hemos almacenado dato personal alguno para lograr la verificación de usuarios de la oferta comercial TT”. “LORO PARQUE, S.A., no comparte dato personal alguno con la empresa de Software “***EMPRESA.2”, que permitiera a ésta, llegado el improbable caso de querer hacerlo, identificar al titular de las minucias, por lo que, utilizando el argumento de la sentencia del TJUE de 19/10/2016 que contiene el acuerdo de inicio de procedimiento sancionador, el cliente, su persona, no es “identificable”, ni con ayuda de terceras personas, al menos “razonablemente”. Ni LORO PARQUE ni sus empresas colaboradoras en el sistema pueden acceder a dato personal que permita identificar a una persona. La AEPD incurre en error la considerar que la lectura de los códigos QR de las entradas identifican personas, porque “ha quedado demostrado que lo único que hace es comparar códigos QR, que permiten al acceso de los clientes previamente anonimizados. De la comparación de códigos QR no podemos saber absolutamente nada de los usuarios de los mismos, precisamente porque no contienen dato personal alguno “ C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/23 No puede la AEPD afirmar como hace en el párrafo quinto del folio 54/67 que “Se estima que la reclamada trata los datos de los accesos a sus parques con la entrada TWIN TICKET mediante la huella dactilar susceptible de identificar al adquirente, de forma unívoca, sin que concurran los requisitos del artículo 9 del RGPD, habiendo infringido dicho artículo”, y no se pude afirmar sin prueba que así lo determine, porque decir que LORO PARQUE, S.A. utiliza la huella dactilar de sus clientes, es, dicho sea en estrictos términos de defensa, absolutamente falso. Manifiesta que, al no almacenar datos personales, no almacena la huella y no proporciona información personal alguna, ni dato personal alguno del cliente y por tanto no infringe el artículo 9 del RGPD, “o al menos está adoptando las precauciones técnicas necesarias para que eso sea así”. Afirma que no menciona la AEPD como probado que los datos de compra de entrada y los códigos QR generados para control de uso de los TT queden entrelazados de tal forma que permitan a LORO PARQUE determinar quién es el concreto usuario de los QR, ¿cómo se ha llegado a la conclusión que figuran en el penúltimo párrafo de la página 65/80? “En el último párrafo de la página 65/80 insiste la AEPD”, “sin prueba en considerar que un código o una información codificada puede identificar a una persona, y no es cierto, lo que hace es identificar la correcta correlación entre la entrada en el primer parque con la entrada en el segundo parque, Nuestro sistema no “auténtica a la persona”, sino que autentica códigos QR que nada nos dicen de un usuario”. 6- Reiteran lo manifestado frente a la propuesta de resolución y reflejado en los puntos 6 y 14 del apartado DÉCIMO TERCERO: Alegaciones a la propuesta de resolución, de los ANTECEDENTES de la Resolución ahora recurrida, de que para el control de acceso a los parques mediante las entradas TT llevan dos procedimientos paralelos que no se cruzan en ningún momento, el de venta y el de acceso, “de tal forma que, aunque el adquirente “on line” compre una sola entrada TT para sí mismo, no se encontraría perfectamente identificado, y es que la AEPD no ha hecho prueba alguna para sustentar sus afirmaciones”. Sostiene que la AEPD continua considerando que los datos de compra y los datos de control de acceso están interrelacionados y así se expone en el párrafo último de la página 66/80 y ss. de la resolución. Afirma que la AEPD no acredita la posibilidad razonable de la existencia de un tercero accesible que posea los medios necesarios para propiciar la identificación de una persona, o, dicho de otra forma, la simple posibilidad real de utilizar un medio licito para obtener los datos adicionales que le permitan identificar al titular de la información de que se trata. 