1/79
Expediente N.º: EXP202209645
RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR
Contenido
ANTECEDENTES..........................................................................................................2
PRIMERO: Entrada de reclamaciones y documentación aportada............................2
SEGUNDO: Traslado de la reclamación a la parte reclamada...................................3
TERCERO: Admisión a trámite...................................................................................3
CUARTO: Escrito de reclamante 3.............................................................................3
QUINTO: Diligencia de acceso información por la Subdirección General de
Inspección de Datos (SGID).......................................................................................3
SEXTO: Actuaciones previas de investigación...........................................................4
SÉPTIMO: Diligencia de incorporación de documentación........................................5
OCTAVO: Acuerdo de inicio de 2/10/2023..................................................................7
NOVENO: Alegaciones de 17/10/2023 al acuerdo de inicio.......................................7
DÉCIMO: Inicio de práctica de pruebas...................................................................12
DÉCIMO PRIMERO: Alegaciones del reclamado en su escrito de respuesta a
práctica de pruebas..................................................................................................28
DÉCIMO SEGUNDO: Envío de propuesta de resolución.........................................28
DÉCIMO TERCERO: Alegaciones a la propuesta de resolución..............................28
HECHOS PROBADOS................................................................................................33
FUNDAMENTOS DE DERECHO.................................................................................42
I Competencia.......................................................................................................42
II Datos biométricos..............................................................................................42
III Datos biométricos como datos de carácter personal: Conexión con el artículo
4.1 del RGPD........................................................................................................51
IV Prohibición de tratamiento de datos biométricos..............................................56
V Responsable de la infracción.............................................................................59
VI Respuesta a las alegaciones............................................................................62
VII Tipificación de la infracción..............................................................................69
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
2/79
VIII Determinación de la sanción..........................................................................70
IX Adopción de otras medidas correctivas............................................................75
RESUELVE:................................................................................................................. 76
Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes
ANTECEDENTES
PRIMERO: Entrada de reclamaciones y documentación aportada
Con fechas 7/08 y 13/09/2022, tuvo entrada una reclamación de reclamante 1, el 16/09/2022
de reclamante 2, según figuran identificados en el ANEXO GENERAL para la reclamada.
Las reclamaciones se dirigen contra LORO PARQUE, S.A. con NIF A38009023 (en
adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes:
Reclamante 1, manifiesta que compró una entrada conjunta a SIAM PARK y LORO
PARQUE, de Tenerife y “se obliga a todos los visitantes a dar la huella mediante un lector”,
para comprobar que la persona que entra en ambos parques es la misma, sin informar del
tratamiento de datos a realizar cuando se compra la entrada.
Aporta:
-dos fotografías, donde se aprecia, sobre un tablero informativo (imagen de un puesto de
entrada a SIAM PARK según observaciones de la imagen que acompaña en la
reclamación).Consta en varios idiomas, el literal informativo: “este sistema es para el uso
exclusivo de los visitantes que tengan los siguientes tickets- figurando entre otros el “TWIN
TICKET” (TT), “ULTIMATE TENERIFE” y “VUELVE”-con el literal añadido en la parte inferior:
”este sistema no almacena la imagen de su huella, simplemente hace una lectura”. A su
lado, del mismo color, un panel informativo “coloque su dedo índice de la mano derecha
aquí, y siga las instrucciones del operador”.
Reclamante 2, además aporta copia de hoja de reclamaciones de 18/08/2022 contra la
reclamada. Señala que compró las entradas TT “junto con el billete de barco”. El 18/08/2022,
al acceder a LORO PARQUE, “teniendo entrada y documento identificativo, DNI”, “me
obligan a poner la huella digital en dispositivo electrónico para pasar, y al solicitar entrar sin
poner la huella, me niegan el acceso y me dicen que solicite la devolución de la entrada”, sin
ofrecer alternativa al sistema. En el pie de los billetes que aporta, figura que:
“el segundo bono de TWIN TICKET (LORO+SIAM) deberá ser utilizado en los 15 días
posteriores a la visita del primer parque, transcurridas estas fechas serán invalidados y sin
derecho a devolución”.
Indica que, al comprar la entrada, (bono de suplemento a barco) no se informa de este
método de acceso
Aporta copia de los “bonos asociados a suplemento” “TWIN TICKET” en el cuerpo de los
billetes de barco, en los que figuran impresos nombres y apellidos y NIF/NIE de dos adultos
y dos infantes con referencia a fecha embarque/trayecto: Gran Canaria/Tenerife, localizador
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
3/79
de bono, el mismo para los cuatro, número de billete con un numero secuencial y un número
final del 1 al 4 en cada bono, manifestando que los compró en la naviera pues se ofrecen a
todos los que compran billete con destino a Tenerife.
SEGUNDO: Traslado de la reclamación a la parte reclamada.
De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5/12, de Protección de
Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), el
16/09/2022, se dio traslado de dicha reclamación a la parte reclamada, para que procediese
a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a
cabo para adecuarse a los requisitos previstos en la normativa de protección de datos.
El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1/10,
del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante,
LPACAP), fue recogido en fecha 23/09/2022 como consta en el acuse de recibo que obra en
el expediente.
Responde en fecha 10/10/2022:
1. No tienen DPD, ni responsable de seguridad, porque no tienen obligación legal, por lo
que no pueden responder aportando informes de los mismos.
2.Sobre la ausencia de información del tratamiento de la huella dactilar que se recoge a los
visitantes que adquieren la entrada “TWIN TICKET”, “como sistema de verificación interno
de que la persona que acude a ambos parques es la misma”, se les refiere que el
tratamiento se encuentra inscrito “en el fichero huellas dactilares” desde 21/05/2010.
“Cualquier otra información se puede obtener de los propios ficheros de la AEPD”.
Acompaña escrito del Director de la AEPD de 21/05/2010 que le notifica que se ha inscrito el
fichero “Huellas dactilares”.
TERCERO: Admisión a trámite.
Con fecha 14/10/2022, de conformidad con el artículo 65 de la LOPDGDD, se admitió a
trámite la reclamación presentada por reclamante1, y con fecha 28/10/2022, para
reclamante 2.
CUARTO: Escrito de reclamante 3.
Con fecha 3/11/2022, se recibe reclamación de reclamante 3, que se identifica en el ANEXO
GENERAL, indicando que de la recogida de la huella no se informa en ningún lado antes de
pasar los controles, ni la considera necesaria para los visitantes de los parques. Con fecha
24/11/2022 se admitió a trámite su reclamación.
QUINTO: Diligencia de acceso información por la Subdirección General de Inspección de
Datos (SGID).
Por comprobación de la SGID, figura de la reclamada en “Monitoriza business”, a
14/03/2023, que es una S.A, con cifra de negocios (…) euros, empleados 41, con actividad
de parques de atracciones y temáticos.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
4/79
SEXTO: Actuaciones previas de investigación
Con fecha 18/08/2023, en el marco de las actuaciones AI/00256/2023, AI/00257/2023 y
AI/00258/2023, practicadas por la Subdirección General de Inspección de Datos con objeto
de aclarar los hechos y en uso de las facultades conferidas por el artículo 58.1 del
Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27/04 de 2016,
relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos
personales y a la libre circulación de estos datos y por el que se deroga la Directiva
95/46/CE (Reglamento general de protección de datos) (en adelante RGPD), y el art. 67 de
la LOPDGDD, se solicita a la reclamada la siguiente información relativa al sistema de
control de acceso de los usuarios de sus instalaciones a través de huella dactilar.
1.- Copia del Registro de las Actividades de Tratamiento de datos personales, al que refiere
el artículo 30 del RGPD. En concreto, se solicita toda la información relativa al tratamiento
biométrico para el acceso con el sistema TT.
2.- Finalidad del tratamiento de dichos datos.
3.- Copia de la evaluación de impacto de protección de datos (en adelante EIPD). En el caso
de que se hubiera considerado que no procedía realizar una EIPD, se solicita aportar la
documentación justificativa. En tal caso, aportar la documentación acreditativa del análisis
de riesgos efectuado, incluyendo toda la documentación elaborada, justificativa de los
resultados obtenidos y de las medidas adoptadas.
4.- Explicación detallada del funcionamiento del sistema que controla el acceso al parque
mediante huella dactilar. Motivo de la necesidad de su uso.
5.- Confirmación de las personas objeto de dicho tratamiento (por ejemplo, detallar si se
utiliza para el acceso de todo el público en general o para el acceso de personas con
entrada TWIN TICKET; detallar si es para adultos, niños o ambos; etc.).
Con fecha 29/08/2023, la reclamada indica sobre los puntos 1 a 3, que no ha de llevar RAT,
al serle de aplicación el artículo 30.5 del RGPD, ni en consecuencia tener la documentación
que exigen en el punto 3.
El artículo 30.5 del RGPD mencionado, señala que:
“Las obligaciones indicadas en los apartados 1 y 2 no se aplicarán a ninguna empresa ni
organización que emplee a menos de 250 personas, a menos que el tratamiento que realice
pueda entrañar un riesgo para los derechos y libertades de los interesados, no sea
ocasional, o incluya categorías especiales de datos personales indicadas en el artículo 9,
apartado 1, o datos personales relativos a condenas e infracciones penales a que se refiere
el artículo 10.”
En cuanto a los puntos 4 y 5, señala:
“LORO PARQUE, S.A. dispone de una oferta especial para usuarios de sus parques LORO
PARQUE y SIAM PARK, denominada TWIN TICKET, de tal forma que el usuario de uno
cualquiera de los parques puede visitar el otro con una rebaja de precio. Como las entradas
no son nominativas, se utiliza un sistema de control de acceso mediante diez puntos de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
5/79
coincidencia de huellas digitales que se solicita a quienes voluntariamente quieran
beneficiarse de la oferta comercial. Ese es el motivo por el que se toman las huellas
digitales, que en ningún caso permite asociarlas a persona alguna, no constituyendo, por
tanto, un dato personal sometido a tratamiento conforme establece, por ejemplo, los arts.
1.1, 2.1 y 4.1 del Reglamento (UE) 2016/679 del Parlamento Europeo y del consejo de 27
de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al
tratamiento de datos personales y la libre circulación de estos datos y por el que se deroga
la Directiva 95/46/CE (Reglamento general de protección de datos). Se trata únicamente de
un mecanismo que permite a LORO PARQUE, S.A. verificar que quien hizo uso de la
entrada al LORO PARQUE (con independencia de su edad, domicilio, nacionalidad, sexo,
raza, religión, etc.) es la que hace uso de la entrada a SIAM PARK (o al revés)
beneficiándose de la rebaja de precio que se ofrece. El almacenamiento de los diez puntos
de la huella dactilar se hace, única y exclusivamente, para poder constatar que la persona
que entra a uno de los parques y, posteriormente accede al otro haciendo uso de la oferta
TWIN TICKET, es la misma. Los datos almacenados, por tanto, no permiten relacionarlos
con persona determinada o determinable alguna, no teniendo utilidad de carácter comercial
o de cualquier otro tipo, sino el expuesto.”
SÉPTIMO: Diligencia de incorporación de documentación
Con fecha 31/08/2023, se incorporan por el personal Inspector, la siguiente documentación
obtenida de la consulta hecha a la página https://www.loroparque.com:
-anexo 1: AVISO LEGAL.
Impresión de pantalla, fechada a 17/08/2023, en la dirección electrónica https://www.
loroparque.com/aviso-legal/
Tiene un apartado de “política de protección de datos”, que indica que: “El usuario y/o
consumidor para poder contratar los diferentes servicios que ofrece LORO PARQUE SA, así
como para la recepción de boletines informativos del parque, deberá registrar los datos
solicitados como cliente”, “la persona que se registra autoriza expresamente a LORO
PARQUE para que proceda a incluir en un fichero automatizado los datos de carácter
personal que figuran en los campos del formulario por resultar necesarios para la adecuada
prestación de sus servicios”
Tiene un apartado m denominado “forma de pago”, en el que se informa que se admite la
tarjeta de crédito o débito.
En el apartado n, “envío”, se informa que el envío de los tickets se realiza a través del área
de usuario en la plataforma y/o correo electrónico, puesto que es un producto virtual en
formato PDF.
Otro apartado: “Reglamento de Protección de Datos” que informa en el apartado de
“Finalidades del tratamiento de datos: dependerá del motivo por el que el usuario haya
contactado con nosotros” siendo uno, el de “gestionar las compras y peticiones hechos por
el usuario a través de nuestras páginas web”.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
6/79
Se informa que “los datos personales del usuario serán almacenados por LORO PARQUE
por el tiempo legalmente permitido según el motivo por el que los datos nos fueron
proporcionados por el usuario.”
En el apartado de LEGITIMACIÓN, se indica que “Los datos personales proporcionados por
el usuario tienen como finalidad última que Loro Parque pueda proporcionar los servicios
ofertados y por usted aceptados”.
Figura una dirección de e mail en la que el usuario pueden ejercer los derechos.
-anexo 2: TÉRMINOS Y CONDICIONES DE VENTA Y SERVICIOS.
Impresión de pantalla de https://www.loroparque.com/terminos-y-condiciones/, a 17/08/2023.
Incluye una cláusula de POLÍTICA DE PROTECCIÓN DE DATOS en su letra f, en la que se
informa en el mismo sentido y contenido sobre el registro de datos del usuario o consumidor
y para el mismo fin que en AVISO LEGAL.
Refiere conformidad de ello con normativa que a dicha fecha no se halla en vigor, la LO
15/1999 y el Real Decreto 1720/2007 que la desarrolla.
También reproduce el literal que figura en AVISO LEGAL sobre el registro de datos como
cliente en el formulario, y su inclusión en un fichero automatizado.
Igualmente, figura una dirección de e mail en la que el usuario puede ejercer los derechos.
-anexo 3: POLÍTICA DE PRIVACIDAD.
Impresión de pantalla de https://www.loroparque.com/privacidad/ a 17/08/2023. En la misma
se reproduce el mismo contenido que se indica en AVISO LEGAL.
-Se aporta impresión ANEXO 4, de 30/08/2023, de una página del sitio oficial de venta de
entradas on line al parque. en la dirección de
https://tickets.loroparque.com/reservarEntradas.aspx?opc=20&m=INDIVIDUALTWIN&Ig=es-
ES/
En la primera línea, informa: “Compre sus entradas TWIN TICKETS en solo unos minutos y
viva una experiencia inolvidable”, abriéndose las pestañas para seleccionar.
En la primera, se indica que se selecciona el día y el tipo de entrada que desea adquirir, en
la segunda, que se seleccione la hora de la visita.
En el paso 3, pestaña, “Introduzca sus datos de contacto” “incluya a continuación los datos
de contacto del titular que va a realizar la compra”, con casillas de:
Nombre/ email/ país/ código postal/ teléfono/ casilla de solicitar factura.
“información básica sobre Protección de Datos”:
responsable del tratamiento: Loro Parque
Finalidad: gestión administrativa: emisión de entradas y control accesos a los recintos.
Gestión contable y fiscal. Gestión estadística, comercial publicidad y marketing
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
7/79
Legitimación por la ejecución de un contrato”, y un apartado de información adicional para
pulsar en el enlace.
Finaliza con: “He leído y acepto la Política de Privacidad y de compras”.
4. Seleccione el método de pago
OCTAVO: Acuerdo de inicio de 2/10/2023
Con fecha 2/10/2023, la Directora de la AEPD acordó:
“PRIMERO: INICIAR PROCEDIMIENTO SANCIONADOR a LORO PARQUE, S.A., con NIF
A38009023, por la presunta infracción del artículo 9 del RGPD, tipificada en el artículo
83.5.a) del RGPD, y calificada como muy grave a los solos efectos de la prescripción de la
infracción en el artículo 72.1.e) de la LOPDGDD.
“ a los efectos previstos en el art. 64.2 b) de la LPCAP, la sanción que pudiera corresponder
sería de multa administrativa, con sanción de 250.000 euros por una infracción del artículo 9
del RGPD.”
NOVENO: Alegaciones de 17/10/2023 al acuerdo de inicio.
Frente al acuerdo de inicio, se reciben alegaciones del reclamado el 17/10/2023, en las que
manifiesta:
1-“Todas las entradas que vende para acceder a sus parques no son nominativas”. “Las
entradas generan un código QR, y los sensores del software en los que los clientes ponen
los dedos en un sistema prestado por empresa externa, “genera de forma directa una
representación matemática que es lo único que obtiene finalmente LORO PARQUE,
permitiendo con un alto nivel de certeza, constatar, que quien entra a uno de los parques es
la misma persona que entra posteriormente en el otro, sin que podamos llegar a identificar a
la persona que compró las entradas por procedimiento inverso, y por tanto llegar hasta la
huella digital del cliente y por ende hasta su identificación.”
Manifiesta la reclamada que únicamente crea una representación matemática de la huella
digital que es lo único que se almacena, no almacenando ninguna imagen de la huella. Esta
representación no permite identificar a persona física alguna, sin que sea posible emplear
ingeniería inversa para crear la imagen de la huella digital real a partir de los datos
almacenados.
Añade que se ha de tener en cuenta que la representación matemática solo se conservará
mientras la tarjeta o entrada en cuestión este vigente, y se destruirá de forma inmediata
cuando deje de estarlo.
Informa la reclamada que “la entrada TT-doble visita-no son dos entradas, sino un
descuento comercial a la persona que adquiere las dos entradas, por lo que, para vincular
las dos entradas con un mismo sujeto se realiza mediante la identificación dactilar, que en
ningún momento se exige o se puede identificar al portador”.
“La petición de documento de identificación solo se hace a los efectos de poder determinar
el carácter de residente o no, por la diferencia de precio que se oferta a ello”.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
8/79
“Ha encargado a profesionales externos, el programa y componentes que permiten acreditar
que quién se beneficia de una rebaja de precio por la visita a los dos parques es siempre el
mismo usuario, sin que se almacene durante todo el proceso, dato personal alguno del
cliente.
Reitera la reclamada que para comprobar si es la misma persona la que con el sistema,
oferta TT, accede al segundo parque, utiliza una “representación matemática de la huella
digital, que no sirve para identificar al cliente, porque no aporta dato personal alguno del
mismo”, y “su sistema de verificación no almacena dato personal alguno, sino una
representación matemática que, solo puede ser utilizada dentro del período de vigencia de
la oferta comercial, quince días”, indicando que no ha de inquietar al cliente porque “su
identidad no puede comprobarse una vez generada la representación matemática de la
huella”, sin que se pueda realizar un “proceso de ingeniería inversa que permita a partir de
la representación matemática de la huella, determinar que la misma pertenece a persona
física alguna, determinada o determinable, o al menos, no sería posible sin un sistema
complejísimo, identificar a la persona-no se puede razonablemente identificar a la persona.”
“Nunca hemos usado dato personal alguno, según define el artículo 4.1 del RGPD a los
efectos del TWIN TICKET para lograr la verificación de usuarios de la oferta comercial TWIN
TICKET.”
Reitera que la representación matemática de la huella digital utilizada no sirve para
identificar al cliente, ni identifica personas, porque no aporta dato personal alguno del
mismo, no se está utilizando dato personal alguno de los definidos en el artículo 4.1 del
RGPD, “limitándose a comprobar que hay identidad de una representación matemática con
otra”. Menciona el considerando 26 del RGPD, subrayando que los principios de protección
de datos no deben aplicarse ni a información anónima ni a datos convertidos en anónimos
de forma que el interesado no sea identificable o deje de serlo. Concluye que sancionar por
ello supone una vulneración de los principios de legalidad y tipicidad.
Aporta DOCUMENTO 1, foto imagen rectangular de “TWIN TICKET, solo de una cara, en el
que figura: “Condiciones”, que contiene:
-En la cara del papel impreso aportado, con letras en la parte derecha “TWIN
TICKET”, con la imagen y el nombre de los dos parques, LORO PARQUE y SIAM PARK, se
puede leer en la parte izquierda un literal informativo, “CONDICIONES:
“El TT solo podrá ser utilizado por una persona, siendo esta la única beneficiaria de
la visita a LORO PARQUE y SIAM PARK. En ningún caso es posible que las visitas a ambos
parques sean efectuadas por personas diferentes.
Una vez visitado el primer parque, tienes 6 meses para visitar el segundo
Al acceder al primer parque, se le entregará este sobre con un ticket. Es
imprescindible que dicho ticket se guarde y se presente en el momento de realizar la visita al
segundo parque”.
Debajo del TT, se acompaña foto de otro papel impreso distinto, literal: “TWIN TICKET
ADULTO 1-2”, que el reclamado denomina en sus alegaciones “pequeña cartulina en la que
se guarda el código QR generado” conteniendo según se aprecia:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
9/79
- un número de serie, para la visita de - LORO PARQUE, a una fecha y a una hora
concertada
- debajo un código QR,
-no reembolsable. Válido 15 días,
-Ticket intransferible
“La AEPD tras la definición de dato personal, entiende que la representación matemática de
una huella es un dato personal, lo que considera no es cierto en su caso, porque la
representación matemática no permite hacer un camino inverso hasta la huella digital del
cliente, y por ende hasta su identificación, no cabe emplear ingeniería inversa, pues la
citada representación no dice nada sobre el cliente”, “así como el portador de la entrada
tampoco es en ningún momento identificado nominadamente, es igual que el portador de
una entrada de cine.”
Manifiesta la reclamada que partiendo de la base de que sus sistemas no permiten
identificar a través de la huella dactilar, que “Nunca se almacena la identificación, ni se
relaciona con la entrada”. Al indicar el acuerdo que estos permiten la identificación de una
persona, no les resultaría aplicable tal sanción, por error. Acota que ello se deduce de que
no se cumplen los requisitos de la definición que se indica en el acuerdo de inicio,
especialmente en su fundamento de derecho II en cuanto a la definición de sistemas
biométricos, pues el uso que hace no permite identificar personas a través de la huella.
Considera que, no tratando datos personales, no se cumple la premisa que define el
tratamiento en el artículo 4.2 del RGPD. Estima que esta conducta no puede ser
sancionable.
2- Aporta la reclamada en DOCUMENTO 4, copia del manual del fabricante del dispositivo
lector de la huella dactilar (contenido sensible) y en DOCUMENTO 5, su traducción “no
oficial“ de las páginas 11 y 12, al ser según manifiesta el reclamado, XELIOS el fabricante.
El Manual “explica el proceso de extracción de minucias a partir de las imágenes de la
huella, y como las comparaciones biométricas no utilizan la propia imagen durante su
ejecución”.
Se accede al DOCUMENTO 4, que se refiere a los productos software “***DISPOSITIVO.1
(…) de ***EMPRESA.1 (manual del software) en versión inglesa, nov 2018, que describe las
funcionalidades en el registro y uso de las huellas dactilares. En el manual se pueden ver
imágenes de distintos sensores. Del manual se destacan algunos aspectos, como:
“3.1 “sobre las huellas dactilares”, especifica de la piel de los dedos de las manos y
su composición dactilar, diferentes modelos de terminaciones o bifurcaciones (denominadas
crestas, ridge) “de terminación”, y “de bifurcación”, con características únicas conocidas
como minucias. “Estas minucias son características únicas que forman la base de cualquier
sistema que usa las huellas dactilares para fines de identificación o autenticación” .
3.2 ¿Cómo funciona?
3.2.1. Adquisición de la imagen “efectuada con (...)”
3.2.2. Tratamiento de la imagen y detección de características
Es un proceso de tres pasos:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
10/79
1-El software analiza la imagen en (…). La imagen (…) y obtener la (…) posible
facilitando la detección de bifurcaciones, terminaciones y otras características de las
minucias.
2-El software usa la (…) para determinar el (…) de la imagen de la huella, creando
(…) para las crestas y valles
3- El sistema produce una lista de minucias-plantilla biométrica-resultante del análisis
de (…)
La plantilla biométrica es una representación matemática de la huella original del dedo
basada en análisis de modelo de crestas. El tamaño máximo de la plantilla es de (...) y es
usada durante el proceso de matching para compararla contra la plantilla previamente
almacenada.
3.2.3 Matching (emparejamiento) Durante el proceso de verificación el sistema no
compara imágenes de la huella, compara las minucias que fueron detectadas cuando se
codificó la imagen de la huella.
En las páginas que aportan traducidas, DOCUMENTO 5, figura la explicación que indica “el
sistema produce una serie de minucias. La plantilla biométrica es una representación
matemática de la huella dactilar original. No se trabaja sobre la huella sino sobre una
representación matemática de la misma.
Durante el proceso de verificación de sistema no compara imágenes de la huella dactilares.
Compara las minucias detectadas durante la codificación de la imagen de la huella dactilar.
No se comparan huellas sino minucias”
3-Aporta el reclamado DOCUMENTO 2, informe de 10/10/2023, de la entidad
***EMPRESA.3” “ticketing Solutions” denominado “Informe medidas seguridad protección de
datos-Sistema control de validación de acceso con biometría-huella dactilar-, cliente LORO
PARQUE”, sin detallar que papel en el tratamiento tiene encomendado esa entidad.
Se accede a dicho DOCUMENTO 2, y se puede comprobar a los efectos de la reclamación,
que se indica:
1. “Los sensores de huella ***DISPOSITIVO.1 son capaces de cifrar internamente la huella
que capturan en el mismo momento de la propia captura de tal forma que el software que
lanza la petición de captura dactilar recibe directamente el dato codificado.
El proceso a seguir a nivel de código, utilizando el ***DISPOSITIVO.2 sería:
-Crear una instancia del objeto de gestión
-activar cifrado de minucias/imágenes capturadas en ***DISPOSITIVO.1.
-Almacenar la clave de cifrado (...) en la memoria interna del sensor.
La clave se guarda en el sensor de manera permanente así que solamente se debe realizar
este paso una vez
-capturar minucias/imagen de una huella a través del dispositivo ***DISPOSITIVO.1.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
11/79
-Obtener minucias (y/o imagen) de la huella capturada, datos que estarán cifrados en
la clave (...) que está contenida en el sensor.
-Cerrar conexión con el dispositivo tras su uso.”
En el apartado “4.2 seguridad y anonimización”, indica que el cifrado de la huella dactilar
asegura que la información biométrica de la persona esté protegida de manera sólida ya que
se convierte en una forma ilegible sin el descifrado correspondiente, “además, la conversión
de la huella en una clave cifrada contribuye a la anonimizacion de datos al separar de
manera efectiva la información biométrica de cualquier otra información identificable”.
“Al no almacenar la huella en su forma original se reduce la posibilidad de correlacionarla
por sí misma con otros datos personales, disminuyendo el riesgo de identificación del
individuo a partir de la huella fortaleciendo su privacidad.”
Añade que este enfoque “promueve la anonimización al minimizar el riesgo de identificación
de las personas a través de su huella dactilar, lo que cumple con los principios de privacidad
y protección de datos”.
En el apartado 5, se indica que el sistema utiliza la huella con fines de autenticación, la
“retención es limitada al tiempo que sea necesario para identificar al visitante” “Los datos de
la huella se conservarán únicamente mientras la tarjeta o entrada en cuestión este vigente, y
se destruirán de forma inmediata cuando dejen de estarlo, protegiendo así la privacidad y
seguridad de los usuarios.”
Manifiesta la reclamada que opina sobre el citado informe del documento citado:
1. Sobre el apartado 4: “Medidas de seguridad específicas” se infiere que la reclamada
nunca ha obtenido huellas digitales ni puntos de huellas digitales, sino que mediante los
sensores de huella ***DISPOSITIVO.1, se cifra internamente la huella que captura en el
mismo momento de la propia captura, de tal forma que el software que lanza la petición de
captura dactilar recibe directamente el dato codificado”. “LORO PARQUE recibe
directamente un dato codificado, no recibe una huella dactilar ni puntos de la huella. Por
tanto, al recibir la reclamada un dato codificado, no recibe ningún dato de carácter personal
de los definidos en el art 4.1 del RGPD.”
2. “la información biométrica de las personas está protegida de manera sólida, ya que
se convierte en una forma ilegible sin el descifrado correspondiente, así como que la
conversión de la huella en una clave cifrada contribuye a la anonimizacion de datos al
separar de forma efectiva la información biométrica de cualquier otra información
identificable.”
2.Considera la reclamada, que “al no almacenar directamente la huella en su forma original,
se reduce la posibilidad de correlacionarla por sí misma con otros datos personales, datos a
los que como hemos dicho no tiene acceso a la empresa informate, lo que disminuye el
riesgo de identificación del individuo a partir de la huella”.