7- Manifiesta que nada de lo mantenido por la AEPD ha resultado probado. No ha podido probar que la reclamada almacenara datos personales de los clientes asociados al sistema de adquisición y uso de TT. No acredita que con la representación matemática obtenida de la muestra biométrica se reconozca a la persona en modo de verificación. “Nuestros códigos matemáticos no identifican a personas, solo reconocen la validez de las entradas y los códigos QR a ellas asociadas”, no existiendo mecanismo que permita asociar un dato con una persona, que estuviera en principio fuera del alcance de quien C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/23 posea esos datos y ni siquiera con ayuda de terceras personas se puede razonablemente identificar a la persona cuyos datos se tratan. Manifiesta que con el sistema de acceso no utiliza dato biométrico alguno que permita identificar al cliente ni saber nada mas de él, pues los datos guardados abstraídos de cualquier otra consideración no identifican personas sino usuarios anónimos de un producto comercial. Ni LORO PARQUE, ni las empresas colaboradoras puede por sí mismos ni a través de terceros intervinientes acceder a dato personal que permita identificar a persona alguna, “puesto que las representaciones matemáticas no permiten ser revertidas hasta conseguir una huella digital que como tal permite identificar a su titular.” 8- Reitera la alegación hecha a la propuesta de resolución y reflejada en el punto 2 del apartado DÉCIMO TERCERO: Alegaciones a la propuesta de resolución, de los ANTECEDENTES de la Resolución ahora recurrida, de que LORO PARQUE contrató los servicios de control de accesos entre los cuales se incluye control de accesos con el TWIN TICKET, mediante un sistema informático que permitiera su correcta gestión y se produjo la adquisición del software y hardware, y “se nos garantizó en base a la idea de que “con sus sistemas no había posibilidad de obtener dato personal alguno de los clientes en lo relativo al control de accesos y que el proceso automatizado no nos proporcionaría la huella digital de los clientes, sino una representación matemática, que impedía relacionarla con las minucias obtenidas y por tanto con la huella de origen, siendo además un procedimiento irreversible, esto es que no permitía llegar a identificar a nuestros clientes haciendo el camino inverso con el resultado del final del proceso” Si no hay datos personales, no se puede considerar que LP sea responsable de infracción alguna. Afirma que el hecho de ser sancionada supone una vulneración del artículo 25 de la Constitución Española, que impide ser sancionado por acciones u omisiones que en el momento de producirse no constituyen infracción según la legislación vigente y del principio de legalidad contenido en el artículo 27 de la ley 40/2015. Asimismo, infringe los principios de legalidad y tipicidad al intentar aplicar la legislación de protección de datos a un sistema de comprobación de entradas que no utiliza dato personal alguno. 9- Manifiesta la recurrente que carece de prueba la indicación de la grave y significativa falta de diligencia (artículo 83.2.
  7. b)del RGPD) “en la conducta que agrava la infracción de su antijuridicidad por la ausencia total del deber exigible”, sino lo contrario, reiterando como hizo frente a la propuesta la alegación de que “ externalizó un sistema de control de accesos a sus parques para conseguir que en el control de acceso a los parques no tener dato personal alguno”. Y reitera lo manifestado frente a la propuesta de resolución y reflejado en el punto 14 del apartado DÉCIMO TERCERO: Alegaciones a la propuesta de resolución, de los ANTECEDENTES de la Resolución ahora recurrida, de que son abusivas las constantes e injustificadas alusiones a que los datos que afectan a menores de edad tratados por empresas externas a LORO PARQUE, cuando se ha probado que han sido anonimizados datos, y que se tiene en cuenta en la graduación de la infracción. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/23 Por último, aunque impugna, “por los mismos motivos expuestos a lo largo del presente escrito, los argumentos mantenidos por la AEPD para imponer la prohibición total establecida en el punto segundo de la resolución, folio 79/80”, reitera lo manifestado frente a la propuesta de resolución, que desde el 18/09/2024 ha sustituido el sistema de control de acceso para TT a que se refiere este procedimiento explicando el nuevo sistema de control de acceso a los parques, aportando: En documento uno, aporta copia de un envío de comunicado interno de 16/09/2024, del Departamento de IT a “Dirección comercial, taquilla, marketing, asunto “cambio control acceso Twin ticket y tarjetas anuales”. “se exponen las modificaciones y repercusiones que va a conllevar el cambio de control de acceso de los Twin Tickets y tarjetas anuales. Actualmente el control de acceso de los Twin Tickets y tarjetas anuales se hace mediante la lectura del QR de la entrada y solicitando la lectura de las minucias digitales, originando a través de un sistema de mapeado una ecuación matemática que posteriormente en la segunda lectura del QR se hace una generación similar y una comparativa entre ambas ecuaciones matemáticas, si la comparación es igual al 85% se habilita el acceso Este método ha traído múltiples problemas en consecuencia se ha decidido cambiarlo El nuevo control de acceso se basará en lo siguiente Para el caso de TT: Habrá una entrada donde se generará un QR que tendrá dos lecturas disponibles, una para cada parque. Pudiéndose leer una sola vez al día en un parque, con esto evitaremos casos de doble lectura en los controles de acceso. El control para que sea la misma persona que accede a ambos parques, será mediante una pulsera personalizada del LORO PARQUE/ SIAM PARK, intransferible que al cliente se le pondrá en el acceso al primer parque y que el cliente deberá enseñar y llevar puesta físicamente a la entrada del segundo parque y durante la lectura del QR. En tal caso, la segunda lectura del QR y la pulsera puesta, es lo que otorgará el acceso al segundo parque. En principio, sin estos dos elementos, es decir el QR y la pulsera puesta, no se podrá acceder al segundo parque Para el caso de las tarjetas anuales, la comprobación de dichas tarjetas será mediante una comprobación física de alguna documentación oficial de la identificación del cliente, sin almacenar ningún dato de dicha documentación oficial. En caso de no tener disponible físicamente la tarjeta anual, no se les permitirá el acceso a los parques.” En documento dos, aporta certificado que indica que el 18/09/2024 se instauró un nuevo sistema de control de acceso para LORO PARQUE y SIAM PARK, en sustitución del sistema que hasta ese día venía siendo utilizado para las tarjetas TWIN TICKET y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/23 ANUAL, y que “el nuevo sistema no implica la captura de ningún dato u origen de datos de carácter biométrico de los clientes”. FUNDAMENTOS DE DERECHO I Competencia Es competente para resolver el presente recurso la Presidencia de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la LPACAP y el artículo 48.1 de la LOPDGDD. II Contestación a las alegaciones En relación con las alegaciones efectuadas en el recurso cabe señalar lo siguiente: Primero: Sobre la caducidad del expediente La alegación 1 ya fue contestada en la propuesta de Resolución, y en la Resolución en el fundamento de Derecho VII. A lo ya indicado al respecto reiterando que la duración del procedimiento sancionador se determina en el artículo 64.2 de la LOPDGDD (el procedimiento tendrá una duración máxima de 12 meses a contar desde la fecha del acuerdo de inicio, previsión vigente en el momento de dictarse el acuerdo de inicio del procedimiento sancionador), como ya se señaló en la propuesta de Resolución, que expresamente se remitió a lo establecido en dicho artículo, se ha de sumar que el artículo 29 de la LPACAP indica: “Los términos y plazos establecidos en ésta u otras leyes obligan a las autoridades y personal al servicio de las Administraciones Públicas competentes para la tramitación de los asuntos, así como a los interesados en los mismos.” En este caso concreto, dado que el acuerdo de inicio es de 2 de octubre de 2023 el expediente caducaba el 2 de octubre de 2024, habiéndose dictado la Resolución ahora recurrida el 1 de octubre de 2024, por tanto, dentro del plazo de doce meses establecido en el citado artículo 64.2 de la LOPDGDD. Y sobre la nulidad del artículo 47.1.