Indica la reclamada que el informe “acredita que los datos digitalizados obtenidos se
conservarán únicamente mientras la tarjeta o entrada en cuestión esté vigente, y se
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
12/79
destruirán de forma inmediata cuando deje estarlo, protegiendo así la privacidad y seguridad
de los usuarios
3. El reclamado manifiesta que “no comparte dato personal alguno con la empresa de
Software ***EMPRESA.2, “fabricante de los dispositivos que consiguen la representación
matemática de la huella que permitiera a esta, llegado el improbable caso de querer
hacerlo, identificar al titular de las minucias”, considerando que “la
persona no puede ser razonablemente identificable ni con ayuda de
terceras personas”.
Señala que ***EMPRESA.2 “tendría que poder acceder a nuestras bases de datos para
poder relacionar los datos encriptados con una persona concreta”. Aclara que dicha
empresa garantiza que “no se trabaja con huellas digitales, sino con representaciones
matemáticas de la misma”, y que “en el proceso de verificación, el sistema no compara
imágenes de huellas dactilares sino unas nubes de minucias que al compararse entre sí,
procesa una puntuación, que si supera el umbral determinado, se supone que las dos
plantillas proceden del mismo dedo, pero nunca nos permite identificar a quien pertenecía el
dedo en cuestión, por lo que en ningún caso esas plantillas pueden ser consideradas como
datos personales a efectos del RGPD.”
4.Solicita la nulidad en base al artículo 47.1.e) de la LPACAP, al imputar unos hechos
referidos al tratamiento de datos personales en los que no se produce identificación del
usuario, de los que no es responsable, causando indefensión. Añade que tampoco concurre
culpabilidad en su conducta, con cita del artículo 28 de la Ley 40/2015, de 1/10, de Régimen
Jurídico del Sector Publico (LRJSP).
También alega la reclamada, “anulabilidad aplicando el artículo 48.1 de la LPACAP en
relación con el 29.3 de la LRJSP”, por infringir el principio de proporcionalidad en la cuantía
de la sanción, considerándola arbitraria, y que solo tiene en cuenta su facturación, sin
contenerse la graduación conforme señala el citado artículo.
DÉCIMO: Inicio de práctica de pruebas
Con fecha 3/07/2024, se abre un período de práctica de pruebas, recogiéndose el envío el
12/07/2024.
Con objeto de asegurar su entrega, se reiteró el escrito el 8/07/2024, que figura recogido el
10/07/2024
En el mismo se disponía.
1. Se dan por reproducidos a efectos probatorios la reclamación interpuesta por los tres
reclamantes (remisión al ANEXO GENERAL del acuerdo de inicio) y su documentación, los
documentos obtenidos y generados durante la fase de admisión a trámite de la reclamación,
y el informe de actuaciones previas de investigación que forman parte del procedimiento
AI/00256/2023.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
13/79
2. Asimismo, se da por reproducido a efectos probatorios, las alegaciones al acuerdo de
inicio del procedimiento sancionador referenciado, presentadas por LORO PARQUE, S.A., y
la documentación que a ellas acompaña.
3. Se accede en GOOGLE el día de hoy, para consultar ***EMPRESA.2, y figura la web
***WEB.1, informando que es sociedad fabricante y creadora de sistemas biométricos,
basada en la tecnología del líder mundial en el campo de la Biometría, ***EMPRESA.1, que,
con más de 35 años de experiencia en el mercado e implantada actualmente en más de 80
países, cuenta con las bases de datos más grandes del mundo. “Desarrollamos sistemas
propios, basados en la huella dactilar, que hoy en día se aplican en áreas tan variadas como
Banca, Sanidad, Deportes, etc.”
También se efectúa en GOOGLE una búsqueda con el termino ***EMPRESA.1 el mismo día
indicando la web idemia.com, que es una empresa multinacional desarrolladora de software,
relacionada con criptografía y sistemas de biometría, con sede en Francia.
4-Se accede a GOOGLE el día de hoy, y se busca en la web loroparque.com,
https://www.loroparque.com/terminos-y-condiciones/, incorporándose al procedimiento
“términos y condiciones de compra y servicios”, figurando en el apartado f.- POLÍTICA DE
PROTECCIÓN DE DATOS, dentro del apartado II “Condiciones generales de venta y
servicios”
“El usuario y/o consumidor, para poder contratar los diferentes servicios que ofrece LORO
PARQUE, S.A., así como para la recepción de boletines informativos del Parque, deberá
registrar los datos solicitados como cliente, declara que toda la información suministrada a la
hora de registrarse es verdadera, completa y precisa y, que de conformidad con la Ley
Orgánica 3/2018 de 5 de diciembre de Protección de Datos Personales, y garantía de los
derechos digitales, así como del Reglamento (UE) 2016/679 del Parlamento Europeo y del
Consejo de 27 de abril de 2016, la persona que se registra AUTORIZA EXPRESAMENTE a
loroparque.com para que proceda a incluir en un fichero automatizado los datos de carácter
personal que figuran en los campos del formulario por resultar necesarios para la adecuada
prestación de sus servicios. Se indica que el Responsable del fichero es la entidad mercantil
LORO PARQUE, S.A., cuyos datos han sido facilitados al inicio de estas CONDICIONES
GENERALES DE VENTA, a efectos del ejercicio de los derechos de acceso, rectificación,
supresión, limitación, cancelación y oposición previstos en la Ley y el Reglamento (UE).”
“Para conocimiento de nuestros clientes, les comunicamos que las entradas
denominadas TWIN TICKET, SEGUNDAS VISITAS, IN PARK, TARJETAS ANUALES, son
entradas al portador, no identificando al titular o poseedor de las mismas, por lo que, para
vincular las entradas con el adquirente, se ha establecido un sistema de verificación
mediante la obtención de minucias, que configuran una representación matemática que, no
es huella del mismo, sin que sirva dicha representación para la identificación de persona
física alguna, no teniendo otra finalidad que la de poder constatar que quién se benefició de
una oferta promocional, es quien utiliza el producto adquirido, y sin que sea posible
relacionar posteriormente la representación matemática con el usuario que adquirió nuestro
producto comercial.”
5.SE SOLICITA A LA RECLAMADA
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
14/79
A- Sobre la inclusión de la información que se subraya, informe de la fecha en que ha sido
incluida, acreditándolo y expliquen o aclaren si la hubiera, la diferencia que entienden existe
en sus alegaciones cuando se refieren a “representación matemática”, vs. “plantilla
biométrica”.
Se recibe respuesta el 1/08/2024. Sobre esta, solo manifiesta que “es una representación
matemática que se saca tras realizar una plantilla biométrica. La información que se guarda
no es un dato biométrico, sino que se genera de manera encriptada y sin posibilidad de
revertir el procedimiento. Se genera una representación matemática. Su aspecto es el de
una combinación de números y letras generadas de manera encriptada”.
B- Explique ¿en qué consisten las entradas que refieren, subrayadas? ¿a qué dan derecho?
¿cómo se pueden adquirir?, ¿quién?, ¿cómo se han de pagar y por quién?, y ¿qué datos se
han de registrar? Aporte impresión de las pantallas. Indique para que se usan esos datos
registrados.
Respondió que las entradas se pueden adquirir por distintos canales de venta, página web,
taquilla presencial y también existen acuerdos de comercialización de agencias y
operadores de turismo.
La reclamada explica que a nivel de página web, el proceso se desarrolla:
-Se accede a la web en la sección de tickets, seleccionando TT (De las otras
entradas o tipos de ticket SEGUNDAS VISITAS, IN PARK, TARJETAS ANUALES, también al
portador, no manifiesta aspecto alguno). “Se elige el tipo de entrada, según la edad de la
persona que vaya a acceder y la fecha en que se quiere visitar Loro Parque y Siam Park.
Posteriormente, se piden los datos de compra. NOMBRE, EMAIL NÚMERO DE TELÉFONO
y CÓDIGO POSTAL. El cliente tiene que marcar que ha leído y acepta las Políticas de
privacidad y si quiere o no, recibir publicidad y/o factura. Luego se paga, a través de una
pasarela de pago segura con una entidad bancaria y se le envían las entradas por correo
electrónico al email indicado.
Aporta las imágenes que se ven en la web, figurando que las de adultos son para edad
superiores a 11 años, y los niños, de “3 a 11 años”, gratis de 0 a 3 años.
Manifiesta que “Puesto que esta entrada Twin Ticket, otorga el derecho de acceso al
portador de la entrada a ambos parques, para validar que es la misma persona que entra a
los dos parques y usa la misma entrada, es por lo que en el primer acceso se le hace una
captura de las minucias de su huella, que, tras realizar una encriptación, lo convierte en una
representación matemática.”
C- Explique y confirme si las entradas o tickets que figuran subrayadas son no nominativas,
aunque al adquirirlas se haya exigido datos del adquirente.
Explique ¿porque resulta necesario y proporcional establecer el mecanismo del uso del
sistema biométrico de recogida de la huella dactilar para” vincular las entradas con el
adquirente”.?
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
15/79
Indique, si no existe otro sistema alternativo idóneo que no prevea el registro de huella y
posterior verificación en la visita al segundo parque. Se hace notar que esta expresión
“vincular las entradas con el adquirente”, no había sido efectuada anteriormente por la
reclamada.
Responde que ninguna entrada es nominativa. El comprador de las entradas puede ser una
persona y las que accedan al parque otras distintas.
“El mecanismo de captar las minucias y generar de manera encriptada una representación
matemática, viene de la necesidad de poder vincular que la misma persona que tiene una
entrada TWIN TICKET, es la que accede a ambos parques por este derecho comprado. No
que la entrada se intercambia entre personas”.
Responde que “no se ha definido otro método alternativo”, y que: “efectivamente las
entradas no están vinculadas por el adquirente. La entrada y la captura de minucias, lo que
vincula es a la persona que haga uso del acceso a un parque, con esa misma entrada y
persona, al acceso al segundo parque, para usar y obtener la promoción del Twin Ticket.”
D-Explique en el supuesto de que solo hubiera un adquirente que da los datos de la compra
y es la persona que va a acceder con la entrada TWIN TICKET (TT). Si, de acuerdo con la
información de la cláusula f, de- POLÍTICA DE PROTECCIÓN DE DATOS:
¿considera que se está vinculando la entrada con el adquirente como dice la información, a
través de la huella?, ¿cómo se producen dichos vínculos en cuanto a sus sistemas de
información y uso de la huella?
Respondió que “se vincula con el acceso, no con el proceso de compra. Es obvio que, si el
adquirente y la persona que accede es la misma, hay una relación. Son dos procesos
distintos el de la compra y el del acceso.
No obstante, la representación matemática resultante de solicitar las minucias en el acceso,
no es relacionable con ningún dato del adquirente. En el proceso de compra se pide nombre
y email: A.A.A. con email ***EMAIL1 y número de teléfono ***TELÉFONO.1 A.A.A. accede
con su entrada Twin Ticket a Loro Parque, se le captan las minucias y se genera la
representación matemática. (...)……
A los 2 meses A.A.A. con email ***EMAIL1 y número de teléfono ***TELÉFONO.1 compra
otra entrada Twin Ticket y al hacer uso de ella, se le captan las minucias y se genera una
representación matemática. (…)….
¿Qué relación se puede establecer?, solo que cuando vaya a acceder al segundo parque la
representación matemática se parezca en un 95% a la primera y le dé acceso. pero no tiene
ninguna validez más.
E-Se solicita que informen sobre, si ¿Puede una persona adquirir las entradas para otras,
sin que sea el, el que acuda a visitar los parques? ¿En ese caso, se tomarían los datos de la
huella del adquirente que no va a acudir al parque? ¿Se tomarían de que persona/s?, y qué
¿título tendrían que llevar? ¿Cómo vinculan en ese caso al adquirente con los datos de la
huella?
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
16/79
Responde que “Son dos procesos distintos, el de compra y el de acceso. La compra la
puede realizar una persona y dar la entrada a otra para que acceda. A una persona que
compra no se le hace la captura de minucias, nunca, porque en el proceso de compra solo
se adquiere el derecho a la entrada. Es en el proceso de acceso, cuando se hace la captura
de minucias y es a esa persona a la que se la valida el acceso a los dos parques con su
entrada Twin Ticket.”
G- ¿Si siguen disponiendo de los tickets “ULTIMATE TENERIFE TICKET”, y “VUELVE”, para
los que según se deduce de la reclamación 1, ¿se había de usar el registro de la huella
dactilar para el acceso?, y ¿que incluyen y que datos se han de proporcionar.?
Responde que “Estos tickets no están a la venta. No obstante, nunca se pide el registro de
huella dactilar, se hace la captura de 10 minucias, se encriptan y se guardan como una
representación matemática. Incluso si son comprados en la taquilla, no se pide ni datos al
adquirente, por tanto, es imposible establecer una relación”.
H-Confirme si en el año 2022, figuraba en condiciones generales de la venta y prestación de
servicios, o en AVISO Legal, la información de que el acceso con la oferta TT incluía el
registro de huella dactilar y su motivo.
No responde.
6. Se solicita a la reclamada, copia del contrato o contratos suscritos con la empresa externa
que le gestione el sistema de reconocimiento biométrico con lectura de huella dactilar que
tiene implantado para el control de acceso a los dos parques con el TT, vigente a la fecha en
que se producen los hechos. Indicar el papel que efectúa la entidad ***EMPRESA.3.
Responde que aporta copia de contrato en DOCUMENTO 2 firmado con ***EMPRESA.3
denominada en el contrato ***EMPRESA.3, y sus anexos, documentos “3 y 4”.
Cabe destacar del contrato los siguientes aspectos:
-“CONTRATO DE PRESTACIÓN, ASESORAMIENTO E INSTALACIÓN DE UN SISTEMA
DE VENTA Y RESERVA DE ENTRADAS, CONTROL DE ACCESO Y ACTIVIDADES DE
LOS PARQUES QUE INTEGRAN LA ENTIDAD LORO PARQUE, ASÍ COMO EL
MANTENIMIENTO DE DICHO SISTEMA” de 13/07/2020.
En objeto del contrato, en la cláusula primera, se indica que tiene como tal, la
implementación en los parques dependientes de Loro Parque de un sistema de
asesoramiento, así como la instalación integral de los trabajos y licencias software incluidos
en el documento “solución de venta y reserva de entradas- control accesos y actividades, y
su mantenimiento”
En la copia del contrato, documento 2, la cláusula primera se indica que “***EMPRESA.3
dispone de recursos humanos y técnicos necesarios y suficientes para la correcta prestación
de los suministros objeto del presente contrato”.
En “alcance y suministro de los servicios contratados” cláusula tercera, se indica que
“incluirá el asesoramiento de la instalación del sistema de venta y reserva de entradas,
control de acceso y actividades de los parques que integran la entidad LORO PARQUE, así
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
17/79
como el mantenimiento de dicho sistema, incluyendo todo lo necesario para el
funcionamiento del objeto del contrato.”
En la cláusula cuarta, “plazo de entrega” sobre la entrada en vigor del contrato, se precisa
que se desarrollará en fases.
En la cláusula sexta: “obligaciones de ***EMPRESA.3”, se indica que “***EMPRESA.3
aportará los recursos que sean necesarios para llevar a cabo la más correcta prestación de
los suministros objeto del presente contrato, ***EMPRESA.3 se obliga a que el personal que
contrate conozca y acepte por escrito su dependencia exclusiva de esta Sociedad con
absoluta exención de responsabilidad aún a título subsidiario de LORO PARQUE.”
“Las actividades ***EMPRESA.3 deberán realizarse con la debida diligencia atendiendo en
su caso correctamente al público usuario y a los trabajadores o empleados de LORO
PARQUE O DE SU GRUPO DE SOCIEDADES”.
En dicho contrato no se alude a si el contratista accede o no a datos personales.
Describe la FASE I de la implantación del sistema:
“objeto: software instalación y puesta en servicio de la FASE 1”, (duración desde la
firma del contrato hasta 1/08/2020) contenida en el ANEXO I del contrato, aportado, como
DOCUMENTO 3, titulado en formato Manual una “propuesta de alcance: Fase
1””presentación de la solución ***EMPRESA.3” que comprende “servicio de venta, reserva y
control de accesos”, conteniendo el detalle de las especificaciones de dicha solución y
aludiendo a la reserva de los clientes de los tickets, al pago, facturación, y cuestiones de la
plataforma cuyo software gestiona, pudiendo destacarse:
En el apartado 2.1 “Taquillas. aplicación de venta en la taquilla: (...)” se indica como
funcionalidades, entre otras, la de “localizador: canje de reservas y reimpresión de ventas
online”
También dispone de la opción 2.1.1.7 Solicitud de datos del visitante: nominar entradas, para
tener el control sobre quien realiza la visita.
En funcionalidades adicionales se indica que, al finalizar la venta, se pueden realizar
funcionalidades adicionales como: “impresión de ticket individual en función del tipo de venta
con un código QR que permite el control de accesos a los espacios”
“2.1.1.17. Localizador Todas las operaciones de venta o reserva online que se realizan
desde la administración o el checkout generan un localizador que se puede consultar y
gestionar en esta opción del menú”
En el punto 3.1.2 se indica que “se podrá comprobar si un localizador, ticket o albarán ha
accedido a través de un punto de acceso concreto a un centro específico”
“2.2. Control de Acceso (...).
El control de accesos del sistema será capaz de validar los distintos formatos de códigos de
barra y códigos QR emitidos por las distintas plataformas de venta.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
18/79
Con los periféricos de lectura adecuados incorporado en los dispositivos de accesos, el
Sistema ***EMPRESA.3 soporta la incorporación de sistemas de lectura de tarjetas y
pulsera RFID, así como validación de parámetros biométricos, como son la huella dactilar y
el reconocimiento facial.
En el caso de realizar la nominación de los visitantes en cada una de las entradas, bonos,
promociones, etc. que se emiten en el momento de la venta o reserva, se puede verificar en
el punto de acceso la identidad del visitante por medio de la lectura de código OCR del
documento de identidad o pasaporte.
La información obtenida en el momento del acceso se guarda en la BBDD con toda la
información estructurada de modo tal que se puede vincular con toda la información relativa
a la venta, reserva, abonado … correspondiente. De este modo se obtiene la total,
trazabilidad de las operaciones.
Todos los códigos seguirán el mismo esquema de codificación, que incluye distintos datos
para poder hacer las validaciones configuradas y unos dígitos de seguridad para verificar
que el código pertenece al sistema.
Las validaciones que un control de acceso realiza dependen del tipo de control asociado al
tipo de entrada del ticket. Así, configurando dos tipos de control distintos, se podría hacer
que el tipo de entrada “Invitación VIP” de una visita no controlase la hora de acceso,
mientras que una entrada “General” sí lo hiciera y no pudiera pasar hasta que la sesión no
estuviera cercana a su inicio.”
Los tipos de control se pueden configurar con distintas validaciones, como ejemplos, para el
día que se reservó, dentro del rango horario configurado, días de la semana que se permite
el acceso según tipo de entrada, definición de número de veces que una determinada
entrada puede pasar el control de acceso, define un rango de fechas entre las cuales es
válido el acceso de esa entrada, o sin acceso: si por algún caso hubiera que prevenir el uso
inapropiado de un producto del catálogo del sistema se podría asociar la validación: “Sin
acceso”, que directamente impide que la entrada sea aceptada en el control de accesos.
“Los distintos equipos que se pueden utilizar para los controles de acceso con los que es
capaz de trabajar el sistema comparten una BBDD común para la validación de las entradas
donde se puede configurar qué se debe tener en cuenta a la hora de permitir o no la
entrada: horario, un único acceso o varios, validez durante un rango de fechas, etc.
Fuera de esa BBDD común, cada tipo de control de acceso supone un submódulo del
sistema, pues tienen sus propias particularidades:
Tornos. El control mecánico de los tornos se lleva a cabo con electrónicas específicas que
se comunican con el núcleo del sistema de control de accesos para determinar si se debe
abrir el paso o no.
Atril con unidad lectora. Las lectoras de códigos de barras se conectan a un ordenador y
muestran en pantalla si una entrada es válida o no. En caso de no ser válida se emite un
pitido y se destaca el motivo por el que no permite el acceso: fecha, código de barras
incorrecto, hora, entrada ya utilizada…
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
19/79
PDA. Las PDA ofrecen al encargado del control de acceso una mayor movilidad.
Requieren de una conexión de red inalámbrica.
El trabajo en local del control de accesos propuesto reduce al mínimo el tiempo de servicio
ante la lectura de las entradas, mejorando notablemente la experiencia del visitante.”
“2.3. Venta segunda visita – inpark.
El Sistema ***EMPRESA.3 es multi-aforo y multi-recinto por lo que permite la venta y
emisión de diferentes productos (entradas, bonos, promociones, abonados) con posibilidad
de realizar varios accesos a uno o varios de los Parques del Grupo según las características
definidas en el momento de definir el producto.
Tal y como se detalla en el punto anterior de Control de Accesos se puede verificar los
accesos posteriores a la primera visita por medio de sistema biométrico (huella o
reconocimiento facial) o identificación por DNI o pasaporte.”
“2.4.2. Checkout
(…)
“7. Ventana de confirmación o denegación de la compra.
En el caso de confirmación se envía automáticamente al cliente un email con los datos de
su compra, que incluyen un QR que utilizará para acceder directamente a la visita o
actividad comprada.
Los documentos de compra, aunque son personalizados según imágenes y creatividades
especificadas por el cliente, son similares a los que se muestran a continuación:”
Figurando en pantalla el documento que lleva en el lado derecho un código QR y en el
izquierdo un numero de localizador, fecha de la visita, cantidad de entradas y precio, datos
del titular, email, cód. postal provincia y país, fecha de visita-Información protección de
datos.
Además, se contienen las distintas utilidades que se pueden obtener con la plataforma,
listados de informes, de ventas, de entradas etc.
Describe la FASE 2 y 3:
“objeto: software instalación y puesta en servicio de la fase 2 y 3” (duración desde la
finalización, instalación y puesta de servicio de la fase 1, hasta el 30/09/2020, la fase 2, y
desde esta hasta 31/12/2020 la fase 3, contenidas en el ANEXO II, que es aportado como
DOCUMENTO 4.
Se solicita denominación del equipo instalado, modelos de Software y hardware utilizados
en concreto para la operativa del reconocimiento digital para accesos con el TT.
Manifiesta que: “son equipos de la marca ***EMPRESA.1, modelo ***DISPOSITIVO.1
suministrados por la empresa ***EMPRESA.2”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
20/79
Manifiesta la reclamada que al cliente que se quiere beneficiar de la oferta económica de TT,
“se le adquiere la imagen con (...)”, se le solicita que informe ¿quién lleva a efecto este
trámite, donde se almacena la imagen tomada y si se pasa a alguna otra/s localizaciones.?
Respondió que: “la captura de las minucias que hace la cámara (...) y su encriptación
automática en dicho dispositivo genera una representación matemática que se almacena en
equipamiento informático de Loro Parque SA, securizado y cuyo uso es exclusivo para el
sistema de venta de entradas y validación de accesos. En la única localización física donde
se guardan estos datos en la infraestructura tecnológica de Loro Parque SA, tanto en su
entorno de producción, como de copias de seguridad”.
7. Informen también si este sistema y el contrato se utiliza también para el acceso con otras
entradas/tickets distintos del TT, en concreto los que figuran subrayados en el punto 4.
Respondió que: “Sí, así es, se utilizan para todos los tipos de entradas que se
comercializan”.
8. Informen a qué base de datos se refieren cuando explican que ***EMPRESA.2 “tendría
que poder acceder a nuestras bases de datos para poder relacionar los datos encriptados
con una persona concreta”. Contenido de esa base de datos, ¿con que datos se forma?, el
origen y momento en que se nutre dicha base de datos y finalidades, sujetos que engloba y
producto de qué relación, contenido, origen de esos datos, finalidad, período de
conservación.
Respondió que: “Base de datos Microsoft SQL que hace la labor de (…) de toda la solución
de ticketing” Lo conforman todos los datos necesarios para la venta de entradas y
posteriormente proporcionar el acceso a los parques. Se empieza a nutrir desde el momento
de la compra, donde se generan las entradas para el acceso. Luego estas entradas deben
de ser validadas en el control de acceso físico al parque y se comprueba que dichas
entradas, códigos QR, existen o no y se valida o no el acceso. Finalidad, que el sistema de
ventas de entradas y acceso funcione y tengan información contra la que validarla”.
9.Sobre la afirmación que la entrada genera un código QR, se ruega que informen:
- ¿con qué datos de la entrada genera el QR?, ¿en qué momento?, y ¿qué datos
contiene dicho QR?, ¿si son de la entrada o hay más?,
-¿qué fines tiene?,
-¿Si se ha de portar tanto para el primer acceso como para el segundo con TT?
- ¿Si el QR es objeto de lectura junto con la huella?,
- ¿Si el resto de las entradas no nominativas, también generan dicho QR?
Respondió que: “Son datos de la entrada, se genera con el número de operación, número
de entrada, localizador de la compra, etc.…. Nunca con datos que suministre el comprador.
¿Qué fines tiene? Permitir y validar el acceso de las entradas compradas. - ¿Si se ha de
portar tanto para el primer acceso como para el segundo con TT? Sí, pero se puede llevar
en formato físico, papel o digital, móvil. Si el QR es objeto de lectura junto con la huella,
Claro, se lee el QR, se detecta que es una entrada TT y en ese caso se pide la lectura de
las minucias, tanto si es el primer acceso, como el segundo. Si se intenta leer una tercera
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
21/79
vez, se indica que la entrada está utilizada y no se pide lectura de minucias. Si el resto de
las entradas no nominativas también generan dicho QR: Todas las entradas generan QR y
los Twin Tickets no son entradas nominativas, el acceso a ambos parques es que se asocia
con un individuo, pero se desconoce cualquier dato de esta persona que accede al parque.”
10.Dispositivo, espacio o lugar en el que se almacenan las plantillas biométricas producto
del primer registro de la huella dactilar de los usuarios del TT. ¿Si a esas plantillas
almacenadas se suma algún dato o elemento? ¿Quién tiene acceso a estas plantillas, y,
quien gestiona ese almacenamiento, que modelo de software es utilizado? ¿Con que
seguridad cuenta este sistema donde se almacenan las plantillas?
Respondió que: “No se suman con ningún dato, se almacena en una tabla dedicada de la
Base de Datos. Nadie accede a esas plantillas, solo el sistema. El almacenamiento es
gestionado por Loro Parque SA, (...) para dotar de máxima seguridad física. Se cuenta con
seguridad física y lógica, así como tecnologías de seguridad perimetral para proteger este
sistema”.
11.Breve resumen explicativo técnico del íter del funcionamiento en la práctica de la
implantación del sistema por el que se gestionaba en 2022 la recogida de huella dactilar que
se utiliza como medio de control de acceso al segundo parque en el TT, en especial
referencia al sensor, sistema de almacenamiento de las plantillas, e interconexión del
mismo. También, sobre el sistema usado para crear las plantillas biométricas, características
generales del algoritmo utilizado para dicha función, si dicho algoritmo se usa para generar
la misma plantilla en diferentes sistemas biométricos, y en qué fase o momento/s se aplica
el algoritmo, con que fines.
Respondió que: “El sistema es el mismo en 2022, que en 2024. Mismo proceso, misma
captura de minucias, misma (…).”
El resto de las cuestiones no se atienden.
12.Responda a la cuestión de si se recoge solo la huella de un dedo o más dedos para cada
usuario y el motivo de la segunda o sucesivas recogidas.
Respondió que: “la captura de minucias se realiza solo de un dedo.”
13. Explicación de cómo funciona el sistema cuando por ejemplo acude el usuario a visitar el
segundo parque con el TT, cuando se introduce el dedo en el lector, ¿con que otro elemento
coteja esa introducción?, ¿dónde figura almacenado? Fecha hasta la que se conserva, y si
después del plazo se bloquea o se destruye (acreditándolo) Y ¿qué sucedería si se utiliza la
huella una vez transcurrido el período de vigencia del TT de quince días o el de vigencia de
la entrada? Indique quién es el responsable de ese almacenamiento, de su bloqueo y su
destrucción en su caso (aportando acreditación de ello).