  8. a)de la LPACAP, que confiere como nulos los actos de la administración pública: “
  9. a)que lesionen los derechos y libertades susceptibles de amparo constitucional”, en este caso no se ha lesionado derecho o libertad alguna, ni se apunta en la alegación presentada cuál pueda ser éste y como se ha producido la lesión que invoca. Por lo demás: “Son anulables los actos de la Administración que incurran en cualquier infracción del ordenamiento jurídico, incluso la desviación de poder”, y el hecho de señalar en el acuerdo de inicio que el procedimiento tiene una duración de nueve meses, consignando junto a ello el artículo 64 de la LOPDGDD, no revela sino un error de transcripción que no supone infracción del ordenamiento jurídico, al figurar reglada en dicho artículo la duración del procedimiento, que es de doce meses. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/23 Segundo: Nulidad del expediente sancionador en aplicación del artículo 47 de la LPACAP El recurrente alega la nulidad del procedimiento en base a lo dispuesto en el artículo 47 de la LPACAP, habiéndose contestado dicha alegación tanto en la propuesta de Resolución como en la Resolución, tras analizar el contenido de su apartado 1.e), así como su apartado 2. La alegación parte del malentendido por parte del recurrente de considerar también responsable de la infracción imputada al encargado del tratamiento, cuando tal enunciado no se contiene en la resolución, con lo que todo lo demás que como efecto anudado como alegación deriva: indefensión o responsabilidad solidaria de las infracciones, no puede prosperar. Así, cabe señalar que en la resolución no se indica que el responsable de la infracción sea el responsable y el encargado del tratamiento, sino que se cita primero el artículo 70 de la LOPDGDD, para señalar que “están sujetos al régimen sancionador”, y se enumeran las condiciones de los mismos, responsables, encargados etc., sin que ello signifique que en cada caso hayan de ser todos responsables de los hechos investigados. Lo que se quiere significar es que la responsabilidad recaerá en cada caso en el sujeto que conforme las disposiciones vulneradas sean responsables de los hechos y analizado el caso concreto, consecuentemente a la participación en el hecho que se analice. En este caso, como ya se indicó en la Resolución remitiéndonos a reiterada jurisprudencia comunitaria (por todas ellas, STJUE de 5 de diciembre de 2023, asunto C683/21), el responsable del tratamiento es responsable no solo por el tratamiento de datos personal que efectúe él mismo, sino también por los tratamientos realizados por su cuenta por un encargado al que haya recurrido, que ha efectuado el tratamiento por cuenta del citado responsable del tratamiento, siendo ésta la situación que se produce en este supuesto, como quedó acreditado en la Resolución ahora recurrida y de ahí la imputación al responsable del tratamiento, sin que en ningún caso se haya derivado responsabilidad por los hechos acreditados a terceros. A lo anterior, hemos de adicionar la reciente SAN de 8 de febrero de 2024, rec. 0002250/2021, en la que se determina: “Pues bien, la sociedad recurrente es la responsable del tratamiento, pues determina la finalidad y medios de los tratamientos realizados con las finalidades señaladas en su Política de Privacidad: … Pues bien, no ha que quedado acreditado que las citadas empresas, como encargadas del tratamiento de la parte actora, hayan determinado fines y medios del tratamiento, ni hayan utilizado los datos de los clientes de aquella para sus propias finalidades, ni han interactuado frente a los interesados ajenos a la estructura y nombre comercial de la sociedad recurrente, sino que han actuado bajo el nombre de la parte actora para el cumplimiento de los fines de estos, utilizando los sistemas de ésta para realizar las operaciones con los clientes. Por lo que, no cabe invocar el art. 28.10 del RGPD para una presunta atribución de responsabilidad a los encargados que, además, implique la exoneración del responsable del tratamiento, es decir, de la sociedad aquí recurrente. Por otro lado, conforme a los reseñados contratos, se incluye una cláusula que repercute en ellos las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 18/23 posibles sanciones que la sociedad demandante pudiera sufrir por el incumplimiento de las obligaciones en materia de protección de datos”. En tal sentido, conforme a la normativa de protección de datos, el encargado del tratamiento no es un “externo” al responsable del tratamiento como alega la parte recurrente, sino que sus actuaciones pertenecen al ámbito de actuación del responsable del tratamiento, pues realizan el tratamiento en nombre y por cuenta de este. Tercero: Sobre la prohibición de tratamiento de datos biométricos A esta alegación ya se respondió en el fundamento de derecho IV de la Resolución, Prohibición de tratamiento de datos biométricos, en el que se analizaba de forma detallada los considerandos y artículos del RGPD que regulan el tratamiento de dichos datos, sin hacer referencia expresa en dicho apartado a directrices y dictámenes