Respondió que: “Primero se hace la lectura del QR para saber que esa entrada es un Twin
Ticket. Se coteja la representación matemática con la tomada en la primera lectura y si tiene
un porcentaje de coincidencia superior al 95% se le concede el acceso. Cuando las
entradas son leídas dos veces, ya no te permite usarlas más, por tanto, a la tercera lectura
no lanza el proceso de captación de minucias.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
22/79
Las entradas no tienen vigencia, si están sin usar, se puede usar. El bloqueo lo hace
automáticamente el sistema con las lecturas de la entrada Twin Ticket. 1ª lectura te deja y te
pide la primera captura de minucias y genera representación matemática A, 2ª lectura te
deja y te pide la segunda captura de minucias y genera representación matemática B,
compara ambas representaciones matemáticas y si A y B se parecen en un 95% se permite
el acceso. 3ª lectura la entrada da error, pone entrada ya utilizada y no pide captura de
minucias. No hace comparación alguna más.”
14. Información en caso de que se almacene la plantilla biométrica en el sensor de lectura,
¿qué información se queda en dicho sensor?, objeto de ello, y ¿si se traslada en ese
momento alguna información a las bases de datos del reclamado?, objeto.
Respondió que: “En el sensor no se almacena nada. Hace todo el proceso de captura de
minucias, encriptación y generación de representación matemática, que envía a la BBDD.”
15. El sistema motivo/fin por el que cuando la persona que accede al parque con el TT al
pasar el dedo por el sensor, el código de la huella que recoge el software (empresa
contratada) pasa a los sistemas de la reclamada (así se manifiesta en sus alegaciones) y si
ese código que está en los sistemas de la reclamada es usado después, explicando para
qué, y cuánto tiempo se almacena y porqué ese período.
Respondió que: “la captura de minucias genera de (…). Esta representación matemática
queda a la espera de que se haga la segunda captura de minucias, se genere de manera
(…) una segunda representación matemática y se haga una comparación entre las dos.
Hasta que no se haga esta segunda captura de minucias, se genere de manera encriptada
una segunda representación matemática, esa primera representación se queda esperando a
la segunda.”
16. Además, confirmen lo que manifestaron en su respuesta al traslado de la reclamación,
respecto al uso del registro de la huella para verificar que la persona que accede en el
segundo parque es la misma que la que accedió al primero, (a pesar de ser entradas no
nominativas) no se tratan datos personales, y que esta consideración fue tomada sin ningún
informe o dictamen que hubiera analizado el funcionamiento del sistema biométrico con el
equipo del sistema biométrico que le da soporte. Indique si este punto ha variado. Asimismo,
se solicita que informen si consideraron respecto a las reclamaciones (año 22) tomar en
cuenta el examen de la necesidad y proporcionalidad del tratamiento con fin de control de
acceso a los parques con entrada TT no nominativa o similares, a través de huella. En
particular detallando el análisis efectuado sobre las alternativas del citado uso del registro de
huella para acceder.
Respondió que: “no se registra y no se lee la huella, se hace una captura de minucias, de
manera encriptada se genera una representación matemática y cuando se hace la segunda
captura y representación matemática se comparan, las representaciones matemáticas, por
tanto, es por eso por lo que se dice que es la misma persona la que accede a ambos
parques”.
17.Para la contratación de los servicios se indica en AVISO LEGAL de su web, protección de
datos, que se han de registrar los datos como cliente. Se solicita copia del formulario con los
datos que recababan en 2022 al adquirir entradas de TT, y si existe diferencia con los que
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
23/79
recaban ahora, y denominación del Registro de Actividades de Tratamiento- RAT -del que
forman parte estos datos.
Aporta en su repuesta, captura de pantalla, indicando que es el formulario de datos del
2022. “Es el que hay ahora mismo en SIAM PARK”.
El formulario dispone de los campos: “(incluya los datos de contacto del titular que va a
realizar la compra)”, Nombre, E Mail, País, Teléfono, Código Postal y la opción de casilla a
marcar de “solicitar factura”). En el pie se contiene información “básica” sobre el tratamiento,
responsabilidad de LORO PARQUE SA, entre otros aspectos: finalidad “gestión
administrativa, emisión de entradas y control de acceso a los recintos. Gestión contable y
fiscal. ”Legitimación: por ejecución de un contrato”, y ofrece información adicional en un
enlace.
En el pie de la información constan las casillas para marcar de haber leído y aceptar las
políticas de privacidad y de compras, y otra para consentir envío de información comercial.
Añade que son los mismos datos que se solicitan ahora. Sobre el RAT no detalló su
denominación.
18. Copia del (RAT) que tengan relación con los datos recogidos de CLIENTES para la
adquisición de tickets de acceso a los parques, indicar si se incluye los de clientes que
adquieran la modalidad de entrada TWIN TICKET, y el resto de los tickets no nominativos
arriba subrayados, vigentes en 2022. De acuerdo con la información proporcionada por la
reclamada en su web, figuran datos de clientes que se incorporan a ficheros, efectuándose
tratamientos sobre ellos, considerándose que no son ocasionales sino habituales
entendiéndose que se cumplen las circunstancias del artículo 30.5 del RGPD.
Respondió que: “Son dos procesos distintos el de la compra y el del acceso”. No aporta el
RAT del tratamiento de datos de clientes en la compra de tickets a través de sus webs, a
pesar de que informa que se trataran automatizadamente tales datos.
19.Respecto del INFORME, DOCUMENTO DOS que aportaron en alegaciones,
manifestaron que “Finaliza el informe solicitado por LORO PARQUE, S.A., acreditando que
los datos digitalizados obtenidos, se conservarán únicamente mientras la tarjeta o entrada
en cuestión esté vigente, y se destruirán de forma inmediata cuando deje de estarlo,
protegiendo así la privacidad y seguridad de los usuarios” A tal efecto, se les solicita que
informen cual es la referencia utilizada para establecer en sus sistemas que la entrada o
tarjeta está vigente, donde está almacenado ese dato y quien es su responsable y que
proceso se sigue para inhabilitar el acceso si la entrada no está vigente, quien establece
internamente los módulos para inactivar e impedir el acceso. También sobre los datos
digitalizados-obtenidos, ¿a qué datos se refieren? y ¿dónde se sitúan?, entendiendo que
existe relación con la entrada, detalle ¿en qué consiste esta.?
Respondió que: “La entrada se deshabilita una vez que ha sido leída las veces que tiene
definida. En caso de un Twin Ticket tiene dos lecturas, una por parque, por tanto, cuando se
ha leído dos veces, ya queda desactivada, inhábil, inoperativa, sin que se pueda volver a
usar. El sistema es el que valida cuantas veces se ha leído una entrada y en caso de un
Twin Ticket si se ha leído dos veces y se lee una tercera, dará entrada usada y el personal
del control de acceso no debe de dejar acceder al cliente con una entrada usada.”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
24/79
20. Número de clientes/usuarios registrados en su web cuando adquieren la entrada del TT
en 2022. Informen del número de personas que accedieron a los dos parques en 2022 con
el TT. Si no tuvieran datos de aquel año, pueden dar de otro año-aportando preferentemente
impresión del soporte en el que en su caso se visualice o figuren dichos números.
Responde que: “No aparece una contabilidad diferenciada con respecto del resto de
entradas”.
21. Copia impresa del reverso de TWIN TICKET para verificar si tiene contenido, cual es el
mismo. En la aportada como DOCUMENTO 1 en sus alegaciones no se aporta la otra cara.
Respondió aportando en la parte izquierda, imagen rectangular del TT, con logos de los dos
parques y debajo reza en su literal “consultar condiciones de uso en el acceso a los
parques” figurando las páginas web.
22.Informe, si se dispone de entrada TWIN TICKET, ¿si esa entidad exige también que se
porten los tickets en papel impreso?
¿Si al acceder a la primera visita con el TT o el de VISITA ANUAL, en el primer acceso, se
registra la fecha o la fecha de inicio como la de la compra de los tickets?-¿Cómo se marca la
primera visita al parque con ticket TT para que no se vuelva a acceder al mismo?
Respondió:” Se puede llevar la entrada Twin Ticket con el QR asociado, tanto en papel
como en un soporte digital, móvil, fotografía, siempre y cuando se pueda leer el QR
adecuadamente. La entrada TWIN TICKET solo queda invalidada cuando se ha leído dos
veces, hasta entonces es válida. Cuando se ha leído dos veces la entrada ya no es válida.
En el caso de PASE ANUAL, la entrada tiene vigencia de un año, con un acceso permitido al
día. Pasado este año que empieza a contar desde la emisión de la tarjeta, ya no es válido el
acceso y en consecuencia el PASE ANUAL”.
23.FORMULARIO que utilizaban en 2022 y 2023 para registrarse en su web, con objeto de
adquirir la oferta de entrada TWIN TICKET, dirección web en la que se hallaba o halla, en la
actualidad información que se proporcionaba sobre protección de datos.
Respondió que en “2022 hasta ahora” la dirección web es
https://tickets.siampark.net/sereservarEntradas.aspx?opc=21&m=INDIVIDUALTWIN&lg=es-
ES. Solo aporta captura de pantalla de del formulario que aparece para rellenar los datos de
contacto del titular que va a realizar la compra y la información básica sobre protección de
datos.
Clicando en ella, conduce a la página de tickets de siampark, venta oficial de entradas,
https://tickets.siampark.net/ “compre sus entradas TWIN TICKETS en solo unos minutos…”,
que consta de CUATRO PASOS.
1-Seleccione el día y tipo de entradas que desea adquirir
2 Seleccione la hora en que quiere visitarnos
3-Introduzca sus datos de contacto
4-Seleccione el método de pago
Iniciando seleccionar la fecha, aparece después el desplegable de tickets separados: adulto,
niño o TWIN TICKET niño free (de 0 a 2 años), para agregar número de entradas. En la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
25/79
información de la imagen de cada ticket “i”, clicando ahí, figura el literal: “Multiplica tu
experiencia por dos: Loro Parque y Siam Park con una sola entrada y ahorra 10 euros.
Tienes seis meses para visitar Siam Park desde la fecha de tu visita a Loro Parque.”
Al seleccionar el día/continuar, sale por cada parque, primero, Loro Parque, una franja
horaria “seleccione la hora en la que quiere visitarnos” que no se puede modificar, y el
indicador “Ir a paso 3” en el que clicando sale el formulario de “datos de contacto del titular
que va a realizar la compra”, con datos de nombre, e mail, país, código postal, y teléfono
como datos obligatorios. Debajo figura “información básica sobre protección de datos”,
destacando “legitimación por ejecución de un contrato”, finalidad: “gestión administrativa.
Emisión de entradas y control de accesos a los recintos, y en información adicional y
detallada sobre protección de datos figura para clicar en “este enlace”.
Finaliza con las dos casillas para aceptar y marcar “he leído y acepto las políticas de
privacidad y de Compra”, y de consentir para envío de información comercial.
Si se clica en el enlace de información adicional y detallada, lleva a otra página de siampark,
con información, en la que consta, dentro de “Condiciones generales de venta y servicios”,
el apartado: “f) Política de protección de datos:
“Para conocimiento de nuestros clientes, les comunicamos que las entradas denominadas
TWIN TICKET, SEGUNDAS VISITAS, IN PARK, TARJETAS ANUALES, son entradas al
portador, no identificando al titular o poseedor de las mismas, por lo que, para vincular las
entradas con el adquirente, se ha establecido un sistema de verificación mediante la
obtención de minucias, que configuran una representación matemática que, no es huella del
mismo, sin que sirva dicha representación para la identificación de persona física alguna, no
teniendo otra finalidad que la de poder constatar que quién se benefició de una oferta
promocional, es quien utiliza el producto adquirido, y sin que sea posible relacionar
posteriormente la representación matemática con el usuario que adquirió nuestro producto
comercial.”
De ello se deja constancia en diligencia de acceso de 14/08/2024
También indica que desde “ 2023 hasta ahora”
Dirección web – https://www.loroparque.com/ticketsonline/es/paso0 Seleccionar la opción
TWIN TICKET”
Resultando si se accede la opción de compra de entrada TWIN TICKET, conteniendo lo
mismo que si se entra por la página de entradas en siampark del en cuanto a tipos de
entradas ofertadas y operativa para cumplimentar el formulario
En el apartado de política de privacidad, si se clica, figura bajo el título de “política de
privacidad” a destacar:
- el interesado (usuario) que facilite a “LORO PARQUE, S.A.” datos de carácter
personal a través de redes sociales o plataformas online queda informado que el
responsable del tratamiento de los datos personales que nos proporcione será: “LORO
PARQUE, S.A.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
26/79
-Como responsable del tratamiento, “LORO PARQUE, S.A.” solicitará expresamente
autorización al usuario a la presente política de privacidad .
(…)
7”VIII- ¿A PARTIR DE QUÉ EDAD PUEDE EL USUARIO ACCEDER A NUESTROS
PRODUCTOS Y SERVICIOS?
Como regla general y conforme establece el nuevo Reglamento General de Protección de
Datos, en su artículo 8, cuando se aplique el artículo 6, apartado 1, letra a), en relación con
la oferta directa a niños de servicios de la sociedad de la información, el tratamiento de los
datos personales de un niño se considerará lícito cuando tengo como mínimo 16 años. Si el
niño es menor de 16 años, tal tratamiento únicamente se considerará lícito si el
consentimiento lo dio o autorizó el titular de la patria potestad o tutela sobre el niño, y solo
en la medida en que se dio o autorizó.
24. Indiquen el período de tiempo desde el que se lleva utilizando la recogida de huella
dactilar para acceso con tickets TT y el resto que conlleve este tipo de acceso.
Respondió que “no mantenemos un registro de las modificaciones que se hacen en las
páginas web”.
25.En sus alegaciones al acuerdo de inicio indicaron que:
“La petición de documento de identificación solo se hace a los efectos de poder determinar
el carácter de residente o no, por la diferencia de precio. “nunca se almacena la
identificación, ni se relaciona con la entrada.” A tal efecto, se le solicita indiquen si ello es
aplicable a todas las entradas, también a los TT y que documentos emplean para verificar la
identidad de la persona y si efectuasen sus sistemas algún sistema de verificación de dicha
comprobación.
Respondió que:” Se pueden adquirir TWIN TICKET en los puntos de venta autorizados
(hoteles, agencias de viaje, quioscos). Estos serían puntos de venta (se vende únicamente
un código QR). Posteriormente el cliente, hace uso de los TWIN TICKET, mediante el
sistema de verificación a que se refiere el presente procedimiento para acceder a los
parques. También se aplican a los TWIN TICKET y a todas las entradas que tiene la
denominación de RESIDENTE. Al cliente se le pide que enseñe el DNI o certificado de
empadronamiento y si reside en la Comunidad Autónoma Canaria, tiene derecho al
descuento de residente. No se utiliza ningún sistema, solo la supervisión física y visual de
este dato en la documentación aportada y no se verifica la identidad de la persona, sino su
lugar de residencia y si es Canarias se le puede aplicar el descuento de residente fijado”.
26. Aporten si disponen, de análisis de necesidad y proporcionalidad del sistema de uso de
dato biométrico-huella dactilar que aconseje el uso de dicho sistema, desde cuando se viene
usando, y análisis de riesgos del tratamiento de datos personales.
Respondió que: “No se aplican para el sistema que se describe, porque no se recogen datos
biométricos ni huella dactilar”.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
27/79
27.Informe sobre las diferentes formas de adquisición de los TT fuera de la web de la
reclamada, ¿dónde se pueden adquirir?, y si los datos que se piden por esos terceros
autorizados a dicha venta son los mismos que los de la propia web de la reclamada.
Reclamante 2 aporta copia de los “bonos asociados a suplemento” “TWIN TICKET” en el
cuerpo de los billetes de barco, en los que figuran impresos nombres y apellidos,
localizadores: el mismo para los cuatro billetes, (...), nº billete: (el mismo número para los
cuatro billetes, (...) a (...), secuenciales seguidos), y NIF/NIE/tarjeta residente de dos adultos
y NIF de dos infantes, fecha caducidad con referencia a fecha embarque/trayecto: Gran
Canaria/Tenerife, y códigos de barras en cada billete del bono, manifestando que los compró
en la naviera FRED.OLSEN Express, “pues se ofrecen a todos los que compran billete con
destino a Tenerife”. Se solicita a la reclamada ¿porque en dichos tickets figuran todos los
datos de los asistentes y si fueron incorporados al fichero de clientes de esa entidad.?”
Respondió que: “En estos casos el cliente para Loro Parque es la Agencia, no el cliente final
con el que trabaja la Agencia. Una demostración más que están separados los procesos de
compra, en este caso el comprador es la Agencia y, en este caso el que accede es el cliente
final de la Agencia. Sobre el caso que se expone, los datos que almacene (...) es cuestión
suya, en lo que concierne a LORO PARQUE SA, los datos que se almacenan son los datos
que proporcione (...) y se les remite las entradas que nos solicita comprar, ni más ni menos.
Luego esas entradas que llevan un QR son validadas en el control de acceso, simplemente
viendo si son válidas o no, independientemente de la persona que las haya comprado o si
ha venido en barco, avión o a pie. En el caso de que estas entradas que (...) haya pedido
comprar entrada Twin Ticket, a sus clientes finales les habrán llegado los QR, los cuales se
leerán en el control de acceso, se detectará que es un Twin Ticket, se les pedirá la lectura
de las minucias, se generará de manera encriptada una representación matemática y luego
en su segunda lectura de dicho QR, se hará lo mismo y si ambas representaciones
coinciden en un 95% se les permitirá el acceso con esa entrada Twin Ticket.”
28.Explique lo que quiere decir en sus alegaciones cuando indica, solo sobre lo subrayado:
“las entradas, generan un código QR, y los sensores en los que los clientes ponen los
dedos, mediante un sofisticado sistema de software informático prestado por empresa
externa y especialista en la materia, genera de forma directa una representación
matemática”, (se solicita que indique si esa representación es la plantilla biométrica,
además, si se refiere en la primera entrada o acceso o en la segunda visita o acceso con
TT).
Respondió que “No es una plantilla biométrica, es una representación matemática. Un Twin
Ticket tiene dos accesos y la captura de minucias, generación encriptada de una
representación matemática se genera en la lectura 1 y 2, pero en la segunda lectura, se
hace una comparativa entre ambas representaciones matemáticas y si tienen una
semejanza superior al 95% se permite el acceso”.
29.-En el ANEXO 4, que se extrajo en actuaciones previas, para la adquisición de entradas
on line en la información que se proporcionaba, figuraba en finalidad, emisión de entradas y
control de accesos a los recintos, si bien indican que la entrada es no nominativa, aclare
esta información, y aporten copia de este formulario en la actualidad con las mismas casillas
para introducir los datos y la información que ahora exista.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
28/79
Respondió que: “Son dos procesos distintos: Compra, donde se hace una operación de
compra de entradas que llevan asociados unos QR que dan derecho al acceso a los
recintos. Acceso, procedimiento de lecturas de los QR antes indicados. Pero los
intervinientes de ambos procesos no tienen por qué ser las mismas personas, por tanto, no
hay una relación entre los datos de compra y los datos de acceso.”
DÉCIMO PRIMERO: Alegaciones del reclamado en su escrito de respuesta a práctica de
pruebas.
El reclamado, junto a su respuesta en pruebas, realiza las siguientes alegaciones:
1-En el acuerdo de inicio de 2/10/2023, en la parte final, se informa que la duración del
procedimiento es de 9 meses desde la fecha del acuerdo de inicio, por lo que considera que
el expediente ha caducado a partir del 2/07/2024, según lo que determinaría el artículo 64.2
párrafo quinto, de la LOPDGDD, y con los efectos de archivo previstos en el artículo 25.1.b)
de la LPACAP.
2- Nulidad del procedimiento, por vulneración del principio de responsabilidad (art 28.1 de la
LRJSP), estimando que concurre por pedir en pruebas diversos documentos e información,
lo que demostraría que no se tenía conocimiento previo suficiente para imputar a esta parte
falta alguna. Se imputa primero un hecho ilícito sin prueba suficiente, y luego se abre un
período probatorio sin atender las alegaciones hechas en fase previa, en respuesta al
acuerdo de inicio: “para que se aporte documentos, aclaraciones y manifestaciones nuevas,
que intenten demostrar la culpabilidad de LORO PARQUE, S.A. Ello implica que se está
poniendo la carga de la prueba de los hechos imputados sobre el administrado investigado y
no sobre la administración instructora.”
“La reclamada no puede ser sancionada al no haber prueba de existencia de ilícito
administrativo en la gestión del TWIN TICKET ni a título de dolo ni a título culposo. La
reclamada adoptó todos los medios a su alcance para conseguir no tener dato personal
alguno de los clientes que usan dicho producto”.
DÉCIMO SEGUNDO: Envío de propuesta de resolución.
Con fecha 6/09/2024, se remitió propuesta de resolución al reclamado, con el literal:
“PRIMERO: Que por la Directora de la Agencia Española de Protección de Datos se
sancione a LORO PARQUE, S.A., con NIF A38009023, por una infracción del artículo 9 del
RGPD, tipificada en el artículo 83.5 a) del RGPD, y calificada como muy grave a los solos
efectos de la prescripción de dicha infracción, en el artículo 72.1.e) de la LOPDGDD, con
una multa de 250.000 euros,
SEGUNDO: Que por la Directora de la Agencia Española de Protección de Datos se ordene
a LORO PARQUE, S.A., con NIF A38009023, en virtud del artículo 58.2.f) del RGPD, que en
el plazo de 30 días desde que la resolución que ponga fin a este procedimiento sea
ejecutiva, acredite haber procedido al cumplimiento de la medida del fundamento de
derecho VI, concretada en la prohibición del tratamiento de datos analizado.”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
29/79
DÉCIMO TERCERO: Alegaciones a la propuesta de resolución.
Con fecha 23/09/2024 se recibieron alegaciones de la reclamada, en las que manifiesta:
1-Reitera que
-“la AEPD considera que el sistema utilizado por LORO PARQUE, S.A. permite identificar
personas a través de la huella dactilar, lo que es erróneo”.
-“la AEPD, considera que la representación matemática de una huella es un dato personal,
lo que no puede ser tenido por cierto, porque la representación matemática no permite hacer
un camino inverso hasta la huella digital del cliente y, por ende, hasta su identificación (No
cabe emplear "ingeniería inversa"). La representación matemática de la huella, no nos dice
nada sobre el cliente.”
-“No habiendo hecho prueba la AEPD de la afirmación de la reclamada de que no es posible
revertir el proceso utilizado de tal forma que al final, pueda identificarse al dueño de las
minucias que formaron la representación matemática, no puede ser calificada de errónea.”
-“En ningún momento se graba la huella dactilar de los clientes, ni, lógicamente se
almacenan, siendo, por lo demás, que el sistema utilizado no es reversible, no permitiendo
llegar, por un procedimiento inverso, a reconstruir una huella digital completa que permitiera
identificar a su titular. Si esto es así, que lo es, y la AEPD no ha probado lo contrario, no se
nos puede aplicar el RGPD, ni la LOPDGDD.”
-“la representación matemática de la huella, que es lo único que obtiene LORO PARQUE,
S.A., no nos proporciona dato personal alguno sobre persona alguna, por lo que es
imposible obtener datos identificativos de la persona.”
-“Se debe considerar, por tanto, que si para comprobar que quien entra en un parque con la
oferta TWIN TICKET es la misma que entra en el segundo parque, se utiliza una
representación matemática de la huella digital, que no sirve para identificar al cliente, porque
no aporta dato personal alguno del mismo, no se está utilizando dato personal alguno de los
protegidos por el RGPD, art. 4.1”
- “el fabricante de los dispositivos que consiguen finalmente la representación matemática,
***EMPRESA.2, nos garantiza que no se trabaja con huellas digitales. sino con
representaciones matemáticas de la huella digital original, y que, durante el proceso de
verificación, el sistema no compara imágenes de huellas dactilares, sino unas "nubes de
minucias" que, al compararse entre sí, procesa una puntuación. Cuando la puntuación
supera un umbral determinado, se supone que las dos plantillas proceden del mismo dedo,
pero nunca nos permite identificar a quién pertenecía el dedo en cuestión, por lo que, en
ningún caso esas plantillas pueden ser consideradas como datos personales a los efectos
del RGPD, quedando excluidas, del objeto del RGPD”
-“según nos indica ***EMPRESA.2. se explica el proceso de extracción de las minucias a
partir de las imágenes de huella, y cómo las comparaciones biométricas no utilizan la propia
imagen durante su ejecución.”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
30/79
2-LORO PARQUE, “pretendiendo el control de accesos para su producto TWIN TICKET,
solicita a empresas externas que le proporcionase un sistema informático que permita su
correcta gestión con todas las garantías para los derechos de las personas que acceden a
los parques. LORO PARQUE, S.A., es un mero cliente de las empresas que prestan los
servicios de control de accesos. En efecto, tal y como consta en el expediente
administrativo, ***EMPRESA.3, nos proporcionaron el software y ***EMPRESA.2, el
hardware, necesarios para ello. Se nos garantizó, porque esa era nuestra idea, que con sus
sistemas no había posibilidad de obtener dato personal alguno de los clientes en lo relativo
al control de accesos y que el proceso automatizado no nos proporcionaría la huella digital
de los clientes, sino una representación matemática, que impedía relacionarla con las
minucias obtenidas y, por tanto, con la huella de origen, siendo, además un procedimiento
irreversible, esto es, que no permitía llegar a identificar a nuestros clientes, haciendo el
camino inverso con el resultado de final de proceso. Si no hay datos personales, según ya
hemos acreditado, no se puede considerar a LORO PARQUE, S.A. como responsable de
infracción alguna, según refiere la AEPD por remisión al RGPD y a la LOPDGDD.”
“Al no utilizar su sistema dato personal alguno, e intentar aplicar la legislación de protección
de datos, se está vulnerando los principios de tipicidad y de legalidad previstos en la Ley
40/2015 de 1/10.”
“ La AEPD utiliza conceptos que o se definen en la normativa de protección de datos, como
el de “plantilla biométrica”, por lo que se infringe el principio de tipicidad y se acude a
definiciones contenidas en Dictámenes y Directrices que no se recogen expresamente en la
norma sancionadora.”
3-“Los códigos matemáticos no identifican personas tal y como hemos acreditado con los
informes técnicos aportados, solo recogen la validez de las entradas y los códigos QR a
ellas asociadas, sin que existan mecanismos que permitan asociar un dato con una
persona, aunque estén en principio fuera del alcance del que posea esos datos, y ni
siquiera con ayuda de terceras personas se puede razonablemente identificar a las
personas cuyos datos se tratan”.
4- “LORO PARQUE, S.A., se limita a crear dos códigos QR, sin relación alguna con dato
personal alguno que permita identificar a los usuarios de los mismos, y mediante un
complejo sistema de software prestado por empresa externa que impide, que, mediante un
camino inverso, partiendo de las minucias de las huellas (que no las huellas dactilares), se
pueda determinar una huella dactilar completa, que permita identificar a su titular.”
5- “LORO PAROUE, S.A., en cualquier caso, no almacena datos personales, no almacena la
huella dactilar y, no proporciona información personal alguna, dato personal alguno del
cliente a los prestadores del servicio, y, por ende, no está infringiendo el art. 9 del RGPD, o,
al menos, está adoptando las precauciones técnicas necesarias para que así sea.”
6- “hemos probado, a diferencia de la AEPD, que el sistema contratado por LORO PARQUE,
S.A. para el control de acceso a los parques mediante las entradas tipo TT, llevan dos
procedimientos paralelos que no se cruzan en ningún momento: el proceso de venta (que no
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
31/79
es objeto de este procedimiento) y el proceso de acceso (que no prueba la AEPD infrinjan
precepto alguno de la legislación aplicable a la materia.”
“En ningún punto de nuestros sistemas se cruzan los procesos de compra con la
comprobación de la plantilla. Es decir, no se "casan" los datos de venta con la plantilla
generada. Son dos procesos distintos. Uno, es el proceso de venta y, otro, es el proceso de
acceso, que como se puede comprobar (la AEPD, no lo hizo) no están ligados el uno con el
otro, y así, una persona, por ejemplo, puede comprar dos entradas y dárselas a dos
personas distintas para que accedan a los parques, de ahí, que los datos de venta nada
tengan que ver con los accesos. También puede darse el caso de que una persona realice
una compra de tres entradas y sólo una sea para ella. En este caso, el único dato de venta
se referiría a una persona, que no le identifica, por mucho que ponga su nombre y email en
el proceso de compra. Que eso sea así evidencia que los datos de compra y de acceso no
se cruzan, pues no hay dato alguno de las otras dos personas, distintas del adquirente, que
utilizan las entradas. Se trata de dos procesos distintos (Venta y Acceso) y los datos no se
encuentran ligados, de tal forma que, aunque el adquirente "on line" compre una sola
entrada TT para sí mismo, no se encontraría perfectamente identificado.
7- “Solo pretende conseguir un argumento que permita sancionar, sin prueba alguna, a una
empresa que con el sistema de acceso no utiliza dato biológico alguno que permita
identificar al cliente, ni saber nada más de él, pues los datos guardados, abstraídos de
cualquier otra consideración, no identifican personas, sino usuarios anónimos de un
producto comercial, de precio rebajado y de adquisición voluntaria. Ni LORO PARQUE, S.A.,
ni las empresas colaboradoras: ***EMPRESA.3, y ***EMPRESA.2., pueden por sí mismas,
ni a través de terceros intervinientes, acceder a dato personal que permita identificar a
persona alguna, puesto que, las representaciones matemáticas. no permiten ser revertidas
hasta conseguir una huella digital, que, como tal, permitiría identificar a su titular.”
8- “Ni LORO PARQUE, S.A., ni sus empresas colaboradoras, obtienen la huella digital del
cliente, que al ser única y distinta para cada persona, permitiría aplicar al proceso la
legislación que regula los datos personales y, entre ellos, a los datos biométricos, pero lo
dicho, en ningún momento se graba la huella dactilar de los clientes, ni, lógicamente se
almacenan, siendo, por 10 demás, que el sistema utilizado no es reversible, no permitiendo
llegar, por un procedimiento inverso, a reconstruir una huella digital completa que permitiera
identificar a su titular. si esto es así, que lo es, y la AEPD no ha probado lo contrario, no se
nos puede aplicar el RGPD, ni la LOPDGDD.” ” según informa la Comisión Europea en
https://commission.europea.eu/law/law-topic/data-protection/reform/what-personaldata es
(Que se aporta como documento número TRES), a la pregunta ¿QUÉ SON LOS DATOS
PERSONALES?, proporciona la siguiente Respuesta: "Los datos personales son cualquier
información relativa a una persona física viva identificada o identificable. Las distintas
informaciones, que recopiladas pueden llevar a la identificación de una determinada
persona, también constituyen datos de carácter personal.”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
32/79
-“No hay prueba alguna que determine que el sistema utilizado por LORO PARQUE, S.A.,
almacene toda la huella del cliente; que los datos de compra de los TT se puedan relacionar
con la base de datos generada para comprobar el acceso de usuarios de las tarjetas TT.”
9-Manifiesta la reclamada que la AEPD efectúa manifestaciones carentes de toda prueba o
meras hipótesis como:
-En el folio 50/67, en que se indica que “se podría dar el caso de que otras
entidades que utilizaran un sistema standard de recogida de muestras como el de la
reclamada, pudiera tener plantillas generadas con el mismo algoritmo, asociando además la
plantilla a la identidad de las personas, con lo que igualmente, se estarían tratando datos de
carácter personal, al poder ser identificable.”
-“En el folio 49/67: Dado que la vigencia de este tipo de entradas es por un tiempo,
que puede establecer en la propia oferta la reclamada, se reconoce de 15 días, 6 meses o
anual. La reclamada dispone de medios técnicos con el software contratado que permitiría la
identificación e identificabilidad de la persona que ha accedido en una primera ocasión y va
a acceder en la segunda, e incluso una vez agotado el periodo de vigor de la entrada.”
-“En el folio 50/67: Todo ello, sin perder de vista que se trata de un sistema muy
intrusivo para los derechos y libertades fundamentales de las personas físicas, entre otras
circunstancias por el funcionamiento a través de sistemas de inteligencia artificial que
implementan algoritmos para diseñar y leer la plantilla biométrica, puestos en relación con la
deficiencia en las normas de fabricación de sistemas homologados y certificados del
software de uso, añadido a la extensión e interoperabilidad de uso de estos sistemas”,
considera la reclamada, que se efectúa una cualificación del sistema que no se corresponde
con el suyo, no habiéndose recibido ninguna queja por cuestiones de seguridad.”
-“En el folio 51/67: Cabe indicar que toda pérdida de las cualidades de integridad,
confidencialidad y disponibilidad con respecto a las bases de datos donde se almacenan las
plantillas sería claramente perjudicial para cualquier aplicación futura basada en la
información contenida en dichas bases de datos, y causaría asimismo un daño irreparable
para los interesados, entre los que se encuentran menores. Por ejemplo, si las huellas
dactilares de una persona autorizada se asociaran con la identidad de una persona no
autorizada, esta última podría acceder a los servicios de que dispone el propietario de las
huellas dactilares, sin tener derecho a ello. El resultado sería un robo de identidad, que
...quitaría fiabilidad a las huellas dactilares de la persona para futuras aplicaciones y, en
consecuencia, limitaría su libertad”.
10-Reitera la alegación de que al figurar en el acuerdo de inicio firmado el 2/10/2023, que el
procedimiento tiene una duración de nueve meses, el expediente se ha de archivar por
caducidad por no haberse emitido resolución en dicho plazo, en aplicación del artículo
25.1.b) de la LPACAP.
11-Nulidad del expediente sancionador, “al haberse dictado prescindiendo total y
absolutamente de procedimiento legalmente establecido, de acuerdo con el artículo 47.2 de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
33/79
la LPACAP”, “por no llamar al expediente a todos los que la AEPD ha considerado
responsables de las infracciones a que se refiere su propuesta de resolución del
procedimiento sancionador”. Al reproducir el artículo 70 de la LOPDGDD se cita a los
encargados de tratamiento, “faltando la solidaridad de la responsabilidad de ***EMPRESA.3”
12-“Se impugna por los mismos motivos expuestos a lo largo de sus alegaciones, los
argumentos mantenidos por la AEPD para imponer la prohibición total establecida en el
punto SEGUNDO de la propuesta de resolución.“
13-“Hemos probado que hemos adoptado todos los medios a nuestro alcance para
conseguir que en el control de acceso a los parques no tener dato personal alguno de
nuestros clientes de TT, por lo que considera que no cabe hablar de “grave falta de
diligencia”.
Considera carente de prueba la agravante del artículo 83.2.b) del RGPD, antes, al contrario,
ha quedado probado que la reclamada “externalizó un sistema de control de accesos a sus
parques con entradas TT respetuoso con el RGPD y la LOPDGDD.”
14-Considera que la afirmación de que se recogen datos de menores no tiene en cuenta
como probado, que el sistema contratado por LORO PARQUE para el control de acceso a
los parques mediante las entradas tipo TT, lleva dos procedimientos paralelos que no se
cruzan en ningún momento: el proceso de venta, y el proceso de acceso, y que con su
sistema de accesos con TT es imposible saber la edad del usuario de la entrada
“Son abusivas e injustificadas las constantes manifestaciones que hace la AEPD, a que el
sistema prestado por empresas externas a LORO PARQUE, S.A. afecta a los menores de
edad, cuando ya hemos probado a la Agencia, que los datos personales que hayan sido
anonimizados, de forma que la persona no sea identificable o deje de serlo dejarán de
considerarse datos personales. Para que los datos se consideren verdaderamente
anónimos, la anonimización debe ser irreversible”.
15-Añade que “LORO PARQUE desde el día 18 de septiembre del año en curso, ha
sustituido el sistema de control de acceso para TWIN TICKET, a que se refiere el presente
procedimiento.“ “habilitó un nuevo sistema de control de accesos a los parques en
sustitución del sistema a que se refiere el presente procedimiento sancionador”. “Se trata de
un nuevo sistema de control de accesos que ha supuesto un modificación técnica de calado,
larga y costosa, que no pudo habilitarse de la noche a la mañana”.
HECHOS PROBADOS
PRIMERO: La reclamada, según consta en la web “Monitoriza business” tiene como objeto
social: Actividades de los parques de atracciones y los parques temáticos, constituida el
30/05/1972, con un capital social de (…) euros, constando unas ventas de (…) euros en
2021, último ejercicio presentado.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
34/79
SEGUNDO: Los tres reclamantes, reclaman en 7/08 y 13/09/2022, el primero, el 16/09/2022
el segundo, y el 3/11/2022 el tercero, que al adquirir los tickets para acceso conjunto a
LORO PARQUE (parque zoológico) y SIAM PARK (parque de actividades acuáticas) en
Tenerife, con la oferta denominada TWIN TICKET, TT, que gestiona la reclamada se ha de
proporcionar para acceder la huella digital, incluso de menores de edad, sin que se informe
cuando se adquiere el ticket.
TERCERO: En actuaciones previas, a 17/08/2023, en la web de la reclamada https://www.
loroparque.com/aviso-legal/, existía un apartado de “política de protección de datos”, que
informaba: ”El usuario y/o consumidor para poder contratar los diferentes servicios que
ofrece LORO PARQUE SA, así como para la recepción de boletines informativos del parque,
deberá registrar los datos solicitados como cliente”, “la persona que se registra autoriza
expresamente a LORO PARQUE para que proceda a incluir en un fichero automatizado los
datos de carácter personal que figuran en los campos del formulario por resultar necesarios
para la adecuada prestación de sus servicios”, con finalidad de gestionar las compras y
peticiones hechas por el usuario a través de las páginas web, y que LORO PARQUE pueda
proporcionar los servicios “ofertados y por usted aceptados”. Asimismo, se informa que el
envío de los tickets se realiza a través del área de usuario en la plataforma y/o correo
electrónico puesto que es un producto virtual en formato pdf.
Similar información se contiene a la citada fecha, en https://www.loroparque.com/terminos-y-
condiciones/,https://www.loroparque.com/privacidad/
No se contiene información alguna sobre el empleo de técnicas de biometría para el acceso
de las personas a los parques LORO PARQUE y SIAM PARK con la entrada TT.
El 8/07/2024, accediendo en el período de pruebas a la web
https://www.loroparque.com/terminos-y-condiciones/, figura la advertencia que, a fecha de la
reclamación, no se acredita que existiera, del tenor:
“las entradas TWIN TICKET, entre otras, son entradas al portador, no identificando al titular
o poseedor de las mismas, por lo que, para vincular las entradas con el adquirente, se ha
establecido un sistema de verificación mediante la obtención de minucias…, no teniendo
otra finalidad que la de poder constatar que quién se benefició de una oferta promocional, es
quien utiliza el producto adquirido, y sin que sea posible relacionar posteriormente la
representación matemática con el usuario que adquirió nuestro producto comercial
La reclamada no acredita, al no responder en pruebas desde que fecha incluyó esta
información de “verificación mediante la obtención de minucias”.
CUARTO: La reclamada informó que la oferta especial a usuarios de sus parques: (una de
ellas para residentes en las Islas o con reducción de precio) LORO PARQUE y SIAM PARK,
denominada TWIN TICKET (TT) consiste en que el usuario de uno cualquiera de los
parques (con independencia de su edad) pueda visitar el otro con rebaja de precio como
entrada NO NOMINATIVA, al portador, igual que las entradas denominadas “SEGUNDAS
VISITAS, IN PARK y TARJETAS ANUALES”, según reconoció en pruebas y así figura el
8/07/2024 en la captura de pantalla de la web loroparque.com,
https://www.loroparque.com/terminos-y-condiciones/, en el apartado f.- POLÍTICA DE
PROTECCIÓN DE DATOS, dentro del apartado II “Condiciones generales de venta y
servicios. Para el sistema de acceso, con esas entradas, entre las que se incluye TT, se
utiliza control de tecnología biométrica basado en la huella dactilar, con objeto de que sea la
misma persona que accede al primer parque, la que accede al segundo“
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
35/79
En alegaciones al acuerdo de inicio, la reclamada aportó del TT las “condiciones” en un
impreso que rezan con la información de que solo podrá ser utilizado por una persona, y que
en ningún caso es posible que las visitas a ambos parques sean efectuadas por personas
diferentes. Cifra el período para visitar el segundo parque en SEIS MESES desde la fecha
de la visita al primero, pero se puede configurar otro distinto, pudiendo ser quince días.
En el período de práctica de pruebas, la reclamada informó que también las entradas TT
pueden ser adquiridas no solo online en su web, sino también presencialmente en la taquilla,
quioscos, hoteles o a través de canales de terceros como operadores de turismo o Agencias
con los que se suscriben acuerdos.
QUINTO: En el acceso a una de las web OFICIAL de la reclamada para compra online de
entradas TT, se pudo comprobar a 30/08/2023, en actuaciones previas, de investigación,
que en la dirección https://tickets.loroparque.com/reservarEntradas.aspx?
opc=20&m=INDIVIDUALTWIN&Ig=es-ES/. se han de completar CUATRO pasos. Iniciándose
el 1 con la selección del número de entradas, de adultos (edad superior a 11 años), niño (de
3 a 11 años), gratis (0 a 2 años). En el paso 2, se elige el día y la hora en la que quiere la
visita a cada parque, en el 3, se introducen los datos de contacto de la persona que compra
las entradas, figurando un formulario para rellenar: NOMBRE, E MAIL, NÚMERO DE
TELEFONO, PAÍS, CÓDIGO POSTAL, con una información básica sobre el tratamiento de
datos, responsabilidad de LORO PARQUE, finalidad: gestión administrativa, emisión de
entradas y control de acceso a recintos. Gestión contable y fiscal. Legitimación: por
ejecución de un contrato, con información adicional en un enlace, casilla para solicitar la
factura, y finaliza con dos casillas para marcar, una de “he leído y acepto las políticas de
privacidad y de compras”, y otra de consentimiento para envío de información comercial. Por
último, en el paso 4, se selecciona el método de pago que se produce a través de una
pasarela de pago segura con una entidad bancaria, y se le envían las entradas por correo
electrónico al e mail indicado, en formato pdf.
Sin embargo, a la fecha de los hechos reclamados, la reclamada reconoce y, en el período
de pruebas, también, que la dirección web donde se compraban en 2022 las entradas TT (y
sigue existiendo) era en https://tickets.siampark.net/sereservarEntradas.aspx?
opc=21&m=INDIVIDUALTWIN&lg=es-ES., con la misma operativa de adquisición.
Añade la reclamada que también se podían adquirir las entradas TT, desde “2023 hasta
ahora”, en la dirección web – https://www.loroparque.com/ticketsonline/es/paso0 Seleccionar
la opción TWIN TICKET.
En cualquiera de ellas, los datos a introducir para adquirir las entradas y la información es
similar.
La reclamada no aporta copia del Registro de Actividades de Tratamiento de estos datos
que se cumplimentan (formularios) en, las TRES direcciones web citadas para la compra de
entradas por los adquirentes de las mismas, entre otras, del TT, y que ella misma les informa
que forman parte de un fichero, según consta en el punto 17 de la práctica de pruebas.
SEXTO: La reclamada manifestó en alegaciones al acuerdo de inicio que, al acceder al
primer parque, se le entrega a cada usuario un sobre con un “ticket/cartulina“ y de la copia
del mismo se aprecia que es distinto a la entrada TT on line adquirida en la web, teniendo en
cuenta que el formato de la entrada on line adquirida en la web de la reclamada del TT tiene
un formato pdf, y se le envía al e mail que proporciona en el proceso de registro y compra de
las entradas.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
36/79
El ticket cartulina que aporta, si bien no identifica su procedencia, podría ser de una entrada
adquirida en la taquilla, no VÍA ONLINE, para el que en el caso de que así fuera, la
reclamada informó que “no se pide ni datos al adquirente”.
El ticket/cartulina que aporta, se ha de guardar y se presenta también al realizar la segunda
visita. El citado ticket contiene:
- un número de serie,
- LORO PARQUE, fecha y hora para su acceso,
- debajo, un código QR,
-la información de no reembolsable, válido 15 días, Ticket intransferible
La reclamada también informó que todas las entradas, entre las que se incluye la TT
generan un código QR. Este mismo extremo se confirma en el Manual aportado por el
reclamado documento 3 en pruebas, sobre software contratado, de gestión de entradas y
accesos, cuando se adquiere la entrada por la web, “en el caso de confirmación se envía
automáticamente al cliente un email con los datos de su compra, que incluyen un QR que
utilizará para acceder directamente a la visita o actividad comprada”.
De acuerdo con la reclamada, todas las entradas compradas on line, incluyendo las TT, así
como el citado ticket/cartulina se han de introducir en cada una de las dos visitas a los
parques incluidos en TT, en los sensores de acceso físicos del software al parque
habilitados para ello, por la lectura del código QR. Si detecta que es una entrada TT, pide a
continuación el dato dactilar, dedo índice, también, tanto o si es el primer acceso como el
segundo, en el sensor/terminal lector de huella.
Tanto el sistema de software de reserva y venta de entradas, como la toma de la huella son
gestionados por el contratado de la reclamada con ***EMPRESA.3, (“con los periféricos de
lectura adecuados incorporados en los dispositivos de accesos, el Sistema ***EMPRESA.3
soporta la incorporación de sistemas de lectura de tarjetas y pulsera RFID, así como
validación de parámetros biométricos, como son la huella dactilar y el reconocimiento facial
“, contenido en el 2.2 del Manual, documento 3 punto 6 de pruebas). Además, la reclamada
reconoció que no tiene establecido otro sistema alternativo a la toma del registro biométrico
para acceder, exigiéndose para el acceso incluso para menores de edad, desde la edad de
3 años que se ha de abonar entrada.
El código QR es distinto para cada entrada, se genera con el número de operación, numero
de entrada, localizador de la compra.
Aparte de otra información que pueda contener el citado código QR, la reclamada indica
sobre este, que:
-Se genera con el número de operación, número de entrada, localizador de la compra,
puede llevarse en papel, o en soporte móvil, digital, o fotografía,
-No se genera nunca con datos que suministra el comprador, y,
-Su fin es permitir y validar el acceso de las entradas compradas, detectando que es un TT
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
37/79
Además, de acuerdo con el Manual de gestión de venta de entradas y control de acceso del
contrato de software con ***EMPRESA.3, todas las operaciones de venta o reserva on line
generan un localizador, y con sus sistemas de software de entradas pueden comprobar si un
localizador o ticket ha accedido a través de un punto de acceso concreto a un centro
específico (apartado 2.1.1.7 Solicitud de datos del visitante: nominar entradas, para tener el
control sobre quien realiza la visita).
De acuerdo con lo manifestado por la reclamada en pruebas, toda la solución del ticketing
derivado de la venta de entradas para acceso a los parques se almacena en una base de
datos Microsoft SQL, conteniéndose todos los datos necesarios para la venta y el acceso a
los parques, los datos de la compra de la entrada para el acceso.
Si la persona que compra las entradas on line TT, es la que accede al parque, hecho normal
que no precisa de prueba, se acredita que esta ha registrado sus datos personales en los
sistemas de la reclamada obteniendo una entrada en pdf que se envía a su correo
electrónico. El sistema de venta de entradas le asocia a su entrada un código QR propio y
un localizador. Además, la entrada comprada suele tener concertada y prefijada la primera
visita para un día concreto y una hora o, de ambos parques (se puede programar según la
oferta la validez del ticket para una segunda visita, 15 días o 6 meses, por ejemplo, o un año
la tarjeta anual). El sistema de gestión de ventas y accesos de la reclamada contratado con
***EMPRESA.3 ha generado dichos códigos asignados a la entrada del adquirente, y el
mismo sistema almacena por lectura los códigos QR y seguidamente la toma de la huella
para el acceso del adquirente a los parques, luego ese adquirente puede perfectamente ser
o estar identificado, al poder asociarse las entradas, por disponer el reclamado de los datos
personales, información y los mecanismos que hacen posible relacionar, la toma de la huella
con su nombre, teléfono, país, código postal, e mail, y si pidiera una facturación, de más
datos, pudiendo conocer de quien se trata.
La entrada se deshabilita (deja de tener vigencia), una vez que ha sido leída las veces que
tiene definida. En caso de un Twin Ticket, tiene dos lecturas, una por parque, por tanto,
cuando se ha leído dos veces, ya queda desactivada, inhábil, inoperativa, sin que se pueda
volver a usar. A la tercera lectura no lanza el proceso de captación.
El sistema es el que valida cuantas veces se ha leído una entrada y en caso de un TT, si se
ha leído dos veces y se lee una tercera, dará entrada usada y el personal del control de
acceso no debe de dejar acceder al cliente con una entrada usada.
SÉPTIMO: La reclamada tiene suscrito un contrato con ***EMPRESA.3 de prestación
asesoramiento e instalación y mantenimiento de un sistema de venta y reserva de entradas,
control de accesos y actividades de los parques, que incluyen licencia de software, de
13/07/2020, para la explotación de la plataforma.
En el anexo al contrato de gestión de venta de entradas y gestión de accesos de la
reclamada con ***EMPRESA.3, documento 3 del punto 6, de práctica de pruebas, figura a
modo de Manual de referencia, las características de dicha plataforma, que gestiona
***EMPRESA.3. Entre otras, se indica:
Los distintos equipos que se pueden utilizar para los controles de acceso con los que es
capaz de trabajar el sistema de reserva y acceso de entradas, comparten una BBDD común
para la validación de las entradas donde se puede configurar que se debe tener en cuenta a
la hora de permitir o no la entrada: horario, un único acceso o varios, validez durante un
rango de fechas, etc.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
38/79
Como tipo de control de acceso, el contrato con ***EMPRESA.3 menciona entre otros,
tornos, atril con unidad lectora, PDA, y tiene la opción de verificar los accesos posteriores a
la primera visita por medio de sistema biométrico-huella o reconocimiento facial (con los
periféricos de lectura adecuados incorporado en los dispositivos de accesos) (o
identificación por DNI o pasaporte-sistema OCR).
Además, también para acceder por primera vez, se puede con los periféricos de lectura
adecuados en los dispositivos de acceso donde están colocados, validar los mismos no solo
con datos biométricos referidos, también con tarjetas y pulsera RFID.
El punto 2.3 del Documento 3, señala que el “sistema es multi-aforo y multi-recinto por lo
que permite la venta y emisión de diferentes productos (entradas, bonos, promociones,
abonados) con posibilidad de realizar varios accesos a uno o varios de los Parques del
Grupo según las características definidas en el momento de definir el producto. Tal y como
se detalla en el punto anterior de Control de Accesos se puede verificar los accesos
posteriores a la primera visita por medio de sistema biométrico (huella o reconocimiento
facial) o identificación por DNI o pasaporte.”
“La información obtenida en el momento del acceso se guarda en la BBDD con toda la
información estructurada de modo tal que se puede vincular con toda la información relativa
a la venta, reserva, abonado … correspondiente. De este modo se obtiene la total,
trazabilidad de las operaciones.(2.2. control de acceso (...), documento 3, aportado en
pruebas, llamado “solución de venta y reservas de entradas control de accesos y
actividades. Propuesta de alcance fase 1”, punto 6. El apartado 3 “Aplicaciones de informes
(...)”, del citado documento 3, señala que el sistema cuenta con herramientas que permiten
un seguimiento completo de las actividades y eventos creados en el sistema desde que
fueron dados de alta hasta la finalización ce los mismos, incluyendo un desglose de la
trazabilidad de las operaciones realizadas sobre cada una de las entadas y recintos
implicados desde que se reservaron hasta que accedieron al centro.
Igualmente, el manual señala en el punto 2.1.1.7 “solicitud de datos del visitante: nominar
entradas”, que, “en algunos casos, los productos que se adquieren requieren ser nominados
para tener el control sobre quien realiza la visita”, pudiéndose guardar los datos . El
apartado 2.1.1.9 Funcionalidades adicionales, indica que al finalizar la venta se pueden
“capturar los datos del visitante para que quede asociada la venta a un visitante, aunque no
esté registrado”.
En la ventana de facturación, captura de datos 2.1.1.10, se han de completar los datos de
NIF y dirección del cliente registrado o la factura se puede cambiar a un visitante diferente al
cliente registrado.
Según informó ***EMPRESA.3, la clave de cifrado de las minucias capturadas se almacena
en la memoria interna del sensor. Afirma la misma entidad que la huella cifrada puede ser
legible por parte del fabricante del dispositivo que la transformaría en legible. El dato
codificado de la plantilla de cada usuario que accede a los parques se almacena en los
sistemas de la reclamada.
La reclamada manifestó que captura las minucias (diez puntos de coincidencia de huellas
digitales) con cámara (...) y su encriptación automática en dicho dispositivo genera una
representación matemática que se almacena en equipamiento informático de LORO
PARQUE SA, (…) y cuyo uso es (…). En la única localización física donde se guardan estos
datos en la infraestructura tecnológica de Loro Parque SA, tanto en su (…).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
39/79
Durante el tiempo de vigencia del TT, cada entrada porta un localizador y un código QR
incluyendo las no adquiridas en la web. Durante ese tiempo de vigencia de la entrada se ha
de conservar el ticket que porta el código QR que se ha de presentar en cada acceso al
dispositivo al efecto, junto a la toma de la huella.
El sistema de venta de entradas y acceso contratado con la empresa ***EMPRESA.3
incorpora un sistema de validación de parámetros biométricos de la huella dactilar la marca
***EMPRESA.1, modelo ***DISPOSITIVO.1 suministrados por la empresa ***EMPRESA.2”.
En el documento 3 que presenta la reclamada, sobre la fase 1 de implantación del sistema
de reserva de entradas y accesos, anexo al contrato (instalación y puesta en servicio), se
contiene una amplia variedad de funcionalidades, indicándose que todas las entradas
generan un localizador que puede seguirse y verificarse si el poseedor ha accedido y por
dónde.
Además, el sistema valida lectura de códigos de barras y QR emitidos por las distintas
plataformas de venta. En el punto 2.2 control de acceso se indica que:
“En el caso de realizar la nominación de los visitantes en cada una de las entradas, bonos,
promociones, etc. que se emiten en el momento de la venta o reserva, se puede verificar en
el punto de acceso la identidad del visitante por medio de la lectura de código OCR del
documento de identidad o pasaporte.
La información obtenida en el momento del acceso se guarda en la BBDD con toda la
información estructurada de modo tal que se puede vincular con toda la información relativa
a la venta, reserva, abonado … correspondiente. De este modo se obtiene la total,
trazabilidad de las operaciones.
Todos los códigos seguirán el mismo esquema de codificación, que incluye distintos datos
para poder hacer las validaciones configuradas y unos dígitos de seguridad para verificar
que el código pertenece al sistema.
Las validaciones que un control de acceso realiza dependen del tipo de control asociado al
tipo de entrada del ticket. Así, configurando dos tipos de control distintos, se podría hacer
que el tipo de entrada “Invitación VIP” de una visita no controlase la hora de acceso,
mientras que una entrada “General” sí lo hiciera y no pudiera pasar hasta que la sesión no
estuviera cercana a su inicio.”
Los tipos de control se pueden configurar por ejemplo para que la entrada acceda un día
para el que se reservó, dentro de un rango horario, rango de fechas de validez del acceso, o
sin acceso que se configuraría para prevenir el uso inapropiado de un producto
Por reconocimiento de la reclamada en pruebas, indicó que todo tipo de entadas no
nominativas, también las de TT son gestionadas mediante el sistema contratado con la
empresa ***EMPRESA.3.
OCTAVO: Queda acreditado que la reclamada es considerada a efectos de la normativa de
protección de datos, la responsable del tratamiento de los datos que se recogen para la
venta de entradas a los parques mediante el uso de la oferta TT, en particular con la venta
on line en sus sitios web, de tal tipo de entradas, estableciendo los datos personales que se
han de proporcionar en el formulario de registro de datos para adquisición de entradas que
incorpora a sus sistemas como responsable del tratamiento, así como del sistema
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
40/79
seleccionado de recogida de muestra biométrica de la huella dactilar para accesos a sus
parques, en concreto LORO PARQUE y SIAM PARK, mecanismos implementados a través
de la empresa externa contratada, ***EMPRESA.3 que actúa por cuenta de la reclamada.
La entidad que a la reclamada le gestiona el sistema de reconocimiento biométrico con
lectura de huella dactilar para los parques dependientes de Loro Parque, es la empresa
externa -***EMPRESA.3 por contrato de 13/07/2020 que se engloba y contiene en el más
amplio de (suministros) “servicio de venta y reserva de entradas, control de acceso”, e
incluye un sistema de asesoramiento, así como la instalación integral de los trabajos y
licencias software, puesta de servicio, incluidos en el documento “solución de venta y
reserva de entradas- control accesos y actividades, y su mantenimiento”. Entre estos
servicios, se incluiría, la reserva de los clientes de los tickets, el pago, facturación, y
cuestiones de la plataforma cuyo software gestiona, pudiendo destacarse la cláusula
primera, que se indica que “***EMPRESA.3 dispone de recursos humanos y técnicos
necesarios y suficientes para la correcta prestación de los suministros objeto del presente
contrato, dependiendo el personal contratado por ***EMPRESA.3, y se prevé que “Las
actividades ***EMPRESA.3 deberán realizarse con la debida diligencia atendiendo en su
caso correctamente al público usuario y a los trabajadores o empleados de LORO PARQUE
O DE SU GRUPO DE SOCIEDADES”.