del Comité Europeo de Protección de Datos (CEPD), organismo independiente de la UE creado por el RGPD, que continua la labor desarrollada por el Grupo de Trabajo del artículo 29, a los que se remite el recurrente. El CEPD tiene la facultad de dictar directrices y dictámenes con la finalidad de una aplicación coherente del RGPD, no completando en modo alguno los tipos infractores establecidos en el RGPD. Por ello, en la Resolución recurrida no se acude para tipificar la infracción a dichos dictámenes, que no se mencionan en el apartado específico, sino en el apartado II de la citada Resolución, que incluye la definición de datos biométricos contenida en el artículo 4 del RGPD, así como el dictamen 3/2012 sobre la evolución de las tecnologías biométrica del Grupo de Trabajo 29 y las directrices 5/2022 del CEPD sobre el uso de reconocimiento facial en el ámbito de las fuerzas de orden público, dictadas para una mayor comprensión respecto del uso de dicha tecnología. Igualmente, la remisión a normas ISO en ese apartado II de la Resolución responde al mismo interés de aportar una descripción sistemática de conceptos del campo de la biometría y el funcionamiento de dicho sistema. Se ha de indicar sobre la tipicidad de las infracciones, que en estas se describen conductas perfectamente reconocibles que pueden ser objeto de sanción y que se detallaron en el citado apartado IV de la Resolución, remitiéndose al artículo 9 del RGPD. La recurrente pretende que la complejidad de las tecnologías y de la variedad de sectores que las utilizan, y que se detallaban en el mencionado apartado II de la Resolución, se delimite en la normativa reguladora en sus variados aspectos. Sin embargo, no se vulnera el citado principio de tipicidad con acudir a dichas explicaciones que puedan ser sectoriales o tecnológicas, ni incide negativamente en la lex certa que describe las conductas y en este supuesto, los hechos se subsumen en la conducta tipificada descrita, siendo aplicable el artículo 9 del RGPD, por el que quedan prohibidos el tratamiento de datos biométricos dirigidos a identificar de manera unívoca a una persona física, sin que en este supuesto se cumpla alguno de los supuestos específicos de habilitación de este tipo de tratamiento conformado por el régimen establecido en el apartado 2 de dicho artículo 9 del RGPD. CUARTO: Variaciones en la Resolución con respecto a su propuesta En cuanto a la alegación referida a las eventuales variaciones en la redacción de la resolución con respecto a la propuesta, dichos cambios no son sino explicaciones que contribuyen a aclarar los hechos imputados, no siendo en modo alguno hechos nuevos ni habiéndose producido cambio alguno respecto a la imputación realizada en dicha C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 19/23 propuesta como a la cuantía de la sanción y la medida establecida en virtud del artículo 58.2.
  10. f)del RGPD. De hecho, dichas aclaraciones formuladas en la resolución, que responden a la contestación a las alegaciones formuladas por la ahora recurrente a la propuesta de resolución, son sobre los mismos hechos probados descritos en la resolución administrativa, sin que estos hayan variado. QUINTO: Sobre el tratamiento de datos personales Alega que no es posible recrear la huella digital y por tanto identificar a la persona titular desde la representación matemática, porque es un proceso irreversible, habiéndose contestado esta alegación en los fundamentos de derecho II, III y IV de la Resolución ahora recurrida. Al respecto se reitera que una plantilla es una representación de un dato obtenido de una persona que se crea con la finalidad de identificar o verificar automáticamente de manera univoca a la persona que muestre en el segundo acceso al parque una coincidencia positiva en un umbral preconfigurado en el sistema a través de la comparación de plantillas, la almacenada y la que se toma con posterioridad para los accesos. El sistema usado por la recurrente es de este tipo y su finalidad es que la primera y segunda persona que accedan a los parques con la oferta TT sea la misma, pudiendo ser la persona que compra el ticket la misma que accede a los parques y pudiendo ser identificable. La finalidad de identificar unívocamente a la personase se ha producido por parte de la recurrente con su sistema biométrico, al contener la plantilla elementos permanentes y distintivos de cada persona. Además, se ha de añadir que la extracción de las características biométricas por la técnica que utilizan los sistemas biométricos basada en la lectura automatizada de los resultados que diferencian a cada muestra extraída, que a través de las comparaciones biométricas son susceptibles de identificar a la persona por su característica biométrica distintiva de cada individuo o muestras. Se ha de tener en cuenta que, en biometría, una plantilla es una representación matemática de las características biológicas únicas de una persona y que esa plantilla es la que se almacena y se compara durante el proceso de verificación o identificación. La plantilla biométrica es un archivo comprimido que contiene solo