Así pues, se acredita que dicha empresa es la que realiza por cuenta de la reclamada no
solo la captura dactilar que se convierte en representación matemática o plantilla biométrica,
encriptada en sus sistemas, que se acredita son datos biométricos de carácter personal,
sino también la gestión de las entradas y los accesos que las mismas otorgan y contienen, a
través de su plataforma on line, por lo que se puede estimar que realiza funciones de
encargo de tratamiento por cuenta de la responsable del tratamiento, la reclamada.
NOVENO: El dispositivo lector de la huella dactilar (un dedo, índice) empleado por la
reclamada, fue adquirido a la entidad ***EMPRESA.2, sociedad fabricante y creadora de
sistemas biométricos basados en el software ***DISPOSITIVO.1 (…) tecnología de
***EMPRESA.1 y en su Manual, explica que se trata de un sensor que al capturar la huella
puede cifrarla en el mismo momento, capturando las minucias-imagen-de una huella, a
través del dispositivo ***DISPOSITIVO.1. El Manual contiene el funcionamiento del registro
de la huella, siguiendo un proceso por pasos basado, primero en la adquisición de la imagen
(3.2.1 manual, doc 4) y el tratamiento de la imagen acaba en la producción de una “lista de
minucias, (puntos de la huella) - plantilla biométrica -que es una representación matemática
de la huella original” “La plantilla es usada durante el proceso de matching para compararla
contra las plantillas previamente almacenadas”. (3.2.2 del manual, tratamiento de la imagen
y características de la detección), bien en una base de datos, bien en una tarjeta (3.2.3.
matching).
Añadió la reclamada que:
- su sistema biométrico se basa en un “mecanismo que mediante diez puntos de
coincidencia de huellas digitales” que se “almacenan” “verifica, con independencia de la
edad, que quien hizo uso de la entrada a LORO PARQUE es la misma que la que hace uso
de la entrada a SIAM PARK (o viceversa).”
La “retención es limitada al tiempo que sea necesario para identificar al visitante” “Los datos
de la huella se conservarán únicamente mientras la tarjeta o entrada en cuestión este
vigente, y se destruirán de forma inmediata cuando dejen de estarlo, protegiendo así la
privacidad y seguridad de los usuarios.” Las minucias de la huella en forma de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
41/79
representación matemática (plantilla biométrica) se almacenan encriptadas en una base de
datos de la reclamada.
Afirmó la reclamada que, a pesar del cifrado de la plantilla biométrica, la clave del descifrado
la tiene el fabricante del dispositivo.
DÉCIMO: Respecto a las entradas adquiridas a través de una Agencia, como el caso de
reclamante 2, a través del barco, (...), manifiesta la reclamada que en esos casos su cliente
es dicha Agencia, no el cliente final para el que la Agencia compra las entradas. Las
entradas de reclamante 2 y sus familiares contenían para cuatro billetes, sus nombres y
apellidos, localizadores: el mismo para los cuatro billetes, (...), nº billete: (el mismo número
para los cuatro billetes, (...) a (...), secuenciales seguidos), y NIF/NIE/tarjeta residente de
dos adultos y NIF de dos infantes, y códigos de barras en cada billete del bono. Indica la
reclamada que ella no recaba nombre y apellidos de los que van a usar los billetes, siendo
cuestión de la Agencia, pero que se almacenan en sus sistemas los datos que la Agencia le
proporciona. En este caso concreto, del relato de la reclamada, se desconoce ciertamente si
la nominación e identificación de las entradas y el resto de los datos se asignaron por la
Agencia a los usuarios tras adquirir las entradas de la reclamada, o la forma de proceder de
la Agencia al solicitar estos billetes.
DÉCIMO PRIMERO : Solicitada a la reclamada el número de clientes registrados en su web
que dan sus datos para adquisición de TT en 2022, así como del número de personas que
accedieron a los dos parques en 2022 con el TT, a pesar de contar con el citado software de
entradas que facilitaría la respuesta y efectuar dicho conteo, respondió que: “No aparece
una contabilidad diferenciada con respecto del resto de entrada”.
DÉCIMO SEGUNDO: Respecto a si la reclamada tuvo en cuenta algún informe o dictamen
profesional o técnico que analizara el uso del sistema biométrico para verificar que el
segundo acceso a los parques con el TT se hacía por la misma persona que en el primer
acceso, o si al respecto había analizado alternativas al sistema, y su afectación a protección
de datos, la reclamada indicó que no era necesario pues no se tratan datos personales.
DÉCIMO TERCERO: Solicitada en actuaciones previas de investigación la copia de la
Evaluación de Impacto sobre Protección de Datos que refiere el artículo 35 del RGPD por el
tratamiento de los datos biométricos de la huella dactilar para el control de acceso a los
parques con la TT, o el informe por el que considera que no debe realizarla, la reclamada
reconoció que no fue aportado porque no contaba con la misma, con base a que considera
que no trata datos personales de este tipo. Solicitada copia del documento de análisis de
riesgos sobre dicho tratamiento tampoco fue aportada. Solicitado el RAT sobre el mismo tipo
de tratamientos, no lo aportó, manifestando que concurrían las circunstancias del artículo
30.5 del RGPD para su excepción. Se acredita, además, que la reclamada utiliza el sistema
de huella dactilar referido para menores de edad, para mayores de 3 años, siendo las
entradas TT gratis para menores de dicha edad, según la referencia informativa que figura el
momento de su adquisición on line en la web de la reclamada, por lo que no habría motivo
alguno para exigir dicho tipo de datos para su acceso con la finalidad de verificar que es la
misma persona dado su carácter gratuito.
FUNDAMENTOS DE DERECHO
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
42/79
I Competencia
De acuerdo con los poderes que el artículo 58.2 del RGPD otorga a cada autoridad de
control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la, LOPDGDD, es
competente para iniciar y resolver este procedimiento la Directora de la Agencia Española
de Protección de Datos.
Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados
por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el
Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos.”
II Datos biométricos
Se ha de partir del artículo 1 del RGPD en el que se establece como objeto
“1. El presente Reglamento establece las normas relativas a la protección de las personas
físicas en lo que respecta al tratamiento de los datos personales y las normas relativas a la
libre circulación de tales datos.
2. El presente Reglamento protege los derechos y libertades fundamentales de las personas
físicas y, en particular, su derecho a la protección de los datos personales.”
El ámbito de aplicación material del RGPD extiende su protección, tal y como establece su
artículo 2.1, “al tratamiento total o parcialmente automatizado de datos personales, así como
al tratamiento no automatizado de datos personales contenidos o destinados a ser incluidos
en un fichero.”
Es fundamental comprender que se trata de determinar la manera de aplicar las
disposiciones a determinadas situaciones en las que los derechos individuales están en
juego por el tratamiento de sus datos personales.
El RGPD determina en su artículo 4, las definiciones a efectos del RGPD:
“1) datos personales: toda información sobre una persona física identificada o identificable
(«el interesado»); se considerará persona física identificable toda persona cuya identidad
pueda determinarse, directa o indirectamente, en particular mediante un identificador, como
por ejemplo un nombre, un número de identificación, datos de localización, un identificador
en línea o uno o varios elementos propios de la identidad física, fisiológica, genética,
psíquica, económica, cultural o social de dicha persona”.
2) «tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre datos
personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no,
como la recogida, registro, organización, estructuración, conservación, adaptación o
modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o
cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o
destrucción;”
(…)
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
43/79
“5) «seudonimización»: el tratamiento de datos personales de manera tal que ya no puedan
atribuirse a un interesado sin utilizar información adicional, siempre que dicha información
adicional figure por separado y esté sujeta a medidas técnicas y organizativas destinadas a
garantizar que los datos personales no se atribuyan a una persona física identificada o
identificable;
6) «fichero»: todo conjunto estructurado de datos personales, accesibles con arreglo a
criterios determinados, ya sea centralizado, descentralizado o repartido de forma funcional o
geográfica;
7) «responsable del tratamiento» o «responsable»: la persona física o jurídica, autoridad
pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios
del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y
medios del tratamiento, el responsable del tratamiento o los criterios específicos para su
nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros;
8) «encargado del tratamiento» o «encargado»: la persona física o jurídica, autoridad
pública, servicio u otro organismo que trate datos personales por cuenta del responsable del
tratamiento;”
(…)
“14) datos biométricos: datos personales obtenidos a partir de un tratamiento técnico
específico, relativos a las características físicas, fisiológicas o conductuales de una persona
física que permitan o confirmen la identificación única de dicha persona, como imágenes
faciales o datos dactiloscópicos;”
La definición de dato biométrico alude a “datos personales obtenidos a partir de un
tratamiento técnico específico”, “tratamiento técnico”, sin especificar, excepto para reseñar
que el propósito de dicho tratamiento debe ser que “permitan o confirmen la identificación
única de dicha persona”.
Para considerarse datos biométricos en el sentido del RGPD, el tratamiento de datos sin
procesar, como las características físicas, fisiológicas o conductuales de una persona física,
deben implicar una medición de dichas características. Así pues, del concepto, no hay que
perder de vista:
-La naturaleza de los datos: datos relativos a las características físicas, fisiológicas o
conductuales de una persona física,
- Los medios y las formas de tratamiento: datos “obtenidos a partir de un tratamiento técnico
específico”; lo que diferencia por ejemplo de las imágenes de una persona que figuran en un
sistema de videovigilancia, que no pueden considerarse datos biométricos si no se han
tratado técnicamente de una forma específica con el fin de contribuir a la identificación única
de esa persona. El considerando 51 del RGPD también se refiere a la no consideración
sistemáticamente como un tratamiento de categoría especial de datos, a las fotografías, a
menos que se les aplique un medio de tratamiento técnico especifico que "permita la
identificación o la autentificación unívocas de una persona física".
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
44/79
-La finalidad del tratamiento: los datos se deben utilizar para la finalidad de identificar de
manera unívoca a una persona física.
La toma de muestras biométricas, los denominados datos biométricos-imagen de las huellas
dactilares se someten a un proceso automatizado de procesamiento técnico automatizado
que va a extraer una representación digital (plantilla biométrica) los datos biométricos, los
digitaliza, los almacena, los explota y los borra después del uso con el objetivo de controlar
el acceso.
Las tecnologías biométricas están relacionadas con partes físicas del cuerpo o los rasgos
de comportamiento de los seres humanos, y el reconocimiento de individuos basados en
una o ambas de esas partes o rasgos. Hoy en día, la biometría se está utilizando para
reconocer a las personas en una amplia variedad de contextos, como control de acceso
físico e informático, aplicación de la ley, votación, cruce de fronteras, programas de
beneficios sociales o licencias de conducir, entre otros.
Los sistemas biométricos son métodos automáticos con base en aplicaciones de las
tecnologías biométricas que permiten la identificación o el reconocimiento de una persona
de manera única, en función de uno o más rasgos físicos o de comportamiento intrínsecos,
así pues, los datos biométricos están directamente vinculados a un individuo.
Tales métodos ya se han utilizado durante mucho tiempo. Sin embargo, el nuevo elemento
que desencadena las consideraciones de protección de datos es que una máquina ahora
puede realizar automáticamente estas funciones, y posibilita identificar o reconocer a las
personas con una precisión mensurable. Los datos biométricos hacen que las
características del cuerpo humano sean legibles mediante máquinas y estén sujetas a un
uso posterior.
Dependiendo de la técnica biométrica empleada, los parámetros considerados son
diferentes: los surcos de la huella dactilar, la geometría de la mano, la voz, la imagen facial,
etc. De estos parámetros, se extrae un patrón o plantilla únicos para cada persona, que será
el que se almacene y utilice para posteriores comparaciones.
Como ya señaló el Grupo de Trabajo 29 en el Dictamen 4/2007 (WP136), sobre el concepto
de datos personales, los datos biométricos pueden definirse como:
“propiedades biológicas, características fisiológicas, rasgos de la personalidad o tics, que
son, al mismo tiempo, atribuibles a una sola persona y mensurables, incluso si los modelos
utilizados en la práctica para medirlos técnicamente implican un cierto grado de
probabilidad.”
Los sistemas biométricos están estrechamente vinculados a una persona, dado que pueden
utilizar una determinada propiedad única de un individuo para su identificación. Cada
individuo tiene impresiones dactilares únicas que muestran características específicas que
pueden medirse para decidir si una impresión dactilar corresponde con una muestra
registrada. Los datos biométricos presentan la particularidad de ser producidos por el propio
cuerpo y lo caracterizan definitivamente. Los datos biométricos presentan la particularidad
de ser producidos por el propio cuerpo y lo caracterizan definitivamente, son datos no
sobre esa persona, sino que los datos refieren a la misma persona, en principio no
modificables por voluntad del individuo, ni la persona puede ser liberada de ellos. Además,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
45/79
debido a que los datos biométricos son propios de una persona y perpetuos, el usuario
utiliza los mismos datos en diferentes sistemas.
Por lo tanto, son únicos, permanentes en el tiempo y la persona no puede liberarse de ellos,
no se pueden cambiar nunca, ni con la edad, creando cuestiones de responsabilidad en
caso de compromiso-pérdida o intrusión en el sistema, suponiendo un específico y
significativo riesgo para las personas. Ello significa que, si el dato biométrico se pierde, se
roba o se usa inapropiadamente, no podría ser cambiado o variado. Existe un riesgo
claramente visible de pérdida de la identidad, de la personalidad jurídica (artículo 6 de la
Declaración Universal de Derechos Humanos).
Si bien el RGPD no define los términos tecnológicos, la norma ISO/IEC 2382/37:2012,
“Tecnología de la información-Vocabulario-parte 37: Biometría”, sustituida por la 2382-
37:2022 establece la descripción sistemática de conceptos del campo de la biometría.
Mientras que la ISO/IEC TR 24741:2018, “tecnología de la información- biometría- visión
general y aplicación”, puede servir de guía general sobre el funcionamiento de estos
sistemas, y debería ser conocida por los profesionales que de un modo u otro tengan
relación con este campo, como suministradores o plataformas que hacen uso de estos
sistemas.
El término “característica biométrica” se define como “característica biológica y conductual
de un individuo de la que se pueden extraer características biométricas distintivas y
repetibles a efectos del reconocimiento biométrico”, en este caso se trata de partida de
datos que se extraen de la huella dactilar. El proceso se inicia con el registro de la huella, de
ahí la nota informativa que figuraba en los tableros cuya fotografía se aportó en la
reclamación que indicaba: ”este sistema no almacena la imagen de su huella, simplemente
hace una lectura”. “coloque su dedo índice de la mano derecha aquí, y siga las instrucciones
del operador”.
El término “muestra biométrica”, hace referencia a la captura de una muestra del individuo
extraída de esa característica biométrica (la huella). El resultado, tras un proceso técnico,
acabará, lógicamente, no con la misma huella, que reiteradamente la reclamada en
alegaciones se empeña en aclarar que no trata datos personales porque no se puede
identificar a personas a través de las huellas, no almacena las huellas, sino que el resultado
sería una plantilla biométrica de aquella huella.
Así puede y suele hablarse de toma de la muestra, captura y registro de muestras, similitud
de las muestras comparadas, vulnerabilidad por aceptación de muestras biométricas falsas,
muestra presentada ante el sensor, características técnicas de la muestra recogida,
encriptación del almacenamiento de muestras obtenidas, o almacenar una parte de la
muestra o multitud de referencias en lugar de la muestra íntegra, como ejemplo “el
almacenamiento de minucias de las huellas dactilares en lugar de la huella completa”
La captura biométrica de la muestra se suele obtener generalmente con la colaboración de
la persona, o resultar obligatoria para determinados afectados como en la recogida por la
policía en sus investigaciones o en el paso de fronteras Schengen por nacionales de
terceros países.
La fase de inscripción juega un papel fundamental ya que es la única en que aparecen al
mismo tiempo los datos brutos, los algoritmos de extracción y protección (criptografía,
comprobación aleatoria, etc.) junto con las plantillas.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
46/79
En este caso, las características biométricas recogidas en el primer acceso al parque se
someten a un tratamiento técnico a partir de una imagen del dedo, que necesita e incluye
para su puesta en práctica de un proceso que se contiene en todos los tratamientos de
datos biométricos: su captura o registro de datos con su almacenamiento, y la posterior
fase de comparación o correspondencia.
Al registrar a un usuario en un dispositivo biométrico, también llamado, proceso de
enrolamiento, o de inscripción, el sistema realiza un conjunto de mediciones de algunas de
las características-huella dactilar, forma de la mano, iris etc.,- biológicas o conductuales de
la persona en cuestión, utilizando sensores específicos y variados para cada tipo de muestra
biométrica. El sistema biométrico extrae rasgos específicos del usuario a partir de los datos
biométricos para elaborar una plantilla biométrica: la medida biométrica registrada de una
persona. Lo que se almacena es la plantilla, en forma digitalizada, y no el propio
elemento biométrico. Se trata de la fase de registro de los parámetros biométricos.
El funcionamiento abarca todos los procesos que se llevan a cabo en un sistema biométrico
con el fin de extraer datos biométricos de una fuente biométrica y vincular estos datos a un
individuo. El software de toma de huella dactilar anota puntos de referencia (minucias) y
convierte estas medidas en un código numérico, lo que la reclamada indica son los diez
puntos extraídos de la imagen de la huella. Las minucias son puntos característicos en las
crestas de las huellas dactilares que, en su conjunto, podrían utilizarse para configurar un
patrón único para cada individuo.
Este código numérico, o plantilla, es lo que se guarda para comparar cuando se entra o sale
por el espacio donde figura el terminal lector de reconocimiento de la huella, que registra la
entrada de usuarios, en este caso a los parques de la empresa reclamada. La plantilla se ha
creado con las características personales de los parámetros capturados.
Una vez creada la plantilla, se guarda en un medio de almacenamiento adecuado, y con la
inscripción completa, el sistema puede empezar a ser usado.
Los datos biométricos pueden tratarse y almacenarse de diferentes formas. A veces, la
información biométrica capturada de una persona se almacena y se trata en bruto, lo que
permite reconocer la fuente de la que procede sin conocimientos especiales; por ejemplo, la
fotografía de una cara, la fotografía de una huella dactilar o una grabación de voz. Otras
veces, la información biométrica bruta capturada es tratada de manera que solo se extraen
ciertas características o rasgos y se salvan como una plantilla biométrica
Una plantilla biométrica es una forma de escritura de una característica biométrica humana,
como un rostro o una huella dactilar, de manera que sea interpretable por una máquina de
forma eficiente y eficaz para un propósito o propósitos determinados. La plantilla biométrica
no está orientada a ser interpretada por una persona, como una fotografía, sino que está
orientada a ser tratada en un proceso automatizado, es decir, ser eficiente y eficazmente
interpretable por una máquina. A través de la tecnología de software disponible, se
reconocen los patrones/plantillas creados por las muestras biológicas.
La plantilla se hace necesaria porque el sistema biométrico, también el de la huella dactilar,
que usa la reclamada funciona con la técnica de la comparación de muestras y umbral de
probabilidades que van parejas. La comparación de muestras es porque el sistema toma las
decisiones (acceso/no acceso, en este caso a los parques) por puntuaciones de
comparación generadas a partir de los intentos de comparación entre una plantilla registrada
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
47/79
(referencia comparada), y la muestra que desea acceder en ese momento. El Dictamen
3/2012 sobre la evolución de las tecnologías biométricas de 27/04/2012 del Grupo de
Trabajo 29, señala:
“- Correspondencia biométrica: es el proceso de comparación de los datos o plantillas
biométricas (capturados durante el registro) con los datos o plantillas biométricas recogidos
en una nueva muestra a efectos de identificación, verificación y autenticación o
categorización.”
Se trata de que todos los sistemas, también el que tiene la reclamada, crea una Plantilla
biométrica (“template” o “codificación matemática”): representación numérica de una
característica biométrica de una persona. Para obtenerla el sistema biométrico extrae
características específicas (como las minucias) y las codifica siguiendo algún algoritmo
para obtener la secuencia de datos (plantilla).
Una plantilla biométrica es “una representación digital de las características únicas que se
han extraído de una muestra biométrica y se almacenan en una base de datos biométrica”,
definición extraída de las Directrices de 28/04/2021, sobre el reconocimiento facial, del
Comité Consultivo del Convenio para la protección de personas con respecto al tratamiento
automático de datos personales, que resultaría idéntica pese a tratarse en este caso de la
representación del dedo.
La plantilla biométrica es una representación almacenada de datos biométricos. Pero no son
los datos en sí, y esta es la distinción crucial entre los datos biométricos y una plantilla
biométrica. En ese caso, la plantilla actúa como un identificador único de la persona. El
hecho de que, a partir de una plantilla biométrica, por ejemplo, de la huella dactilar, no se
pueda reconstruir la original carece de relevancia, pues es un identificador único que lo
singulariza unívocamente, al menos, en el marco de un tratamiento automatizado.
La mecánica de funcionamiento del sistema consiste en que una vez capturada la huella y
creada la plantilla, esta se almacena para que cuando se pretenda acceder en este caso, al
segundo parque, al colocar el dedo, otra vez se procesa, se obtiene una plantilla y se
compara con la que se tiene guardada.
A diferencia de un DNI, la plantilla biométrica no se asigna a una persona, se extrae
directamente de la observación de las características únicas e inalterables del propio
individuo, sin necesidad de recurrir a documentos, otros dispositivos o bases de datos de
terceros.
La reclamada denomina representación matemática a lo que almacena y captura de los
usuarios en cuanto a la huella dactilar. Añadiendo por ejemplo en alegaciones que: “La
solución hardware elabora una imagen en escala de grises, luego elabora una imagen
binarizada para determinar el esqueleto de la imagen, creando dos esqueletos para crestas
y valles. Produce una lista de minucias a través del análisis de ambos esqueletos y
establece una plantilla biométrica, que es una representación matemática basada en los
patrones de crestas. Adiciona que la representación matemática está encriptada.
La mención que se incluye en el artículo 4.14 del RGPD como datos biométricos destinadas
a que "permitan" pueden entenderse a la identificación, la de "confirmen" a la verificación.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
48/79
Para una mayor comprensión, se describen los conceptos de autenticación/verificación e
identificación. El Dictamen 3/2012 sobre la evolución de las tecnologías biométricas de
27/04/2012 del Grupo de Trabajo 29, señalaba:
“-Identificación biométrica: la identificación de un individuo por un sistema biométrico es
normalmente el proceso de comparar sus datos biométricos (adquiridos en el momento de la
identificación) con una serie de plantillas biométricas almacenadas en una base de datos (es
decir, un proceso de búsqueda de correspondencias uno-a-varios).
-Verificación/autenticación biométrica: la verificación de un individuo por un sistema
biométrico es normalmente el proceso de comparación entre sus datos biométricos
(adquiridos en el momento de la verificación) con una única plantilla biométrica almacenada
en un dispositivo (es decir, un proceso de búsqueda de correspondencias uno-a-uno).”
Con leves matices, los conceptos se mencionan en el “Libro blanco sobre la inteligencia
artificial de la Comisión Europea”, de 19/02/2020, referidos a la imagen facial:
“En lo que se refiere al reconocimiento facial, por «identificación» se entiende que la plantilla
de la imagen facial de una persona se compara con otras muchas plantillas almacenadas en
una base de datos para averiguar si su imagen está almacenada en ella. La «autenticación»
(o «verificación»), por su parte, se refiere habitualmente a la búsqueda de correspondencias
entre dos plantillas concretas. Permite la comparación de dos plantillas biométricas que, en
principio, se supone que pertenecen a la misma persona; así, las dos plantillas se comparan
para determinar si la persona de las dos imágenes es la misma. Este procedimiento se
emplea, por ejemplo, en las puertas de control automatizado de fronteras empleadas en los
controles fronterizos de los aeropuertos”.
Las directrices 5/2022, del Comité Europeo de Protección de Datos (CEPD), sobre el uso de
reconocimiento facial en el ámbito de las fuerzas de orden público (véase Versión 2.0, de
26/04/2023), en su apartado 10, señala:
“Como cualquier proceso biométrico, el reconocimiento facial puede cumplir dos funciones
distintas:
• La autenticación de una persona con el fin de verificar que dicha persona es quien afirma
ser. En este caso, el sistema compara una plantilla o muestra biométrica pregrabada (por
ejemplo, almacenada en una tarjeta inteligente o un pasaporte biométrico) con un único
rostro, como el de una persona que se presenta en un puesto de control, para verificar si se
trata de la misma persona. Por lo tanto, esta función se basa en la comparación de dos
plantillas. Se denomina también verificación de 1 a 1.
• La identificación de una persona con el fin de localizarla entre un grupo de individuos,
dentro de un área específica, en una imagen o en una base de datos. En este caso, el
sistema debe procesar cada rostro capturado para generar una plantilla biométrica y luego
comprobar si coincide con una persona conocida por el sistema. Así pues, esta función se
basa en la comparación de una plantilla con una base de datos de plantillas o muestras
(base de referencia). Se denomina también identificación de «uno entre muchos». Por
ejemplo, puede relacionar un registro de nombres personales (apellidos, nombre) con un
rostro, si la comparación se hace con una base de datos de fotografías asociadas a
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
49/79
apellidos y nombres. También puede implicar el seguimiento de una persona a través de
una multitud, sin establecer necesariamente un vínculo con la identidad civil de la persona. “
Las citadas Directrices 05/2022, en su apartado 12, que el concepto de dato biométrico
abarca tanto la “autenticación” como la “identificación”, y si bien son conceptos distintos, en
ambos procedimientos se tratan datos dirigidos a identificar de manera unívoca a una
persona física, por lo que ambos se incluyen en el concepto de “tratamientos de datos”, y
más específicamente, son tratamientos de datos personales de categorías especiales.
En ambos casos, sea verificación-autenticación, o identificación las técnicas de
reconocimiento facial utilizadas se basan en una concordancia estimada entre plantillas: la
que se compara y la(s) de referencia. Desde este punto de vista, son técnicas
probabilísticas: la comparación deduce una probabilidad mayor o menor de que la persona
sea efectivamente quien se ha de autenticar o identificar; si esta probabilidad supera un
determinado umbral en el sistema, definido por su usuario o su desarrollador, el sistema
entenderá que existe una coincidencia.
Dato de persona física identificada es que esa persona se la distingue o aisla de un grupo
de personas. Único, puede referirse a que los datos biométricos tienen tales particularidades
que pueden identificar sin ambigüedades a un individuo. De esta forma, a un identificador
único, se le puede asociar otros atributos adicionales o datos personales.
Se adelanta, como ya se indicará, que la plantilla biométrica, con propósito de
identificación o autenticación es un dato personal per se y un identificador único.
En el presente supuesto, inicialmente se registran los datos biométricos en forma de
plantilla, eficaz y eficiente para ser interpretable por una máquina, para lo que se guarda
dicha plantilla, siendo la forma de almacenamiento que permite singularizar a un individuo y
ejecutar acciones de forma automática, con el fin de que, en la segunda visita, la misma
persona al acceder, cuando coloque la huella en el terminal, por procedimiento de
comparación de plantillas, si presenta una coincidencia que supere el umbral previsto para
permitir el acceso, logre acceder. Por tanto, la búsqueda en la segunda visita al parque se
realiza sobre un dato personal que ya consiguió antes, y sobre el mismo, identifica de entre
todas las plantillas la que se corresponde o se asemeja más a la huella que se presenta.
Para que una plantilla biométrica sea eficaz es necesario que las plantillas generadas a
partir de dos individuos distintos sean claramente distinguibles. En ese caso, la plantilla
actúa como un identificador único de la persona.
En principio, no es necesario almacenar los datos de referencia en una base de datos a
efectos de autenticación/comprobación; es suficiente almacenar los datos personales de
manera descentralizada. A la inversa, la identificación sólo puede realizarse almacenando
los datos de referencia en una base de datos centralizada, porque, con objeto de averiguar
la identidad del interesado, el sistema debe comparar sus plantillas con las plantillas de
todas las personas cuyos datos ya están almacenados de forma centralizada. Esta última es
la forma en que la reclamada tiene su base de datos.
Cuando los datos biométricos, muestra de la huella dactilar, se toman y se registran por
primera vez en el sistema de la reclamada, el sistema no almacena la huella dactilar real,
pero se registra una plantilla digital. “La plantilla biométrica es una representación
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
50/79
matemática de la huella dactilar original basada en el análisis de los modelos de crestas”, la
plantilla “se utiliza durante el proceso de comparación para compararla con plantilla
almacenadas previamente”(manual del fabricante (…)) que sirve como una representación
recortada de la información biométrica. Cuando un usuario va a acceder al recinto, sus
características se comparan con las plantillas, y al resultado se le asigna una puntuación de
similitud. Si es lo suficientemente alta, al usuario se le permite entrar.
Es decir, por un lado, el hecho de llamarse representación matemática no es óbice, como la
practica demuestra, para que, con dicha representación obtenida de la muestra biométrica,
se reconozca a la persona en modo de identificación unívoca de esa persona, pues su
registro figura almacenado en una base de datos de la reclamada. La información personal
de la plantilla asociada a sus sistemas de información cobra sentido porque identifica a un
individuo único y concreto, de forma unívoca, tratándose ese dato de la huella de una
manera definida y determinada. Queda acreditado que para conseguir el segundo acceso al
parque de hecho, no es necesario ni se produce a través de la comparación de las huellas
dactilares, sino que lo hace a través de la comparación de las plantillas, o representación
matemática (término que es la traducción automática del dato personal del usuario del
sistema que va a acceder, capturada, almacenada, y lista para que al acceder en el segundo
parque con la puesta de la huella en el sensor, busque la correspondencia de la plantilla,
representación matemática según denomina la reclamada, almacenada previamente). Por
tanto, se ha de reconocer que el sistema biométrico utilizado por la reclamada es una
técnica aplicada al registro biométrico de la huella dactilar que posibilita tras, primero
registrar a una persona, y pasado un plazo tras el acceso al primer parque, obtener
habilitación por la misma persona para el acceso al segundo parque. Sostener que las
personas físicas no son identificables cuando la finalidad del tratamiento es precisamente
identificarlos, sería una incoherencia.
En este caso, además, la reclamada señala que, para el sistema de acceso, con entrada
TWIN TICKET, no almacena la imagen de la huella, pero como se ha explicado, lo cierto es
que se recogen, inscriben y se almacenan diez puntos de coincidencia (minucias) de cada
huella dactilar de cada asistente, incluyendo menores de edad, contenidos en la plantilla
biométrica, representación matemática, numérica, que la reclamada intenta excluir del
ámbito de aplicación al no considerar que se trata de dato personal biométrico lo que
contiene dicha representación matemática. Sin embargo, como hemos explicado y motivado
la plantilla biométrica es un dato de carácter personal.
Pero lo cierto es que, del análisis resultante, se acredita que, sí que la reclamada ha
utilizado un sistema biométrico susceptible y eficaz de verificar los accesos de los usuarios
preestablecido por el citado sistema por parte de ella misma, que posibilita que el acceso al
segundo parque se haga por la misma persona que la que visita el primero. Aunque el
sistema se gestione por un contrato externo, con ***EMPRESA.3, supone en cuanto a datos
personales se refiere, por el contenido del contrato, que, por sus funciones y fines, se
trataría de un encargo de tratamiento por cuenta de su responsable, la reclamada.
Sobre la reiteración de la reclamada de que no utiliza la huella, sino una representación
matemática de la huella, que “no sirve para identificar al cliente porque no aporta dato
personal alguno del mismo por cuanto no es reversible, esto es, que no puede crear,
reconstruir hacia atrás la pura imagen de la huella, no se puede dar origen a la creación en
sí de la huella original y “por ende hasta su identificación” o también que “no es posible
identificar al dueño de las minucias que formaron la representación matemática”, se ha de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
51/79
indicar que aun en la hipótesis de que no fuera reversible, un sistema como el utilizado por
la reclamada, recoge datos biométricos en el sentido de la definición expuesta.
Con independencia de que sea positivo que la representación matemática de los datos
biométricos generados a partir de las muestras biométricas proporcionadas por la persona
no sea reversible técnicamente, así se indica en el Dictamen 3/2012 sobre la evolución de
las tecnologías biométricas, de 27/04/2012, del Grupo de trabajo del artículo 29, que indica:
“La generación de la plantilla debe ser una vía de sentido único, en que no sea posible
regenerar los datos biométricos brutos a partir de la plantilla”, siendo, por cuestiones de
medidas de seguridad y para preservar la privacidad, sería aconsejable, que así fuera.
Sin embargo, ello solo no condiciona la consideración de dato biométrico, pues es un
identificador único que singulariza unívocamente a la persona, al menos en el marco de un
tratamiento automatizado.
Aunque no sea reversible, se cumplirían todos sus requisitos para poder ser considerado
dato biométrico y la realidad confirma que el sistema se ha estado usando como sistema
para correlacionar que la segunda entrada en los parques se hacía por la misma persona
que en el primero, siendo esta la finalidad de la implantación del sistema porque existe una
oferta que afecta solo a los residentes, según la reclamada, y responde a estos fines
utilizándose para identificar de manera unívoca a una persona. El tratamiento técnico
llevado a cabo por la reclamada y la encargada del tratamiento ***EMPRESA.3 conducen a
la consideración de que la plantilla obtenida con estos medios a partir de las características
físicas, confirman una identificación única.
Por tanto, la manifestación de la reclamada de que, al no almacenar directamente la huella
en su forma original, se reduce la posibilidad de correlacionarla por sí misma con otros
datos personales, o disminuye el riego de identificación del individuo carece de
comprensión de cómo funcionan los sistemas biométricos.
En conclusión, la información biométrica recogida, en este caso la imagen de una huella
dactilar se procesa de forma automatizada, a través de un tratamiento técnico específico
que obtiene una plantilla biométrica, representativa en forma digital a la misma huella
dactilar, de modo que, almacenada en los sistemas de la reclamada mediante el sistema
contratado con su encargado de tratamiento, permanece lista para el uso con la finalidad
buscada por la reclamada de identificar al usuario. El dato biométrico es un dato personal,
por cuanto se producen varias operaciones de dicho dato biométrico, recogida,
almacenamiento, cotejo, al tener que introducir en el segundo acceso al parque los mismos
elementos que introdujo en el primero: la entrada que porta un código QR y la toma del
dedo, con lo cual se identifica unívocamente al usuario que accede, constituyendo un
tratamiento de dato biométrico, formando un sistema apto para identificar a la persona, un
dato personal biométrico, con indiferencia de que el proceso sea no reversible, siendo esta
una cuestión de seguridad.
III Datos biométricos como datos de carácter personal: Conexión con el artículo 4.1 del
RGPD
Acreditado que se ha utilizado una plantilla biométrica o una representación matemática a
partir de la toma de la huella dactilar, registrándola, almacenándola, con el fin de verificar
que la misma persona sea la que accede a los dos parques, que ha estado utilizando la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
52/79
reclamada y continua con dicho fin, se analiza cómo, además, existen medios razonables
para identificar al interesado o hacerle identificable.
A sensu contrario, cuando los datos biométricos, como una plantilla, se almacenan de
manera que el responsable del tratamiento o cualquier otra persona no pueden utilizar
ningún medio razonablemente para identificar al interesado, o hacerle identificable, dichos
datos no se clasificarán como datos personales.
Así pues, tanto si los datos biométricos contienen información concerniente a una persona
física identificada como si resulta identificable, entrarían dentro del ámbito de aplicación del
RGPD con aplicación de sus principios y de los derechos de los afectados.
La identificabilidad de la persona depende también de la disponibilidad de otros datos que
(conjunta o separadamente) permiten la identificación de la persona en cuestión.
Por consiguiente, la persona física es “identificable” cuando, aunque no se la haya
identificado todavía, sea posible hacerlo (que es el significado del sufijo “ble”).
Así pues, esta segunda alternativa es, en la práctica, la condición suficiente para considerar
que la información entra en el ámbito de aplicación de persona física identificada o
identificable.
El considerando 26, indica que: “Los principios de la protección de datos deben aplicarse a
toda la información relativa a una persona física identificada o identificable. Los datos
personales seudonimizados, que cabría atribuir a una persona física mediante la utilización
de información adicional, deben considerarse información sobre una persona física
identificable. Para determinar si una persona física es identificable, deben tenerse en cuenta
todos los medios, como la singularización, que razonablemente pueda utilizar el responsable
del tratamiento o cualquier otra persona para identificar directa o indirectamente a la
persona física. Para determinar si existe una probabilidad razonable de que se utilicen
medios para identificar a una persona física, deben tenerse en cuenta todos los factores
objetivos, como los costes y el tiempo necesarios para la identificación, teniendo en cuenta
tanto la tecnología disponible en el momento del tratamiento como los avances
tecnológicos.”
Esto significa que la mera e hipotética posibilidad de singularizar a un individuo, no es
suficiente para considerar a la persona como “identificable”. Si, teniendo en cuenta “el
conjunto de los medios que puedan ser razonablemente utilizados por el responsable del
tratamiento o por cualquier otra persona”, no existe esa posibilidad o es insignificante, la
persona no debe ser considerada como “identificable” y la información no debe catalogarse
como “datos personales”. El criterio del “conjunto de los medios que puedan ser
razonablemente utilizados por el responsable del tratamiento o por cualquier otra persona”
debe tener especialmente en cuenta todos los factores en juego.
En primer lugar, cabe la posibilidad de "identificación directa" por medio de "uno o varios
elementos específicos, característicos de su identidad física" y que se menciona
explícitamente en la definición de los datos personales. Una persona puede ser identificada
directamente por su nombre y apellidos o indirectamente por un número de teléfono, la
matrícula de un coche, un número de seguridad social, un número de pasaporte o por una
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
53/79
combinación de criterios significativos (edad, empleo, domicilio, etc.), que haga posible su
identificación al estrecharse el grupo al que pertenece.
Cuando hablamos de “indirectamente” identificadas o identificables, nos estamos refiriendo
en general al fenómeno de las “combinaciones únicas”, sean estas pequeñas o grandes. En
los casos en que, a primera vista, los identificadores disponibles no permiten singularizar a
una persona determinada, ésta aún puede ser “identificable”, porque esa información
combinada con otros datos (tanto si el responsable de su tratamiento tiene conocimiento de
ellos como si no) permitirá distinguir a esa persona de otras. Aquí es donde la definición del
artículo 4.1 se refiere a ”uno o varios elementos propios de su identidad física, fisiológica,
psíquica, económica, cultural o social”. Una combinación de detalles pertenecientes a
distintas categorías (edad, origen regional, etc.) puede ser lo bastante concluyente en
algunas circunstancias, en especial si se tiene acceso a información adicional de
determinado tipo.
Subsidiariamente, la doctrina fijada por la sentencia del TJUE, en su Sentencia de
19/10/2016 (Asunto C-582/14) respecto de persona "identificable", a los efectos del régimen
de protección de datos, entiende que si existen mecanismos que permiten asociar un dato
con una persona, aunque estén en principio fuera del alcance de quien posee esos datos, se
entenderá que la persona es identificable, siempre que, incluso con ayuda de otras
personas, pueda razonablemente identificar a la persona de cuyos datos se trata. Esa
Sentencia considera las direcciones IP dinámicas, que constituyen series de números como
datos de carácter personal.
Se trataría del hecho de si a partir de la recogida de datos como las huellas dactilares
tomadas para los accesos con las entradas TT, y utilizadas como medio de acceso a los dos
parques puede, en relación con el contenido de la entrada adquirida on line por una persona
identificada, más los datos de la lectura que se produce de la entrada llegado el día de la
reserva de la entrada, establecerse la posibilidad de identificar a la persona que accede
usando tales datos biométricos en el periodo o momentos en que están vigentes las
entradas TT. No se trata de la identificación mediante la reversibilidad de la plantilla
biométrica capturada, sino su asociación con los elementos que se contienen en la forma de
procesar los datos asociados a los accesos, en la entrada, lo que se ha de analizar.
Para determinar si una persona es identificable, hay que considerar el conjunto de los
medios que puedan ser razonablemente utilizados por el responsable del tratamiento o por
cualquier otra persona para identificar a dicha persona.
La citada sentencia de 19/10/2016, indica que su tenor sugiere que, para que un dato pueda
ser calificado de "dato personal", “en el sentido del artículo 2, letra a), de dicha Directiva, no
es necesario que toda la información que permita identificar al interesado deba encontrarse
en poder de una sola persona" apartado 43.
Por guardar relación con el asunto, en el concepto de dato personal, conforme al RGPD, se
incluirían los denominados "datos seudonimizados". El RGPD define en su artículo 4.5 la
seudonimización como "el tratamiento de datos personales de manera tal que ya no puedan
atribuirse a un interesado sin utilizar información adicional, siempre que dicha información
adicional figure por separado y esté sujeta a medidas técnicas y organizativas destinadas a
garantizar que los datos personales no se atribuyan a una persona física identificada o
identificable".
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
54/79
Tal y como afirma en las conclusiones el Abogado General D. Manuel Campos de
12/05/2016 (en el Asunto C-582/14, en las IP dinámicas) "[...] lo determinante, a tenor de la
Directiva 95/46, es la posibilidad - razonable- de la existencia de un tercero "accesible", que
posea los medios necesarios para propiciar la identificación de una persona, no que la
posibilidad de recurrir a ese tercero se materialice", o dicho de otra forma, la simple
posibilidad real de utilizar un medio lícito para obtener los datos adicionales que le permitan
identificar al titular de la información de que se trata, permite entender que nos encontramos
ante una información referida a una persona física "identificable".
Ello, además de que la identificabilidad no ha de serlo solo por el responsable del
tratamiento pudiendo serlo por parte de un tercero como se determina entre otros en la
sentencia del TJUE de 19/10/2016 respecto de persona "identificable", a los efectos del
régimen de protección de datos, en la que se entiende que si existen mecanismos que
permiten asociar un dato con una persona, aunque estén en principio fuera del alcance de
quien posee esos datos, se entenderá que la persona es identificable siempre que, incluso
con ayuda de otras personas, pueda razonablemente identificar a la persona de cuyos datos
se trata, o del TS, sala de lo contencioso administrativo, sección tercera, sentencia
1062/2019 de 2/07/2019. Tampoco es decisivo que la responsable.
En este caso, además, entre estos asistentes a los parques de la reclamada, pueden estar
los mismos adquirentes de la/s entrada/s compradas o reservadas on line en los sitios web
de la reclamada, que proporcionaron sus datos para, según indica la información de
recogida de datos: “emisión de entradas y control de accesos a los recintos”. No se ha de
olvidar que las entradas compradas on line, se envían al e mail proporcionado por el
adquirente- en formato imprimible pdf- que puede presentar en los accesos en su móvil o
imprimida. Estas entradas, contienen elementos que genera y asigna el propio sistema de
venta de entradas como el localizador, el código QR, la fecha y hora de acceso fijada
siempre para la visita del primer parque, y la fecha que se quiere visitar el segundo y su
hora. Así pues, caso de que, si el adquirente que dio sus datos on line accede con su
entrada por los puntos establecidos y cumple las condiciones también establecidas por la
reclamada, de pasar el QR y localizador de su entrada junto a su huella dactilar, existen
unas referencias evidentes por las que puede ser identificado o hacerle identificable,
considerando que sus datos, no solo están en el fichero de clientes/adquirentes de la
reclamada, sino también con elementos que forman parte de un sistema avanzado de
tecnología de venta de entradas y control de accesos que disponen de variadas y suficientes
funcionalidades como para además hacer efectiva dicha identificación, y junto a la huella
dactilar que se introduce a renglón seguido de la entrada, huella dactilar que también se
gestiona por dicho sistema de entradas-control de accesos, y que permite como se indica
identificar a la persona adquirente porque se tienen sus datos y en el segundo acceso al otro
parque, se ha de volver a pasar el QR, luego la huella, que va a generar una plantilla y el
lector interno la compara con la ya almacenada, identificando al acceder a la misma
persona. en cada uno de los dos accesos.
No hay que olvidar que la reclamada dispone de un software contratado con
***EMPRESA.3, encargado del tratamiento de la reclamada, en el que entre otros elementos
se indica en su Manual:
-“La información obtenida en el momento del acceso se guarda en la BBDD con toda la
información estructurada de modo tal que se puede vincular con toda la información relativa
a la venta, reserva, abonado … correspondiente. De este modo se obtiene la total,
trazabilidad de las operaciones, “
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
55/79
El punto 2.3 del Documento 3, señala que el “sistema es multi-aforo y multi-recinto por lo
que permite la venta y emisión de diferentes productos (entradas, bonos, promociones,
abonados) con posibilidad de realizar varios accesos a uno o varios de los Parques del
Grupo según las características definidas en el momento de definir el producto. Tal y como
se detalla en el punto anterior de Control de Accesos se puede verificar los accesos
posteriores a la primera visita por medio de sistema biométrico (huella o reconocimiento
facial) o identificación por DNI o pasaporte.”
“La información obtenida en el momento del acceso se guarda en la BBDD con toda la
información estructurada de modo tal que se puede vincular con toda la información relativa
a la venta, reserva, abonado … correspondiente. De este modo se obtiene la total,
trazabilidad de las operaciones.”
También la reclamada reconoció que tiene una “Base de datos Microsoft SQL que hace la
labor de backend de toda la solución de ticketing” “conformada por todos los datos
necesarios para la venta de entradas y posteriormente proporcionar el acceso a los parques.
Se empieza a nutrir desde el momento de la compra, donde se generan las entradas para el
acceso. Luego estas entradas deben de ser validadas en el control de acceso físico al
parque, y se comprueba que dichas entradas, códigos QR, existen o no y se valida o no el
acceso. Finalidad, que el sistema de ventas de entradas y acceso funcione y tengan
información contra la que validarla”.
De este modo, si es el adquirente on line quien compra una sola entrada TT para acceder a
los parques el mismo está perfectamente identificado.
Por otro lado, si el adquirente compra on line varias entradas, la segunda o sucesiva entrada
al portar también localizador y código QR y ser adquiridas por la misma persona, siempre al
menos se va a poder conocer que los usuarios de la misma, aunque no sea nominativa,
tienen por remisión indirecta, una persona identificada como adquirente, siendo previsible
que el adquirente pueda ser identificado, y que este como conocedor de para quien son
estas entradas que el adquirió, pueda identificar o en algún caso deba identificar, si fuera
requerido por ejemplo, en caso de que fuera necesario, a dichas personas, con el pase del
código QR de la entrada a la que se toma la huella, por figurar también en los sistemas de la
reclamada, por lo que indirectamente también puede darse la identificabilidad de estas
personas por parte de terceros.
Por ello, ante la manifestación de la reclamada de que su sistema “no compara huellas
dactilares“ compara las minucias detectadas durante la codificación de la imagen que se
extrae de la huella dactilar, forma de representación matemática, se ha de concluir, que con
independencia de como se le llame, la comparación de los registros obtenidos de la imagen
dactilar, procesada con los medios técnicos y con la representación matemática o plantilla
almacenada en los sistemas de la reclamada, con el fin definido de detectar que una
persona que vuelva a entrar esta vez en el segundo parque, quede de forma unívoca
identificada en el segundo acceso, ha implantado este sistema que utiliza características
físicas para identificar a personas físicas específicas que vuelven a acceder, permitiendo la
identificación biométrica de la persona y el eventual acceso mediante el uso autorizado de
sus características biométricas.
Además, no solo se constata dicho uso, sino que tal dato biométrico resulta que identifica y
puede hacer identificable de forma unívoca a los adquirentes de las entradas que acceden
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
56/79
por sí mismos, y a la persona para la que esta compra la entrada, aunque no sea
nominativa.
Ello resulta así, dada la implantación del sistema de la reclamada y porque la definición del
concepto de “datos personales” es tan amplia, que no abarca únicamente los datos
recabados y conservados por el responsable del tratamiento, sino que incluye también toda
la información resultante de un tratamiento de datos personales que se refiera a una
persona identificada o identificable (véase, en este sentido, la sentencia de 4/5/2023,
Österreichische Datenschutzbehörde y CRIF, C-487/21, EU:C:2023:369, apartado 26).
Así pues, en el caso de entradas adquiridas a través de la web de la reclamada, el proceso
establecido por la reclamada para los acceso con estas entradas de TT con finalidad de que
la segunda persona que acceda sea la misma que la primera, se enmarca en el proceso por
ella establecido, que implica:
1 Cada entrada genera un código QR asignado por el programa de gestión de entradas,
gestionado por cuenta de la reclamada por un encargado de tratamiento: ***EMPRESA.3. El
código QR de la entradas es presentado en la entrada para ser leído por un torno.
2 Se toma la huella dactilar con un software específico de huella dactilar incorporado al
software de gestión de entradas.
3 El software específico de la huella dactilar procesa la muestra biométrica, la huella y
obtiene una plantilla biométrica.
4 La plantilla queda almacenada en el sistema de gestión de software de entradas que se
gestiona por cuenta de la reclamada.
5 Con ello se posibilita el primer acceso del usuario al primer parque.
6 En el segundo parque el usuario vuelve a mostrar el QR.
7 Se le toma de nuevo la huella dactilar al usuario que pretende acceder al segundo parque.
8 De ese usuario, se procesa la huella técnicamente y se obtiene la plantilla biométrica.
9 Se comparan plantillas biométricas.
10 Si hay coincidencia se permite el acceso al parque del mismo usuario que accedió al
primer parque.
Como conclusión los datos personales de carácter biométrico de las huellas dactilares de los
adquirientes de la entrada que acceden por sí mismo a los parques, además de constituir
datos personales biométricos, son tratados de forma automatizada por los sistemas de
reconocimiento de huellas implantados por la reclamada, incluyendo su encargado de
tratamiento que obra a través de ella, constituyendo un sistema que permite identificar a
dicho adquirente.
En el mismo sentido, las personas para las que el adquirente compra las entradas, aunque
sean no nominativas, por el sistema impuesto por la reclamada, pueden ser identificables,
como se ha explicado, constituyendo en ambos casos supuestos tratamientos de categoría
especial de datos por cuanto vienen a tener la finalidad de identificar de forma unívoca a una
persona
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
57/79
IV Prohibición de tratamiento de datos biométricos
El considerando 51 del RGPD señala: “Especial protección merecen los datos personales
que, por su naturaleza, son particularmente sensibles en relación con los derechos y las
libertades fundamentales, ya que el contexto de su tratamiento podría entrañar importantes
riesgos para los derechos y las libertades fundamentales…El tratamiento de fotografías no
debe considerarse sistemáticamente tratamiento de categorías especiales de datos
personales, pues únicamente se encuentran comprendidas en la definición de datos
biométricos cuando el hecho de ser tratadas con medios técnicos específicos permita la
identificación o la autenticación unívocas de una persona física. Tales datos personales no
deben ser tratados, a menos que se permita su tratamiento en situaciones específicas
contempladas en el presente Reglamento, habida cuenta de que los Estados miembros
pueden establecer disposiciones específicas sobre protección de datos con objeto de
adaptar la aplicación de las normas del presente Reglamento al cumplimiento de una
obligación legal o al cumplimiento de una misión realizada en interés público o en el ejercicio
de poderes públicos conferidos al responsable del tratamiento. Además de los requisitos
específicos de ese tratamiento, deben aplicarse los principios generales y otras normas del
presente Reglamento, sobre todo en lo que se refiere a las condiciones de licitud del
tratamiento. Se deben establecer de forma explícita excepciones a la prohibición general de
tratamiento de esas categorías especiales de datos personales, entre otras cosas cuando el
interesado dé su consentimiento explícito o tratándose de necesidades específicas, en
particular cuando el tratamiento sea realizado en el marco de actividades legítimas por
determinadas asociaciones o fundaciones cuyo objetivo sea permitir el ejercicio de las
libertades fundamentales.”
Los datos biométricos son datos de cuyo uso pueden desprenderse riesgos significativos
para los derechos fundamentales y las libertades, y por ello inicialmente está prohibido su
uso en el artículo 9.1 del RGPD.
Determina el artículo 9.1 del RGPD:
“Quedan prohibidos el tratamiento de datos personales que revelen el origen étnico o racial,
las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical, y el
tratamiento de datos genéticos, datos biométricos dirigidos a identificar de manera unívoca a
una persona física, datos relativos a la salud o datos relativos a la vida sexual o la
orientación sexual de una persona física.”
El apartado 2, establece las excepciones que deben concurrir para que el mismo pueda
llevarse a cabo, que, en materia de prestación de servicios, con varios condicionantes en su
articulado, sería:
“2. El apartado 1 no será de aplicación cuando concurra una de las circunstancias
siguientes:
a) el interesado dio su consentimiento explícito para el tratamiento de dichos datos
personales con uno o más de los fines especificados, excepto cuando el Derecho de la
Unión o de los Estados miembros establezca que la prohibición mencionada en el apartado
1 no puede ser levantada por el interesado;
[…]”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
58/79
“4. Los Estados miembros podrán mantener o introducir condiciones adicionales, inclusive
limitaciones, con respecto al tratamiento de datos genéticos, datos biométricos o datos
relativos a la salud.”
Así pues, en primer término, para habilitar el tratamiento de los datos biométricos, debe
cumplir alguno de los supuestos específicos de habilitación de ese tipo de tratamiento
conformado por el régimen del artículo 9. 2, letras a) a j), y que concurra al menos una de
las condiciones que se reflejan como bases legitimadoras que sostiene alguno de los
fundamentos jurídicos del artículo 6.1 del RGPD que señala:
“1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
a) el interesado dio su consentimiento para el tratamiento de sus datos personales para uno
o varios fines específicos;
b) el tratamiento es necesario para la ejecución de un contrato en el que el interesado es
parte o para la aplicación a petición de este de medidas precontractuales;
c) el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al
responsable del tratamiento;
d) el tratamiento es necesario para proteger intereses vitales del interesado o de otra
persona física;
e) el tratamiento es necesario para el cumplimiento de una misión realizada en interés
público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
f) el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el
responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no
prevalezcan los intereses o los derechos y libertades fundamentales del interesado que
requieran la protección de datos personales, en particular cuando el interesado sea un niño.
Lo dispuesto en la letra f) del párrafo primero no será de aplicación al tratamiento realizado
por las autoridades públicas en el ejercicio de sus funciones.”
En el presente supuesto, la reclamada se considera exonerada de la aplicación del RGPD
por entender que no trata datos de carácter personal, circunstancia que se ha considerado
rebatida de contrario en el fundamento de derecho II.
Técnicamente, la plantilla biométrica contra la que se coteja la muestra es el producto de
una medición que identifica unívoca y únicamente al individuo. Esto es lo que por ejemplo
diferencia las imágenes visionadas de una videocámara que no pueden ser consideradas
dato biométrico bajo la definición del artículo 9, si no son específicamente tratadas con un
medio técnico para contribuir a la identificación de una persona.
Los datos biométricos de cada usuario, adquiridos en el momento de su captación y
registrados, para someterlos al procedimiento técnico que convierte la imagen, el formato,
en muestra biométrica y el algoritmo en plantilla biométrica, almacenándose, para que, con
las muestras introducidas al colocar el dedo en los accesos, identifique a través del modelo
guardado, de entre todas las plantillas, a la persona, sin lugar a dudas a su titular, sería una
identificación de forma única a dicha persona.
El uso de la huella no solo es capaz de validar la identidad de forma precisa, sino que tiene
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
59/79
información única sobre personas físicas.
En el presente caso, desde luego, no puede hablarse de que no se trata información ligada a
datos personales de una persona identificada en cada registro de accesos, aunque los datos
se guarden en el dispositivo cifrados/encriptados. Cada vez que un usuario utiliza el sistema,
permite o confirma su identificación única a través del tratamiento que lleva a cabo la
reclamada con el dispositivo adquirido, que entre todas las plantillas que almacena en sus
sistemas, es capaz de verificar a su titular, tratándose datos de carácter personal basados
en el procesamiento de la huella, identificando de forma única a dicha persona.
Se estima que la reclamada trata los datos de los accesos a sus parques con la entrada
TWIN TICKET mediante la huella dactilar susceptible de identificar al adquirente, de forma
unívoca, sin que concurran los requisitos del artículo 9 del RGPD, habiendo infringido dicho
artículo.