los datos esenciales extraídos del escaneo de la huella y que permite una confiable verificación o identificación. En el supuesto analizado en la Resolución recurrida se acreditó que los datos biométricos guardados en forma de plantilla, para ser interpretable por una máquina, permite singularizar a un individuo, con el fin de que, en la segunda visita, la misma persona al acceder, cuando coloque la huella en el terminal, por procedimiento de comparación de plantillas, si presenta una coincidencia que supere el umbral previsto para permitir el acceso, logre acceder. Por tanto, la búsqueda en la segunda visita al parque se realiza sobre un dato personal que ya se consiguió antes, y sobre el mismo, identifica de entre todas las plan tillas la que se corresponde a la huella que se presenta. Así pues, en este caso, actúa como un identificador único de la persona, habiendo quedado acreditado que se ha utilizado una plantilla biométrica o una representación matemática a partir de la toma de la huella dactilar, registrándola, almacenándola, con el fin de verificar que la misma persona sea la que accede a los dos parques. SEXTO: Sobre el cruce de datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 20/23 Sobre la alegación de que no se produce cruce entre datos de compra de entradas y datos biométricos utilizados, ya se dio respuesta en el fundamento de derecho VI de la Resolución ahora recurrida. En el mismo se indicaba, en resumen, que, aunque no se crucen de forma efectiva los datos personales que figuran en la compra de la entrada TT que se adquiere, con los datos de la representación matemática de cada usuario en cada uno de los dos accesos, y la configuración del software que posee para gestionar las entradas junto con el sistema biométrico, no es imposible la identificación de las personas que acceden con el TT a los dos parques. Así, se ha acreditado que en realidad se produce un uso mezclado de ambos datos en los sistemas de la recurrente, y que pertenecen al ticket de entrada. En la práctica, el código QR asociado a la entrada, que además contiene todos los elementos que permiten identificar a la persona, se han de introducir en las dos ocasiones en que se accede, en un orden secuencial, de lectura por el terminal de entradas del código QR, asociado y único por cada entrada, luego se toma la huella, creando una nueva plantilla que se compara con la almacenada, con total identificación de la persona a través del software de ventas de entradas y control de accesos. SÉPTIMO: Sobre la falta de acreditación Respecto de que no se ha probado que se almacenaran datos personales de clientes que habían adquirido el ticket TT, añadiendo que ni siquiera por terceras personas se podría razonablemente identificar a la persona cuyos datos se procesan, se debe indicar además de lo anterior que la definición de protección de datos refiere: - “Cualquier información”, siendo un hecho constatado que existe información de la persona que adquiere el TT y que esa persona es posible que sea la que acceda a los parques por sí misma. De la misma persona figura información obtenida en forma de representación matemática lista para ser usada desde el momento en que en el primer acceso se le exige la toma de la huella de la que se guarda y trata la representación. De la compra, a través del software. La información, aunque no se crucen los datos, en cuanto a su contenido, finalidad y efecto está vinculada a una persona determinada y la persona puede resultar identificable por la propia recurrente. La persona a la que se refiera la información debe también estar identificad o ser identificable . La persona se identifica directamente cuando puede distinguirse de las demás. Por ejemplo, al solicitar las entradas vía web de la reclamada que proporciona sus datos lo estaría. Aunque la persona que exhiba y ponga la huella en los sensores manifieste la recurrente que no podrá ser identificada, podría ser identificable por la combinación única que de sus datos se pueden extraer/divisar, al disponer de ellos el responsable del tratamiento por la adquisición de la entrada y el ticket del que es portador, con el contenido del mismo, y las huellas dactilares. OCTAVO: Sobre la responsabilidad del encargado del tratamiento Como ya se alegó a la propuesta y se contestó en la Resolución, hay que reiterar que la reclamada es responsable de los datos que se recogen de sus clientes que adquieren las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 21/23 entradas con base a la relación de ejecución del contrato con ***EMPRESA.1, a través de los formularios on line que se contienen en su web de venta de entradas. Es LP la que decide los fines y los medios, que desea conseguir y cómo, contratando con la citada empresa que le oferta un servicio. De la lectura del contrato que se aportó al expediente y de los servicios y accesos a datos que atiende ***EMPRESA.1, ésta adopta la posición jurídica de encargado de tratamiento, y así se justifica según los hechos probados en la Resolución recurrida. Los fines y los medios indicados por la recurrente han sido seguidos con la concertación