No menos importante, merece mencionarse que antes del uso del dato biométrico, por
suponer una intrusión en el derecho de sus titulares, el uso de la biometría plantea también
el tema de la proporcionalidad de cada categoría de datos a la luz de los fines para los que
se tratan dichos datos. En este caso, actividades de ocio prestadas por la reclamada,
basada en una relación derivada de la adquisición de la entrada TT y el cumplimiento de la
relación con las condiciones que impone la reclamada, que incluye la toma de huella para
verificar (identidad de una persona conocida por resultar identificada/identificable cuyos
rasgos biométricos han sido almacenados en una base de datos de la reclamada, reflejando
sus características físicas únicas) que es la misma persona la que accede a los dos
parques. Esto enlazaría con la base legitimadora del tratamiento de estos datos, que implica
el tratamiento de datos de muestras biométricas, que cumple con el requisito de que “es
necesario para la ejecución de un contrato en el que el interesado es parte o para la
aplicación a petición de este de medidas precontractuales”, con el fin de que sea la misma
persona la que acceda a los dos parques, contenida en el artículo 6.1.b) del RGPD.
Los datos biométricos sólo pueden usarse de manera adecuada, pertinente y no excesiva, lo
cual supone una estricta valoración de la necesidad y proporcionalidad de uso de los datos
tratados, para lo cual, ha de examinarse que surge del desarrollo de la relación contractual
que deriva de la adquisición de las entradas TT para acceder a los dos parques.
Es decir, de partida se ha de negar el carácter voluntario de la aportación de los datos de la
muestra dactilar para los accesos, o que se desprenda su carácter voluntario por comprar
las entradas, aunque lleven la oferta, especialmente en el año 2022, que no figuraba
información ninguna antes de producirse el acceso. Ello, al hilo de la manifestación de la
reclamada en investigaciones previas de que “se utiliza un sistema de control de acceso
mediante diez puntos de coincidencia de huellas digitales que se solicita a quienes
voluntariamente quieran beneficiarse de la oferta comercial.”
Esta disposición debe interpretarse de manera estricta y no comprende situaciones en las
que el tratamiento no sea realmente necesario para la ejecución de un contrato, sino
unilateralmente impuesto al interesado por parte del responsable del tratamiento. Además, el
hecho de que el tratamiento de algunos datos esté cubierto por un contrato no quiere decir
automáticamente que el tratamiento sea necesario para su ejecución. Tampoco el hecho de
mencionarlas en las cláusulas de información de recogida de datos per se, las convierte en
necesarias para la ejecución del contrato, existiendo una relación entre la valoración de la
necesidad y proporcionalidad y el principio de limitación de la finalidad.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
60/79
La necesidad del tratamiento preconfigura la base de legitimación del tratamiento, y ha de
ser tenida en cuenta como parte de la configuración del tratamiento.
Así pues, como conclusión, se estima que la reclamada ha infringido el artículo 9 del RGPD,
contribuyendo en parte a la misma, la confluencia de deficiencias acumuladas en cuanto a la
responsabilidad proactiva, y el principio de establecido en el artículo 5.2 del RGPD, que
hace recaer en el responsable del tratamiento el cumplimiento de los principios del artículo
5.1 del RGPD, y ser capaz de demostrarlo. En tal sentido, se observa que carecía la
reclamada, y carece de elementos de juicio sobre los riesgos en los derechos y libertades de
los interesados respecto del tratamiento de datos personales que sigue efectuando, y de la
base que componen los contenidos que supone una adecuada y obligada elaboración y
superación de una Evaluación de impacto de tratamiento de datos sobre el sistema de
acceso con el registro biométrico de la huella dactilar
V Responsable de la infracción
En cuanto a la responsabilidad de las conductas analizadas, el RGPD y la LOPDGDD en su
artículo 70, considera responsables de las infracciones a los responsables de los
tratamientos y a los encargados de tratamiento
Ambos conceptos se encuentran definidos en el artículo 4 del RGPD:
“7) «responsable del tratamiento» o «responsable»: la persona física o jurídica, autoridad
pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios
del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y
medios del tratamiento, el responsable del tratamiento o los criterios específicos para su
nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros;
8) «encargado del tratamiento» o «encargado»: la persona física o jurídica, autoridad
pública, servicio u otro organismo que trate datos personales por cuenta del responsable del
tratamiento;”.
Los conceptos de responsable y encargado del tratamiento se desarrollan en las Directrices
07/2020 del Comité Europeo de Protección de Datos sobre los conceptos de «responsable
del tratamiento» y «encargado del tratamiento» en el RGPD.
https://www.edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-072020-
concepts-controller-and-processor-gdpr_es
En todo caso, a los efectos oportunos, tan sólo hay que señalar que el responsable del
tratamiento es la persona física o jurídica, pública o privada, que determina los fines y
medios del tratamiento. Es un concepto funcional que exige examinar, en cada caso
concreto, quién determina fines y medios en relación con determinadas operaciones de
tratamiento.
En cuanto a lo que nos interesa, vamos a examinar tres elementos de la definición de
responsable.
Así indicaremos sobre el concepto “determinar” que las Directrices 7/2020 establecen que,
“20. El segundo componente del concepto de «responsable del tratamiento» hace referencia
a su influencia en el tratamiento en virtud del ejercicio del poder de decisión. El responsable
del tratamiento es quien decide determinados aspectos esenciales del tratamiento de los
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
61/79
datos. La responsabilidad del tratamiento puede establecerse en la normativa o deducirse
de un análisis de los hechos o las circunstancias del caso. Es necesario dirigir la atención a
las actividades de tratamiento concretas de que se trate y comprender quién las determina.
Para ello, primero deben examinarse las siguientes cuestiones: «¿por qué tiene lugar el
tratamiento?» y «¿quién ha decidido que debe llevarse a cabo el tratamiento para un fin
concreto?».
…
27. En la práctica, determinadas actividades de tratamiento pueden considerarse vinculadas
por su naturaleza a la función o las actividades de un ente, lo que, en última instancia,
también conlleva responsabilidades desde el punto de vista de la protección de datos. Esto
puede tener como base unas disposiciones legales más generales o una práctica jurídica
consolidada en distintos ámbitos (Derecho civil, mercantil, laboral, etc.).
…
28. En muchas ocasiones, el examen de las cláusulas contractuales entre las distintas
partes involucradas puede ayudar a determinar qué parte o partes actúan como
responsables del tratamiento. Aun cuando el contrato no estipule quién es el responsable
del tratamiento, puede contener elementos suficientes para inferir quién tiene el poder de
decisión en relación con los fines y medios del tratamiento.
…
29. Si una parte decide en la práctica cómo y por qué se tratan los datos personales, dicha
parte será el responsable del tratamiento, aunque el contrato estipule que se trata del
encargado.
…
30. Siguiendo la línea del enfoque basado en los hechos, la palabra «determine» significa
que el ente que realmente ejerce una influencia decisiva sobre los fines y medios del
tratamiento es el responsable. Por lo general, el contrato de tratamiento establece quién es
la parte determinante (el responsable del tratamiento) y quién, la parte que sigue las
instrucciones (el encargado del tratamiento)”.
En cuanto a “fines y medios”, según las Directrices 7/2020 establecen que,
“35. La determinación de los fines y los medios equivale a decidir, respectivamente, el
porqué y el cómo del tratamiento: en una operación de tratamiento concreta, el responsable
del tratamiento es la parte que determina por qué tiene lugar el tratamiento (esto es, «con
qué fin» o «para qué») y cómo se alcanzará este objetivo (es decir, qué medios se
emplearán para lograrlo). Una persona física o jurídica que influye de este modo en el
tratamiento de datos personales participa, por tanto, en la determinación de los fines y los
medios de dicho tratamiento de conformidad con la definición prevista en el artículo 4, punto
7, del RGPD.
…
38. Cuando un ente determina claramente los fines y los medios, confiando a otro unas
actividades de tratamiento que equivalen a la ejecución de sus instrucciones detalladas, la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
62/79
situación no ofrece dudas: el segundo ente debe considerarse encargado del tratamiento y
el primero, responsable”.
Respecto al término “tratamiento” ínsito en la definición del responsable del tratamiento, las
Directrices 7/2020 fijan que,
“42. Los fines y medios determinados por el responsable del tratamiento deben estar
relacionados con el «tratamiento de datos personales». El artículo 4, punto 2, del RGPD
define el tratamiento de datos personales como «cualquier operación o conjunto de
operaciones realizadas sobre datos personales o conjuntos de datos personales». En
consecuencia, el concepto de responsable del tratamiento puede estar ligado a una única
operación de tratamiento o a un conjunto de operaciones. Esto puede significar en la
práctica que el control ejercido por un ente concreto puede abarcar la totalidad del
tratamiento en cuestión, pero también puede circunscribirse a una fase concreta del
tratamiento.
…
45. No es necesario que el responsable del tratamiento disponga de un acceso real a los
datos que se estén tratando. Alguien que externalice una actividad de tratamiento y, al
hacerlo, ejerza una influencia determinante en el fin y los medios (esenciales) del
tratamiento (p. ej., ajustando los parámetros de un servicio de tal modo que obliguen a tratar
los datos personales de determinadas personas) deberá considerarse responsable del
tratamiento, aunque nunca disponga de acceso a los datos”.
En el presente supuesto relativo a la implantación del sistema de accesos con datos
biométricos del TT, en los parques señalados de la reclamada, aunque también de otros
tipos de entradas gestionados con el software de la empresa ***EMPRESA.3, por el mismo
sistema, cabe precisar que la reclamada es responsable de los datos que se recogen como
clientes que adquieren las entradas con base a la relación de ejecución del contrato, a
través de los formularios on line que se contienen en su web de venta de entradas. Es la
reclamada la que decide los fines y los medios que desea conseguir y cómo, contratando
con la citada empresa que le oferta un servicio. De la lectura del contrato que se aportó al
expediente y de los servicios y accesos a datos que atiende ***EMPRESA.3, esta adopta la
posición jurídica de encargado de tratamiento, y así se justifica según los hechos probados.
Los fines y los medios indicados por la reclamada han sido seguidos con la concertación del
citado contrato, no constando que la actuación relacionada con el tratamiento de los datos
analizados haya surgido por mor de la voluntad de la encargada del tratamiento sino de la
reclamada, que se acredita ostenta la posición jurídica de responsable del tratamiento, y
como tal, le corresponde la responsabilidad por las acciones y conductas infractoras.
Sobre la alegación formulada por la reclamada a la propuesta de resolución respecto de la
nulidad del procedimiento sancionador al haberse prescindido total y absolutamente del
procedimiento legalmente establecido, por no haber sido llamadas al procedimiento otras
entidades que pudieran ser también responsables, se ha indicar (i) que dichas entidades
citadas de contrario son encargadas del tratamiento de la parte reclamada y no entidades
independientes del mismo, meras “colaboradoras” como asevera en su descargo; (ii) y que
de conformidad con el RGPD, el encargado del tratamiento, cuando realiza un tratamiento
de datos personales por cuenta del responsable del tratamiento forma, de alguna manera,
parte del responsable, como si fuera un empleado más que actúa en el seno de la
organización del responsable del tratamiento.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
63/79
Sobre este particular hemos de destacar la STJUE de 5 de diciembre de 2023 dictada en el
asunto C-683/21, en la que se indica que, “84 Dado que, como se ha indicado en el
apartado 36 de la presente sentencia, un responsable del tratamiento es responsable no
solo por todo tratamiento de datos personales que efectúe él mismo, sino también por los
tratamientos realizados por su cuenta, puede imponerse a ese responsable una multa
administrativa con arreglo al artículo 83 del RGPD en una situación en la que los datos
personales son objeto de un tratamiento ilícito y en la que no es él, sino un encargado al que
ha recurrido, quien ha efectuado el tratamiento por cuenta suya”, situación que se produce
en el supuesto examinado tal y como ha quedado acreditado.
Queda clara de la imputación, que esta se exige únicamente a la responsable del
tratamiento, que, a través del servicio externo, por cuenta del responsable trató los datos, no
acreditándose que proceda la derivación de la responsabilidad por las acciones que se
acreditan son imputables únicamente a la voluntad de la reclamada.
VI Respuesta a las alegaciones
Sobre las alegaciones que figuran en el expediente:
-algunas alegaciones sobre el carácter de la huella entendida como la muestra biométrica
proporcionada por la persona de la que se generan datos biométricos que ha realizado la
reclamada como que “en ningún momento se graba la huella dactilar de los clientes” “no se
trabaja con huellas digitales, sino con representaciones matemáticas de la huella digital
original “ “ni se almacena” se contestarían con la lectura del fundamento de derecho I en el
que se detalla una breve descripción del proceso técnico que se incluye en cualquier
sistema biométrico, en este caso de uso de huella dactilar.
Asimismo, de la lectura del fundamento de derecho I y II se explicita como la huella dactilar y
la plantilla biométrica utilizados por la reclamada son datos de carácter personal y que se ha
realizado por esta un tratamiento de datos biométricos, todo ello de acuerdo con el RGPD.
-sobre la alegación de que se acude a conceptos que no se definen en la normativa de
protección de datos, se ha de indicar que el RGPD constituye la normativa general y
transversal sobre protección de datos que se aplica en todos los Estados miembros de la
UE, sin perjuicio de las normas sectoriales especificas en ámbitos que precisan
disposiciones más concretas. Las definiciones utilizadas en este expediente que no figuran
en el RGPD suelen referirse a descripciones que, por otra parte, la reclamada no ha
impugnado ni ha expresado que estuvieran equivocadas.
En cuanto a la referencia los dictámenes o directrices, “que no se recogen expresamente en
la norma sancionadora”, según la reclamada, decir que no se utilizan estas para apoyar la
sanción, sino como criterio interpretativo. El Grupo de Trabajo del Artículo 29, órgano
consultivo creado en virtud del artículo 29 de la Directiva 95/46/CE era un órgano consultivo
independiente integrado por las Autoridades de Protección de Datos de todos los Estados
miembros, el Supervisor Europeo de Protección de Datos y la Comisión Europea.
Con el RGPD se crea el Comité Europeo de Protección de Datos (CEPD) como órgano
encargado de velar por la aplicación coherente del RGPD que se constituye como un
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
64/79
organismo de la Unión con personalidad jurídica propia. Goza de total independencia en el
ejercicio de sus funciones y no recibirá instrucciones de ningún tipo.
Con la entrada en vigor del artículo 94.2 del RGPD, toda la referencia al Grupo de Trabajo
del Artículo 29 de Trabajo del citado artículo, se entenderá hecha al Comité Europeo de
Protección de Datos establecido por el presente Reglamento, asumiendo el segundo las
opiniones, recomendaciones y directrices emitidas por el primero.
-Sobre la alegación de la reclamada de que se aportaron informes técnicos que acreditaban
que los “Los códigos matemáticos no identifican personas”, la parte reclamada solo aporta el
Manual del fabricante del dispositivo biométrico del fabricante, y un informe sobre medidas
de seguridad referido al sistema control de validación de acceso con biometría de la
encargada de tratamiento ***EMPRESA.3. Ninguno de los dos contiene dicha afirmación. El
informe menciona los artículos 25 y el principio de minimización de datos.
-Sobre la nota informativa que aparece en las imágenes de los tableros informativos de
acceso a los parques -foto con imagen de un puesto de entrada de acceso- respecto a las
entradas TWIN TICKET, entradas conjuntas para ambos parques, LORO PARQUE Y SIAM
PARK (son el tipo de entradas adquiridas por los reclamantes, aunque figuraban también el
logo de las entradas o tickets de “ULTIMATE TENERIFE”, y “VUELVE”) al menos el
16/09/2022-fecha de reclamación de reclamante 1- con el literal añadido en la parte inferior:
”este sistema no almacena la imagen de su huella, simplemente hace una lectura”, y a su
lado, del mismo color, un panel informativo “coloque su dedo índice de la mano derecha aquí,
y siga las instrucciones del operador”,
Al respecto se ha de reiterar que, aunque no almacena la huella, no se almacena
los datos brutos, sino un extracto de sus características, un resumen de esta que a los fines
que pretende la reclamada, sirven sin duda para confirmar los accesos de los usuarios del
TT que son no nominativos.
El hecho de que no se almacene la huella, íntegra, parece querer decir la reclamada, y haga
una lectura, de esa huella dactilar, no íntegra, no es óbice para que se deduzca que lo que
realiza cuando se introduce el dedo índice en el sensor en el acceso al segundo parque, sea
una lectura de la representación matemática o plantilla biométrica que contiene los datos
personales procesados automáticamente. Para permitirse el acceso del cliente en el
segundo parque, ha de volverse a introducir la parte de la entrada que lleva el código QR y a
continuación, el dedo índice en el sensor de acceso que compara la huella con esa
representación matemática o plantilla biométrica que el responsable del tratamiento ha
guardado para comprobar la coincidencia y permitir el acceso. El dato biométrico resulta así
tratado por cuanto cumple su función de permitir o confirmar la identificación única de esa
persona partiendo de un tratamiento técnico específico, siendo pues dicha plantilla o
representación matemática susceptible en todo caso de identificar a su titular, como se
acredita que tras el registro para el primer parque con el fin que la reclamada impuso como
obligatorio, es a través de este registro, cuando en la segunda ocasión el portador de la
huella consigue acceder al segundo parque, siendo en si el dato personal, la misma plantilla
o representación matemática.
Así, resulta que se permite el tratamiento de sus datos, y por tanto posibilitan, con su
lectura, caso de superar un umbral de coincidencias (% de coincidencias del sistema
biométrico establecido por el software) la identificación de la persona de modo unívoco y se
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
65/79
produce el emparejamiento (matching de huella tomada-huella registrada de la misma
persona). No obstante, la definición de dato biométrico se caracteriza porque son datos
personales obtenidos a partir de un tratamiento técnico específico.
Este uso se produce porque se utilizan los datos personales biométricos, resultado del
tratamiento técnico efectuado dirigido a ello, por voluntad de la instauradora del sistema, la
reclamada, que resulta la responsable del tratamiento.
-Sobre la alegación de que no se produce cruce entre datos de compra de entradas y
datos biométricos utilizados, se ha acreditado que en realidad se produce un uso mezclado
de ambos datos, con datos propios que obran todos, en los sistemas de la reclamada, y que
pertenecen al ticket de entrada. Estos últimos, junto con el uso resultante de la toma de la
huella en los accesos. En la práctica, el código QR asociado a la entrada, que además
contiene todos los elementos que permiten identificar a la persona, se han de introducir en
las dos ocasiones, en que se accede, en un orden secuencial, de lectura por el terminal de
entradas del código QR, asociado y único por cada entrada, luego se toma la huella, y la
plantilla almacenada que coteja comparando la introducción en la segunda visita, creando
una nueva plantilla que como se indica se compara con la almacenada, con total
identificación de la persona identificada a través del software de ventas de entradas y control
de accesos, considerando que todos los datos están a disposición y son gestionados por la
reclamada través de dicho sistema que dispone además de otras funcionalidades referidas a
los controles de dichos usuarios como refleja el Manual del mismo, contemplados en los
hechos probados.
- En el informe de ***EMPRESA.3” “ticketing, “Medidas de seguridad específicas” se
infiere que la reclamada nunca ha obtenido huellas digitales ni puntos de huellas digitales,
sino que mediante los sensores de huella ***DISPOSITIVO.1, se cifra internamente la huella
que captura en el mismo momento de la propia captura, de tal forma que el “software que
lanza la petición de captura dactilar recibe directamente el dato codificado”.
1. “LORO PARQUE recibe directamente un dato codificado, no recibe una huella dactilar ni
puntos de la huella. Por tanto, al recibir la reclamada un dato codificado, no recibe ningún
dato de carácter personal de los definidos en el art 4.1 del RGPD.”
Contando con que un código o una información codificada puede identificar a una persona,
sin duda la plantilla biométrica, aunque esté codificada en su almacenamiento, por
seguridad, cuando se introduce la huella para el acceso en el segundo parque, se
desbloquea y la persona accede al mismo, y lo hace porque el sistema verifica, como en
este caso, si hay una plantilla almacenada que coincide con la que extrae el sistema al
poner el dedo por segunda vez en el terminal de lectura, dando como resultado que la
persona que accedió al primer parque y al segundo reconoce automáticamente a las
personas en función de la tecnología probabilísticas con la que funciona, recordando que las
plantillas cuando se comparan deducen probabilidad mayor o menor de que la personas sea
identificada si esta probabilidad supera un cierto umbral en el sistema, definido por el
usuario o el desarrollador del sistema (puntuación de confianza).
En este contexto, el CEPD considera importante recordar que en las Directrices 5/2022
sobre el uso de tecnología de reconocimiento facial en el ámbito de la aplicación de la Ley,
ya sea para fines de autenticación o identificación, no prevé un resultado definitivo, sino que
se basa en probabilidades de que dos caras, o imágenes de caras, correspondan a la
misma persona.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
66/79
La reclamada ha manifestado que autentica a la persona, verifica sus datos, función típica
de los datos biométricos para fines de control, sea de accesos, de presencia, de seguridad
etc. El software utilizado basado en las minucias del dedo sirve, según el manual del
software para identificar o autenticar.
Por otro lado, la alegación de que el cifrado interno de la huella en el mismo momento de la
captura, recibiendo el dato codificado a plantilla cifrada que se almacena contribuye, a la
anonimizacion de datos al separar de manera efectiva la información biométrica de cualquier
otra información identificable, no resulta verosímil. Ello, por cuanto el sistema sigue
permitiendo o confirmando la identificación única de dicha persona, que es para lo que la
reclamada lo utiliza. La anonimizacion supondría en su caso, la aplicación técnica para que
no sea posible identificar ya a las personas, caso en que no sería de aplicación el RGPD. El
considerando 26 del RGPD indica:
“…Por lo tanto, los principios de protección de datos no deben aplicarse a la información
anónima, es decir información que no guarda relación con una persona física identificada o
identificable, ni a los datos convertidos en anónimos de forma que el interesado no sea
identificable, o deje de serlo. En consecuencia, el presente Reglamento no afecta al
tratamiento de dicha información anónima, inclusive con fines estadísticos o de
investigación.”
Una lectura atenta permite obtener una definición de la anonimizacion. Para anonimizar
cualesquiera datos, es necesario eliminar de ellos los elementos suficientes para que no
pueda identificarse al interesado, siendo la anonimización una técnica que se aplica a los
datos personales para obtener una desidentificación irreversible.
Finalmente, el dato biométrico es un dato de carácter personal porque permite identificar al
adquirente cuando es él, el que accede, y por referencia a las entradas que el adquiere,
cualquier usuario que acceda a los parques utilizando las huellas, podría ser igualmente
identificable, contando con que los datos identificadores de la entrada se asignan por el
programa de software de entradas y control de acceso, teniendo dicha finalidad y como
funcionalidades, no es irrazonable y es posible también poder llegar a identificar a ese otro
usuario con datos no directamente por él o ella proporcionados.
Por tanto, hay que valorar la alegación reiterada de la reclamada en cuanto a las
afirmaciones de que el registro y el uso de la huella para los portadores de las entradas no
se asocian a dato personal alguno, ni a los de la persona que adquiere la entrada, siquiera,
de modo que no les identifica per se, ni pueden ser identificables.
Al respecto, se debe indicar:
-La plantilla biométrica utilizada por la reclamada es susceptible de permitir y confirmar la
identificación única para el acceso a los parques, y por tanto trata los datos personales
obtenidos, hay que añadir por la tecnología que la reclamada dispensa a las entradas y a los
accesos a través de ***EMPRESA.3, con su contrato de gestión de reserva de entradas y
control de acceso que utiliza para la explotación de este sistema mediante la integración del
control biométrico, como resulta de su Manual (documento 3) aportado en pruebas,
previsiblemente para obtener de su uso ciertas finalidades que resultan explicadas en dicho
Manual.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
67/79
-Dado que la vigencia de este tipo de entradas es por un tiempo, que puede establecer en la
propia oferta la reclamada, se conoce de 15 días, 6 meses o anual, dispone de los medios
técnicos con el software contratado que permitiría la identificación e identificabilidad de la
persona que ha accedido en una primera ocasión y va a acceder en la segunda, e incluso
una vez agotado el periodo de vigor de la entrada.
Ello resulta que:
-Se asigna a cada entrada un código QR en el ticket que se entrega que porta una
numeración, así como un localizador en las entradas, que se han de pasar antes de la huella
también en el acceso al segundo parque. Este código QR, además de los elementos
insertados en el mismo, el papel impreso lleva un código numérico, una fecha y una hora.
Todo ello controlado por el programa de emisión de reservas y control de acceso.
-Además, la persona que adquiere la entrada registra sus datos en la web, que
también se gestiona por el citado sistema, cuando la adquiere on line las reservas o a través
de una Agencia, y se le envían los tickets al e mail que refiere en su registro. De este modo,
se podría, correlacionar dicho usuario con la persona que accede a través de sus datos, el
día y hora asignado, con el código QR y el localizador, considerando, por lo demás, que la
entrada se adquiere para una fecha y hora especifica que queda guardada en un fichero de
la reclamada, que puede solicitar factura de la compra, quedando también guardado el
momento en que se accede, el espacio o lugar por el que se hace, cuantas entradas están
asociadas a la misma y si entraron en el mismo momento que la que adquirió las entradas, y
el resto de circunstancias que figuran en el manual de software de venta de entradas y
acceso que se refiere en los hechos probados.
Asimismo, los adquirentes de las entradas en la web que dan datos de contacto son
informados que su finalidad es “gestión administrativa: emisión de entradas y control
accesos a los recintos.”, incidiendo en que la compra de la misma guarda relación con dicho
control de accesos.
En este caso, además de lo ya señalado, se podría dar el caso de que otras entidades que
utilizaran un sistema standard de recogida de muestras como el de la reclamada, pudiera
tener plantillas generadas con el mismo algoritmo, asociando además la plantilla a la
identidad de las personas, con lo que igualmente, se estarían tratando datos de carácter
personal, al poder ser identificable.
Contrariamente a lo manifestado por la reclamada, los datos, que se almacenan y usan si
permiten relacionarlos con una persona, al ser datos biométricos de carácter personal y que
además pueden identificar o conseguir hacer identificables a los usuarios que acceden a los
parques, siendo tratados para el fin de confirmar la identidad única del individuo, por lo que
le resultaría de aplicación la normativa del RGPD.
Todo ello, sin perder de vista que se trata de un sistema muy intrusivo para los derechos y
libertades fundamentales de las personas físicas, entre otras circunstancias por el
funcionamiento a través de sistemas de inteligencia artificial que implementan algoritmos
para diseñar y leer la plantilla biométrica, puestos en relación con la deficiencia en las
normas de fabricación de sistemas homologados y certificados del software de uso, añadido
a la extensión e interoperabilidad de uso de estos sistemas.
Siendo las actividades de tratamiento, cada vez más complejas, esto supone implementar
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
68/79
un modelo de cumplimiento denominado “accountability”, “responsabilidad proactiva”, o
“rendición de cuentas”.
El principio de "rendición de cuentas" caracteriza, en términos completamente innovadores,
todo el sistema del RGPD (véanse, además del artículo 5 y, entre otros, los artículos 24 a
25, el artículo 28 y los considerandos 74 y 78).
En efecto, el sistema de protección de datos personales ya no se define sólo como
disposiciones directas y precisas cuya no aplicación conlleva una sanción, sino también
como un objetivo a alcanzar que obliga al responsable a demostrar respeto y conformidad
con el tratamiento de los datos, implementado, a la regulación, mediante la adopción de
políticas internas preventivas y mecanismos adecuados para garantizar dicho cumplimiento;
deben revestir la forma de una serie de actividades específicas y demostrables, destinadas
a garantizar la gestión del riesgo relacionado con el tratamiento de datos personales, hasta
el punto de requerirse que la solicitud de documentar las opciones relativas a la consecución
del objetivo con datos personales se hace explícita.
Este modelo, está orientado a tratamientos y su gestión está basada en el enfoque del
riesgo. El responsable es quien tiene la obligación de garantizar la adopción de medidas
para gestionar el riesgo para los derechos y libertades de los interesados. En caso de
tratamientos de alto riesgo, el RGPD establece que corresponde al responsable del
tratamiento, la obligación de llevar a cabo la EIPD con el asesoramiento, en su caso, del
Delegado de Protección de Datos (DPD) (artículos 35 y 39 RGPD).