del citado contrato, no constando que la actuación relacionada con el tratamiento de los datos analizados haya surgido por mor de la voluntad de la encargada del tratamiento sino de la recurrente, que se acredita ostenta la posición jurídica de responsable del tratamiento, y como tal, le corresponde la responsabilidad por las acciones y conductas infractoras. Además, el hecho de externalizar el servicio no supone en si un traslado de la responsabilidad exigible conforme al RGPD, sino la prestación del mismo con los fines y medios que figura fueron decididos por el recurrente. Por otra parte, respecto a la no existencia de datos personales, una vez dispuesta la representación matemática extraída de la muestra biométrica, es decir la plantilla o representación numérica reducida de las características de identificación, ésta puede ser almacenada para una comparación con la lectura de la huella en el segundo acceso, consiguiendo su objetivo a través de la comparación con fines de reconocimiento de la persona. La biometría descansa en la medición de comparación entre conjuntos de datos biométricos, resultando en puntuación estadística de similitud entre diferentes conjuntos de datos biométricos que se comparan para establecer la probabilidad de que pertenezcan al mismo individuo. Por eso mismo, a alegación de vulneración de los principios de legalidad y tipicidad al aplicar la legislación de protección de datos a un sistema que no utiliza dato personal ha de refutarse, siendo aplicable el RGPD y la LOPDGDD, por lo que no se produciría esa vulneración por el mero hecho de la aplicación del régimen que le es de aplicación. NOVENO: Sobre las circunstancias aplicadas para fijar el importe de la sanción Sobre la alegación reiterada de que no existe prueba de que haya ausencia total del deber exigible para agravar con la circunstancia del artículo 83.2.
  11. b)del RGPD, con base a que externalizó el sistema de accesos a sus parques con el fin de conseguir que en el control de accesos no existiera dato personal alguno, se valoró detalladamente en el fundamento de derecho VIII de la Resolución, relativo a la determinación de la sanción, reiterándose que su actuación respecto de los hechos investigados revela una grave y significativa falta de diligencia, teniendo en cuenta que en su actividad es constante y abundante el manejo de datos de carácter personal, siéndole exigible un mínimo de atención al sistema implantado de accesos, y no se preocupó de efectuar una valoración que tuviera todos los elementos en cuenta para dirimir el grado de afectación de los derechos en liza junto con la tecnología y los riesgos de los datos personales que forman parte de un derecho fundamental de los usuarios, incluidos menores de edad, versus la necesidad o las alternativas que existen para verificar los pases de visitantes de los parques. El grado de culpabilidad, si bien no se puede describir abiertamente como intencionado, tampoco es una mera negligencia, considerándose una grave falta de diligencia. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 22/23 Y sobre la alegación relativa a los datos de menores, así lo ha reconocido la recurrente y se ha acreditado (hechos probados primero, sexto y décimo tercero). En consecuencia, en el presente recurso de reposición, la parte recurrente no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. III Debido a razones de funcionamiento del órgano administrativo, por ende, no atribuibles a la parte recurrente, hasta el día de la fecha no se ha emitido el preceptivo pronunciamiento de esta Agencia respecto al presente recurso. De acuerdo con lo establecido en el art. 24 de la LPACAP, el sentido del silencio administrativo en los procedimientos de impugnación de actos y disposiciones es desestimatorio. Con todo, y a pesar del tiempo transcurrido, la Administración está obligada a dictar resolución expresa y a notificarla en todos los procedimientos cualquiera que sea su forma de iniciación, según dispone el art. 21.1 de la citada LPACAP. Vistos los preceptos citados y demás de general aplicación, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por LORO PARQUE, S.A. contra la resolución de esta Agencia Española de Protección de Datos dictada con fecha 1/10/2024, en el expediente EXP202209645. SEGUNDO: NOTIFICAR la presente resolución a LORO PARQUE, S.A. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea notificada la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
  12. b)de la LPACAP, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29/07, en relación con el art. 62 de la Ley 58/2003, de 17/12, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si la fecha de la notificación se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 23/23 Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la (LPACAP), los interesados podrán interponer recurso contencioso-administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  13. a)LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada LPACAP. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 180-020125 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.