Así, con carácter previo a cualquier decisión de implantación de un sistema que implique el
tratamiento de datos biométricos, considerando éste desde el diseño y por defecto, es
indispensable que se realice una gestión del riesgo (art. 24.1 RGPD) y, de conformidad con
lo dispuesto en el artículo 25 del RGPD, protección de datos desde el diseño y por defecto,
se apliquen las medidas técnicas y organizativas apropiadas a fin de cumplir con los
requisitos del RGPD, proteger a los interesados y garantizar y poder demostrar que el
tratamiento es conforme con el RGPD. En tal sentido, al hilo de las alegaciones de la
reclamada, no solo se han de desarrollar o tener en cuenta medidas técnicas relacionadas
con la seguridad, pues incluso antes de comenzar el tratamiento, sobre las distintas
operaciones de tratamiento que integran el mismo se han de tomar medidas sobre el
concepto y el diseño del tratamiento, políticas de protección de datos, de transparencia, de
minimización de datos, medidas organizativas, de personal, etc., junto a las garantías del
riesgo que supone el tratamiento y del elevado riesgo que supone para los derechos y
libertades. También se precisaría un control de cumplimiento y mejora continua relacionada
con el mismo.
En particular, en caso de tratamientos que entrañen alto riesgo, la gestión del riesgo
comprende obligatoriamente elaborar y superar favorablemente una EIPD.
La EIPD deberá, entre otras cuestiones:
1. incluir y superar el triple juicio de idoneidad, necesidad y proporcionalidad
estricta establecido en el art. 35.7.b y también previsto por la doctrina del Tribunal
Constitucional.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
69/79
2. verificar la concurrencia de alguno de los supuestos previstos en el artículo
9.2 del RGPD de modo que no sea de aplicación la prohibición general del
tratamiento de estos datos personales.
3. analizar y concluir que el tratamiento puede llevarse a cabo en aplicación de
alguno de los supuestos de licitud recogidos en el artículo 6 del RGPD.
4. adoptar las medidas técnicas y organizativas apropiadas para evitar que los
riesgos en los derechos y libertades de las personas presentes en un tratamiento de
datos personales se materialicen.
Esas cuestiones relativas a la existencia de legitimación del tratamiento o la excepción que
levante la prohibición del art. 9.2 del RGPD para tratar datos biométricos, deben de
examinarse y considerarse en la EIPD y existen evidencias de que esta última no ha sido
realizada. Es más, en este caso concreto, la reclamada ni siquiera elaboró un documento
con objeto de verificar un análisis mínimo del que se pueda razonar, analizando los
componentes de las operaciones de tratamiento, que no le correspondía realizar dicha
evaluación de impacto, pues ni siquiera asocia valoración alguna de riesgos para los
derechos y deberes fundamentales de los usuarios.
Cabe indicar que toda pérdida de las cualidades de integridad, confidencialidad y
disponibilidad con respecto a las bases de datos donde se almacenan las plantillas sería
claramente perjudicial para cualquier aplicación futura basada en la información contenida
en dichas bases de datos, y causaría asimismo un daño irreparable a los interesados, entre
los que se encuentran menores. Por ejemplo, si las huellas dactilares de una persona
autorizada se asociaran con la identidad de una persona no autorizada, esta última podría
acceder a los servicios de que dispone el propietario de las huellas dactilares, sin tener
derecho a ello. El resultado sería un robo de identidad, que (independientemente de su
detección) quitaría fiabilidad a las huellas dactilares de la persona para futuras aplicaciones
y, en consecuencia, limitaría su libertad. La realidad de la tecnología es que cada día nuevas
formas de ingeniería social generan nuevas vulnerabilidades que aparecen en el marco del
tratamiento donde las operaciones biométricas se sitúan, por lo que es necesario considerar
escenarios de brechas de datos y determinar el impacto que una brecha de datos podría
causar en los derechos y las libertades de los interesados.
Considerando que la reclamada no ha estimado que estuviera efectuando tratamiento de
datos personales con el sistema instaurado, lo que se ha acreditado que no es así, hay que
indicar que la misma plantilla codificada puede ser objeto de ataques que persiguen su
reversibilidad, aunque se encuentre codificada o encriptada. Es necesario conocer la
realidad del tipo de hackeos y brechas en estos sistemas ya se están produciendo y cuáles
podrían determinar la inadecuación de la técnica biométrica o de la biometría en general.
Esto implica una evaluación continua del tratamiento en función de los hechos que se vayan
produciendo Para ello, por ser el tratamiento de datos biométricos considerado de alto
riesgo, se precisaría antes, haber realizado y superado satisfactoriamente un análisis de
riesgos para los derechos y libertades de las personas físicas derivados del tratamiento de
datos personales a través de una Evaluación de Impacto de Protección de Datos (EIPD),
proceso utilizado para reforzar y demostrar el cumplimiento.
VII Tipificación de la infracción
La conducta que refieren los anteriores fundamentos se tipifica en el artículo 83.5 a) del
RGPD que dispone: “Las infracciones de las disposiciones siguientes se sancionarán de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
70/79
acuerdo con el apartado 2, con multas administrativas de 20.000.000 euros como máximo o,
tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de
negocio total anual global del ejercicio financiero anterior, optándose por la de mayor
cuantía:
a) Los principios básicos para el tratamiento, incluidas las condiciones para el
consentimiento a tenor de los artículos 5, 6,7 y 9.”
A los meros efectos de prescripción, el artículo 72 de la LOPDGDD señala:”1. En función de
lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y
prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los
artículos mencionados en aquel y, en particular, las siguientes:
“e) El tratamiento de datos personales de las categorías a las que se refiere el artículo 9 del
Reglamento (UE) 2016/679, sin que concurra alguna de las circunstancias previstas en
dicho precepto y en el artículo 9 de esta ley orgánica.”
Sobre la alegación de la caducidad del expediente, por figurar la fecha de duración en el
acuerdo de inicio como de nueve meses, cuando debía haber figurado de doce meses, la
reclamada ha de comprender que la duración del procedimiento no se deriva de la cita-
posiblemente por error material o de hecho, es una realidad independiente de toda opinión,
criterio o calificación, y figurando en el acuerdo de inicio firmado el 2/10/2023 la expresa
mención del artículo 64 de la LOPDGDD, siendo evidente, indiscutible y manifiesto, no
siendo ni obedeciendo el lapsus a una cuestión jurídica, apreciación o trascendencia de los
hechos, valoración de las pruebas o interpretación de las disposiciones que puedan
establecerse, de acuerdo con la doctrina señalada por la Sentencia del Tribunal Supremo de
4/10/1993 entre otros.
El artículo 64.2, último párrafo de la LOPDGDD es imperativo en ese sentido: “El
procedimiento tendrá una duración máxima de doce meses a contar desde la fecha del
acuerdo de inicio”. Siendo el acuerdo de inicio un acto de aplicación de la normativa vigente
no cabe deducir, sino que seguirá siendo la establecida por la normativa aplicable en el
momento de firmarse el acuerdo de inicio, 2/10/2023. Por tanto, no se pueden dar los
efectos propugnados por la reclamante de caducidad y archivo de actuaciones que se
producirían si se diera efectivamente el supuesto de hecho, que no se da, por lo que la
alegación no puede prosperar.
En cuanto a la nulidad del procedimiento por la causa incluida en el artículo 47.1.e) de la
LPACAP, que menciona: “Los dictados prescindiendo total y absolutamente del
procedimiento legalmente establecido o de las normas que contienen las reglas esenciales
para la formación de la voluntad de los órganos colegiados”, según la reclamada, “al imputar
unos hechos referidos al tratamiento de datos personales en los que no se produce
identificación del usuario, de los que no es responsable, causando indefensión”, cabe
señalar que esta alegación de que se le causa indefensión por iniciarse un procedimiento en
el que no trata datos personales, es una tesis que defiende, pero no puede ser causa de tal
nulidad cuando no concreta como se produce la misma, y se han tenido en cuenta sus
explicaciones y alegaciones sobre el sistema utilizado, que han sido consideradas o
rebatidas argumentándose, sin que ello lleve a indefensión alguna en opinión de la
instrucción.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
71/79
VIII Determinación de la sanción
Los poderes correctivos de los que dispone la Agencia Española de protección de Datos,
como autoridad de control, se establecen en el artículo 58.2 del RGPD. Entre ellos, se
encuentran la potestad de imponer una multa administrativa con arreglo al artículo 83 del
RGPD -artículo 58.2 i)-, o la potestad de ordenar al responsable o encargado del tratamiento
que las operaciones de tratamiento se ajusten a las disposiciones del RGPD, cuando
proceda, de una determinada manera y dentro de un plazo especificado-artículo 58. 2 d).
Según lo dispuesto en el artículo 83.2 del RGPD, la medida prevista en el artículo 58.2 d) del
citado Reglamento es compatible con la sanción consistente en multa administrativa.
La determinación de la sanción que procede imponer en el presente caso exige observar las
previsiones de los artículos 83.1) y .2) del RGPD, preceptos que, respectivamente, disponen
lo siguiente:
“1. Cada autoridad de control garantizará que la imposición de las multas administrativas
con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en
los apartados 4, 5 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias.”
“2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso
individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58,
apartado 2, letras a) a h) y j). Al decidir la imposición de una multa administrativa y su
cuantía en cada caso individual se tendrá debidamente en cuenta:
a) la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza,
alcance o propósito de la operación de tratamiento de que se trate, así como el número de
interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
b) la intencionalidad o negligencia en la infracción;
c) cualquier medida tomada por el responsable o encargado del tratamiento para paliar los
daños y perjuicios sufridos por los interesados;
d) el grado de responsabilidad del responsable o del encargado del tratamiento, habida
cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos
25 y 32;
e) toda infracción anterior cometida por el responsable o el encargado del tratamiento; f) el
grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción
y mitigar los posibles efectos adversos de la infracción;
g) las categorías de los datos de carácter personal afectados por la infracción;
h) la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si
el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
i) cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas
previamente contra el responsable o el encargado de que se trate en relación con el mismo
asunto, el cumplimiento de dichas medidas;
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
72/79
j) la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de
certificación aprobados con arreglo al artículo 42, y
k) cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como
los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a
través de la infracción.”
Dentro de este apartado, la LOPDGDD contempla en su artículo 76, titulado: “Sanciones y
medidas correctivas”:
“1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento
(UE2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos en el
apartado 2 del citado artículo.
2. De acuerdo a lo previsto en el artículo 83.2.k) del Reglamento (UE) 2016/679 también
podrán tenerse en cuenta:
a) El carácter continuado de la infracción.
b) La vinculación de la actividad del infractor con la realización de tratamientos de datos
personales.
c) Los beneficios obtenidos como consecuencia de la comisión de la infracción.
d) La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la
infracción.
e) La existencia de un proceso de fusión por absorción posterior a la comisión de la
infracción, que no puede imputarse a la entidad absorbente.
f) La afectación a los derechos de los menores.
g) Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
h) El sometimiento por parte del responsable o encargado, con carácter voluntario, a
mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que
existan controversias entre aquellos y cualquier interesado.”
3. Será posible, complementaria o alternativamente, la adopción, cuando proceda, de las
restantes medidas correctivas a las que se refiere el artículo 83.2 del Reglamento (UE)
2016/679.”
Indica el considerando (148) A fin de reforzar la aplicación de las normas del presente
Reglamento, cualquier infracción de este debe ser castigada con sanciones, incluidas
multas administrativas […]. Debe no obstante prestarse especial atención a la naturaleza,
gravedad y duración de la infracción, a su carácter intencional, a las medidas tomadas para
paliar los daños y perjuicios sufridos, al grado de responsabilidad o a cualquier infracción
anterior pertinente, a la forma en que la autoridad de control haya tenido conocimiento de la
infracción, al cumplimiento de medidas ordenadas contra el responsable o encargado, a la
adhesión a códigos de conducta y a cualquier otra circunstancia agravante o atenuante.
[…]»
De acuerdo con los preceptos transcritos, a efectos de fijar el importe de las sanciones de
multas a imponer en el presente caso, de la que se responsabiliza a la reclamada, para la
infracción del artículo 9.1 del RGPD, se estiman concurrentes las siguientes circunstancias:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
73/79
-83.2.a) del RGPD” la naturaleza, gravedad y duración de la infracción, teniendo en cuenta
la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como
el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;”
La reclamada es titular de parques temáticos abiertos al público con una afluencia de
personas variada, usualmente público que acude toda la familia y constante durante todo el
año, y recoge datos de carácter personal, entre ellos los de menores, afectando a todas
ellas. La naturaleza del tratamiento viene de una prestadora de servicios de ocio, como un
servicio de entretenimiento lúdico y cultural que es el acceso a los parques, y que no
otorgaba ni consta que otorgue alternativa al uso del sistema biométrico en el acceso al
menos con este tipo de ticket.
El alcance es de todas las personas, que acceden a los parques, incluyendo menores, y
durante todo el tiempo, desde al menos agosto 2022, sin que figure que se haya
interrumpido por la recepción de las reclamaciones o tramitación de este procedimiento.
Además, en aquellos momentos no figuraba información alguna sobre el uso de tal sistema,
sin que hubiera expectativa razonable de tal uso. Los afectados son conscientes de que se
les compele a proporcionar tales datos, y están siendo almacenados, pero aun preguntando
al responsable del establecimiento, no se les orienta en modo alguno de quién está
recopilando sus datos y cómo se usarán, encontrándose en la disyuntiva frente a la
ausencia total de información, una vez en la puerta del establecimiento, de dar los datos
para acceder o ignorar la importancia de sus derechos que se ven vulnerados, por lo que
procede la imposición de sanción administrativa de multa.
Asimismo, el tratamiento de datos de menores sobre el que el RGPD especifica que
requieren una protección especifica, como colectivo vulnerable, cualifican también la
naturaleza y el grado muy grave de la antijuridicidad de la infracción.
-83.2 b) “la intencionalidad o negligencia en la infracción”. No se tiene constancia de que la
entidad haya obrado dolosamente, aunque la actuación revela una grave y significativa falta
de diligencia en su conducta que ha de agravar la infracción por su antijuridicidad por la
ausencia total del deber exigible. A este respecto, se tiene en cuenta lo declarado en
Sentencia de la Audiencia Nacional de 17/10/2007 (rec. 63/2006) que, partiendo de que se
trata de entidades cuya actividad lleva aparejado en continuo tratamiento de datos, indica
que “…el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se
desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la
diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse
especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora
examinado, cuando la actividad de la recurrente es de constante y abundante manejo de
datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a
las prevenciones legales al respecto”. La reclamada, tuvo con la anterior LOPD un fichero
inscrito de huellas dactilares supuestamente utilizado para las mismas finalidades, que
entonces, aparentemente si podían contener datos personales, al estar declarado, y en este
expediente manifestó de inicio su exclusión de la aplicación del RGPD, sin haber aportado
informe técnico alguno, que contrasta con la afirmación de que su sistema de accesos es
respetuoso con el RGPD y la LOPDGDD, cuando la finalidad este sistema podría haber sido
alcanzada de manera menos intrusiva con medidas eficaces alternativas.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
74/79
A la reclamada se le exigiría un mínimo de atención al sistema implantado de accesos, que
parece utiliza en otros tipos de entradas, y no cuidó ni se preocupó de efectuar una
valoración que tuviera todos los elementos en cuenta para dirimir el grado de afectación de
los derechos en liza junto con la tecnología y los riesgos de los datos personales que forman
parte de un derecho fundamental de los usuarios, incluidos menores de edad, versus la
necesidad o las alternativas que existen para verificar los pases de visitantes de los
parques. El grado de culpabilidad, si bien no se puede describir abiertamente como
intencionado, tampoco es una mera negligencia, considerándose una grave falta de
diligencia.
Sobre la alegación de la reclamada que recoge huellas biométricas, muestras dactilares, de
menores, ella lo ha reconocido y existen evidencias en el procedimiento de que así es
(hechos probados primero, sexto y décimo tercero). Añade la reclamada que esos datos,
como los que recaba para los accesos, no son datos personales por no contener ni
obtenerse la identidad de la persona titular o no ser identificable la misma. A este respecto,
se ha de cuestionar en primer lugar la necesidad y proporcionalidad de implantar la medida,
debiendo preverse mecanismos alternativos de uso dada la inmadurez de los menores para
comprender y ejercer sus derechos. Por otro lado, en este caso, el menor queda
singularizado de forma única, con un fin que se cumple por cuanto lleva operativo como
mínimo desde la fecha de las reclamaciones, consiguiendo con el uso de sus datos
biométricos la creación en una base de datos de sus plantillas biométricas para acceder a
una instalación de ocio y entretenimiento.
Sobre la alegación de ausencia de culpabilidad, y que “adoptó todos los medios a su
alcance para conseguir no tener dato personal alguno de los clientes que usan dicho
producto”, o que XELIOS les “garantizó que no se trabajaba con huellas sino con
representaciones matemáticas”, en este supuesto, no cabe considerar lo que se pretendía
sino lo que se ha producido y llevado a cabo y ha tenido sus efectos, no desde hace poco
tiempo.
El Tribunal Supremo en sentencia de 23/10/2010 -recurso nº. 1.067/2006-, señala
que, "aunque la culpabilidad de la conducta debe también ser objeto de prueba, debe
considerarse en orden a la asunción de la correspondiente carga, que ordinariamente los
elementos volitivos y cognoscitivos necesarios para apreciar aquélla forman parte de la
conducta típica probada, y que su exclusión requiere que se acredite la ausencia de tales
elementos, o en su vertiente normativa, que se ha empleado la diligencia que era exigible
por quien aduce su inexistencia; no basta, en suma, para la exculpación frente a un
comportamiento típicamente antijurídico la invocación de la ausencia de culpa".
La actuación culpable o negligente se considera que existe y aparece motivada,
considerando además que la materia objeto de sanción está relacionada con los derechos
de las personas frente al uso impuesto de manera unilateral, sin atender consideraciones
normativas ni de riesgos para los derechos y libertades de los afectados.
Sobre la alegación de la reclamada de que se ha de contemplar la aplicación del principio de
proporcionalidad y criterios de graduación señalados en el artículo 29.3 de la LRJSP. A este
respecto, se ha de precisar que, en esta materia, la determinación de la normativa aplicable,
LOPDGDD, artículo 76, párrafo 1: “Las sanciones previstas en los apartados 4, 5 y 6 del
artículo 83 del Reglamento (UE) 2016/679 se aplicarán teniendo en cuenta los criterios de
graduación establecidos en el apartado 2 del citado artículo”. El artículo 83.2.1 ("Cada
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
75/79
autoridad de control garantizará que la imposición de las multas administrativas con arreglo
al presente artículo por las infracciones del presente Reglamento indicadas en los apartados
4, 5 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias"), añadiendo
en el apartado 2 los criterios a tener en cuenta; por su parte, el artículo 76.2 b) especifica los
factores atenuantes o agravantes a tener en cuenta, conforme al artículo 83.2 k) RGPD.
También la interpretación que al respecto hacen diversas sentencias del TJUE, inciden en el
mismo sentido. Sirva como ejemplo, la de 5/12/2023, asunto C-683/2021, que indicaba
sobre los requisitos materiales que debe cumplir una autoridad de control cuando decide
imponer una multa administrativa a un responsable por una infracción indicada en los
artículos 4 a 6 de dicho artículo, que nada indica en el artículo 83. apartados 1 a 6 que el
legislador haya pretendido dejar dicho margen a los Estados miembros. Finaliza indicando
que estos requisitos pertenecen únicamente al ámbito del derecho de la Unión (apartados
61 a 71).
Esta aplicación del RGPD es respetuosa con los principios que se mencionan en el citado
artículo 29.3 de la LRJSP, contando además con cuál de los principios que lo componen
estimaría la reclamada que ha sido vulnerado.
En este sentido, no se aprecia incongruencia con la entidad de la infracción cometida y las
circunstancias del hecho conocidas, el grado de antijuridicidad y la actitud de la reclamada
conocidas las reclamaciones y a lo largo de la tramitación del presente procedimiento.
Por lo demás la proporcionalidad sancionadora se entiende como la adecuación, según
criterios de justicia y equidad, entre los hechos objeto del tipo infractor y la determinación
de la sanción aplicable, teniendo en cuenta la intensidad de la culpa interviniente, esto es
el grado de intencionalidad, descuido o negligencia que revele la conducta. Y desde luego,
se exige una motivación sobre el juicio de intensidad de la culpa interviniente, que aquí ha
sido detallada. Asimismo, considerando que dicha cuantía podría ascender de conformidad
con el artículo 83.5.a) del RGPD que prevé para la infracción del artículo 9 del RGPD multas
administrativas de 20.000.000 € como máximo o, tratándose de una empresa, de una
cuantía equivalente al 4% como máximo del volumen de negocio total anual global del
ejercicio financiero anterior, optándose por la de mayor cuantía, y constando un importe neto
de cifra de negocios de (…) euros en 2021, último ejercicio presentado.
Finalmente, señala la reclamada que se ha imputado un hecho ilícito sin prueba suficiente,
demostrándolo por pedir en pruebas diversos documentos e información, poniendo la carga
probatoria de los hechos imputados sobre la investigada.
Al respecto cabe señalar que desde el inicio se dieron respuestas a las explicaciones que no
contenían un mínimo de razonabilidad, de acuerdo con la importancia del asunto,
considerando que iba a ser suficiente remitir la cuestión a los ficheros inscritos en 2010,
obligación declarativa que queda reemplazada a partir del 25/05/2018, fecha en que entra
en vigor el RGPD, por la obligación de elaborar un registro de actividades de tratamiento
que deberá contener la información señalada en el artículo 30 del citado Reglamento.
Asimismo, el RGPD establece un catálogo de las medidas que los responsables, y en
ocasiones los encargados, deben aplicar para garantizar que los tratamientos son
conformes al citado RGPD, así como que están en condiciones de demostrarlo.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
76/79
Estas medidas de responsabilidad proactiva son las siguientes:
1. Análisis de riesgo.
2. Protección de datos desde el diseño y por defecto.
3. Adopción de medidas de seguridad.
4. Notificaciones de "violaciones de seguridad de los datos"
5. Evaluaciones de impacto sobre la protección de datos.
6. Nombramiento del Delegado de Protección de Datos.
Ello dio lugar a que se ha tenido que solicitar expresamente información en actuaciones
previas para comprender la arquitectura del sistema de reconocimiento biométrico
implantado que afectaría masivamente a todas las personas que acceden a sus
establecimientos, dado además que todos los tickets que expiden son no nominativos y el
proceso con dato biométrico que se analiza para el acceso en este expediente se da en
otros tipos de entradas. No obstante, se ha de indicar que no se invierte la carga de la
prueba por el hecho de solicitar pruebas, para mejor comprender el funcionamiento del
sistema en el que están imbricados aspectos variados que suponen matices que pueden
contribuir a una comprensión de la implantación de dicho sistema. Se conviene así, que
cuando se dicta el acuerdo de inicio existe base suficiente que puede sustentar de principio
la tramitación de la infracción de la conducta puesta de manifiesto por al menos tres
usuarios del sistema.
Por tales circunstancias, se estima, correspondería una sanción de 250.000 euros, que no
conculca la proporcionalidad en relación con la gravedad de la infracción cometida y entidad
de los hechos, sin que se aprecien motivos que amparen alguna atenuación.
IX Adopción de otras medidas correctivas
Como señala el artículo 83.2 del RGPD: “Las multas administrativas se impondrán, en
función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las
medidas contempladas en el artículo 58, apartado 2, letras a) a h) y j).”
Procede imponer al responsable la adopción de medidas adecuadas para ajustar su
actuación a la normativa mencionada en este acto, de acuerdo con lo establecido en el
citado artículo 58.1 del RGPD, que señala:
“Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados
a continuación:
“d) ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento
se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una
determinada manera y dentro de un plazo especificado;”
f) imponer una limitación temporal o definitiva del tratamiento, incluida su prohibición;
[…]”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
77/79
En la propuesta de resolución se indicaba que: “La reclamada, continúa utilizando la huella
dactilar sin base legitimadora, sin adecuarse a las exigencias que prevé el RGPD para los
datos biométricos, como serían, entre otras cuestiones, la elaboración y superación de una
EIPD o la elaboración del RAT, cuyos requisitos de cumplimiento según lo desarrollado, irían
más allá del cumplimiento de dicha excepción que levanta la prohibición en cuanto a base
legitimadora para su tratamiento que afecta a los datos biométricos como datos de carácter
especial con tratamiento prohibido excepto en determinados supuestos.
Se considera pues, con el fin de garantizar los derechos y libertades de los titulares de los
datos, que no hay que olvidar, incluye a menores, que concurre la necesidad y justificación
de adoptar poderes correctivos que se determinan adecuados y proporcionales para la
protección de los derechos de los usuarios de los parques en los que la reclamada con la
entrada TT utiliza el sistema biométrico aquí analizado.
Atendiendo a que pueden existir alternativas a dicho uso más proporcionales a los fines, se
opta por disponer la prohibición del tratamiento de datos analizado.”
Se concretaba en la propuesta la medida en: “ORDENAR a LORO PARQUE, S.A., con NIF
A38009023, que, en virtud del artículo 58.2.f) del RGPD, que en el plazo de 30 días desde
que la resolución que ponga fin a este procedimiento sea ejecutiva, acredite haber
procedido al cumplimiento de la medida del fundamento de derecho VIII, concretada en la
prohibición del tratamiento de datos analizado”.
En alegaciones a la propuesta, la reclamada manifestó que ha cesado el uso del sistema de
control de acceso para las entradas tipo TWIN TICKET a que se refiere el presente
procedimiento, sin indicar en que ha consistido el nuevo sistema, “que no pudo habilitarse
de la noche a la mañana”, sin certificar ninguno de los aspectos, ni en que se basarían estos
nuevos controles de acceso, desconociéndose si los datos biométricos juegan algún papel
en el sistema puesto en marcha. Al no acreditarse que se haya dejado de utilizar el sistema
analizado, resulta imperativa la imposición de la medida correctiva con vistas a verificar el
exacto cumplimento de la limitación definitiva del tratamiento analizado.
Se advierte que no atender la orden de adopción de medidas impuestas a podrá ser
considerado como una infracción administrativa conforme a lo dispuesto en el RGPD,
tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la
apertura de un ulterior procedimiento administrativo sancionador.
Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación
de las sanciones cuya existencia ha quedado acreditada,
la Directora de la Agencia Española de Protección de Datos
RESUELVE:
PRIMERO: IMPONER a LORO PARQUE, S.A., con NIF A38009023, por una infracción del
artículo 9 del RGPD, tipificada en el artículo 83.5 a) del RGPD, y calificada como muy grave
a los solos efectos de la prescripción de dicha infracción, en el artículo 72.1.e) de la
LOPDGDD, una multa de 250.000 euros,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
78/79
SEGUNDO: ORDENAR a LORO PARQUE, S.A., con NIF A38009023, que, en virtud del
artículo 58.2.f) del RGPD, que en el plazo de 30 días desde que la resolución que ponga fin
a este procedimiento sea ejecutiva, acredite haber procedido al cumplimiento de la medida
del fundamento de derecho IX, concretada en la prohibición del tratamiento de datos
analizado.
TERCERO: NOTIFICAR la presente resolución a LORO PARQUE, S.A.
CUARTO: Esta resolución será ejecutiva una vez finalice el plazo para interponer el recurso
potestativo de reposición (un mes a contar desde el día siguiente a la notificación de esta
resolución) sin que el interesado haya hecho uso de esta facultad. Se advierte al sancionado
que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea
ejecutiva, de conformidad con lo dispuesto en el art. 98.1.b) de la LPACAP, en el plazo de
pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado
por Real Decreto 939/2005, de 29/07, en relación con el art. 62 de la Ley 58/2003, de 17/12,
mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que
figura en el encabezamiento de este documento, en la cuenta restringida nº IBAN: ES00-
0000-0000-0000-0000-0000 (BIC/Código SWIFT: CAIXESBBXXX), abierta a nombre de la
Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En
caso contrario, se procederá a su recaudación en período ejecutivo.
Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los
días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será
hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días
16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo
mes siguiente o inmediato hábil posterior.
De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución
se hará pública una vez haya sido notificada a los interesados.
Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la
LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los
interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de
la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día
siguiente a la notificación de esta resolución o directamente recurso contencioso
administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con
arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta
de la Ley 29/1998, de 13/07, reguladora de la Jurisdicción Contencioso-administrativa, en el
plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo
previsto en el artículo 46.1 de la referida Ley.
Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la LPACAP, se podrá
suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta
su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el
interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia
Española de Protección de Datos, presentándolo a través del Registro Electrónico de la
Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los
restantes registros previstos en el art. 16.4 de la citada LPACAP. También deberá trasladar a
la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-
administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
79/79
contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación
de la presente resolución, daría por finalizada la suspensión cautelar.
938-16012024
Mar España Martí
Directora de la Agencia Española de Protección de Datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es