1/128
Expediente N.º: EXP202212956
RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR
ANTECEDENTES..........................................................................................................2
PRIMERO: Recepción de denuncia de 22/11/2022....................................................2
SEGUNDO: Acuerdo de Directora de inicio de actuaciones previas de investigación.
................................................................................................................................... 3
TERCERO: Primer requerimiento a C.A. OSASUNA en el curso de las actuaciones
previas de investigación.............................................................................................3
CUARTO: Segundo requerimiento a C.A.OSASUNA en el curso de las actuaciones
previas de investigación...........................................................................................25
QUINTO: Incorporación de documentación en las actuaciones previas de
investigación............................................................................................................. 41
SEXTO: Breve análisis de la EIPD aportada por C.A.OSASUNA en actuaciones
previas de investigación...........................................................................................50
SÉPTIMO: Acuerdo de inicio de 4/12/2023..............................................................51
OCTAVO: Envío de copia del expediente.................................................................52
NOVENO: Alegaciones al acuerdo de inicio de 28/12/2023.....................................52
DÉCIMO: Propuesta de resolución de 30/10/2024 y alegaciones............................62
DÉCIMO PRIMERO: Alegaciones a la propuesta.....................................................62
HECHOS PROBADOS................................................................................................70
PRIMERO:............................................................................................................... 70
SEGUNDO:.............................................................................................................. 70
TERCERO:............................................................................................................... 70
CUARTO:................................................................................................................. 71
QUINTO:.................................................................................................................. 71
SEXTO:.................................................................................................................... 72
SÉPTIMO:................................................................................................................ 74
OCTAVO:.................................................................................................................. 75
NOVENO:................................................................................................................. 75
DÉCIMO:.................................................................................................................. 76
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
2/128
DÉCIMO PRIMERO:................................................................................................76
DÉCIMO SEGUNDO:...............................................................................................77
FUNDAMENTOS DE DERECHO.................................................................................77
I Competencia.......................................................................................................77
II Definición de datos de carácter personal y de datos biométricos.......................78
III Normativa sobre control de entradas y de acceso a los estadios......................86
IV Diferencias en los tratamientos de datos para acceso al estadio.....................91
V Examen de la necesidad y proporcionalidad.....................................................92
VI Tratamiento de datos biométricos: excepción del artículo 9 del RGPD, y base
legitimadora del artículo 6 del RGPD..................................................................103
VII Respuesta a las alegaciones de C.A. OSASUNA..........................................106
VIII Calificación y Tipificación de las infracciones................................................116
IX Determinación de las sanciones.....................................................................117
X Poderes correctivos.........................................................................................122
RESUELVE:............................................................................................................... 125
Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a
los siguientes
ANTECEDENTES
PRIMERO: Recepción de denuncia de 22/11/2022
Con fecha 22/11/2022, se recibió en esta AEPD una denuncia (en adelante, la parte
denunciante) contra CLUB ATLÉTICO OSASUNA con NIF G31080179 (en adelante, C.A.
OSASUNA). Los motivos en que basa la denuncia son que C.A. OSASUNA instauró en abril
2022 un sistema biométrico de reconocimiento facial (SBRF en lo sucesivo) para el acceso
de los espectadores a su estadio El Sadar.
Acompaña la nota de prensa publicada el 22/05/2022 por elespañol.com, en:
https://www.elespanol.com/invertia/disruptores-
innovadores/innovadores/tecnologicas/20220522/accesos-rapidos-seguros-sistema-
reconocimiento-laliga-operativo/673682724_0.html.
En resumen, la noticia señala que ha sido un proceso en el que desde el principio han
contado con la participación de La Liga, como encargada de la gestión de los accesos en los
estadios de Primera y Segunda División, de las tres formas que hasta ahora existían para
acceder al estadio y que el proceso, disponible de momento para los socios que se den de
alta a través de la web, sería una forma de acceso opcional al estadio.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
3/128
La denunciante indica que se restringen libertades y derechos fundamentales cuya falta de
proporcionalidad no hace legítimo el tratamiento, ni siquiera con un eventual consentimiento
asociado a su implantación.
SEGUNDO: Acuerdo de Directora de inicio de actuaciones previas de investigación.
Como consecuencia de la denuncia y la noticia aparecida en prensa, la Directora de la
Agencia Española de Protección de Datos remite escrito el 5/12/2022 a la Subdirección
General de Inspección de Datos, para que se realicen de oficio de actuaciones previas de
inspección con objeto de verificar la adecuada observancia de la normativa.
TERCERO: Primer requerimiento a C.A. OSASUNA en el curso de las actuaciones previas
de investigación.
La Subdirección General de Inspección de Datos procedió a la realización de actuaciones
previas de investigación AI/00417/2022 para el esclarecimiento de los hechos en cuestión,
en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los
poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General
de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el
Título VII, Capítulo I, Sección segunda, de la LOPDGDD. Con fecha 14/02/2023, se solicitó
al C.A. OSASUNA, que aportase información “relativa al tratamiento de datos biométricos
referido en las noticias publicadas en medios de comunicación”.
Por otro lado, se ha de señalar, además, que, en ese momento, se estaban llevando a cabo
otras actuaciones (expediente número EXP202213792) en las cuales se investigaba
(AI/00444/2022) la situación en cuanto a la utilización de sistemas biométricos para el
acceso a los estadios.
En las actuaciones del presente caso, con fecha 13/03/2023, como información previa,
manifiesta C.A.OSASUNA que “la Solución o Sistema de Reconocimiento Facial” (SBRF en
lo sucesivo) instaurado, permite facilitar el control de acceso al estadio El Sadar y no se
configura como obligatoria, siendo un modo complementario de los restantes procedimientos
establecidos por el Club para la admisión y control de acceso al recinto actualmente
existentes, pudiendo aquellos elegir entre los distintos métodos de acceso disponibles.
C.A. OSASUNA formalizó contratos con DAS-GATE ACCESSS CONTROL SOLUTIONS SL,
(DAS-GATE en lo sucesivo) proveedor de los servicios tecnológicos que, mediante el uso de
la tecnología biométrica generada a su vez por VERIDAS DIGITAL AUTHENTICATION
SOLUTIONS, S.L (en adelante, “VERIDAS”), desarrolló el Sistema.
Con carácter previo a la puesta en funcionamiento de la Solución, realizaron entre los meses
de noviembre de 2021 y febrero de 2022, una Evaluación de Impacto relativa a la protección
de datos (en adelante, EIPD) siendo la versión definitiva de la misma, de 4/02/2022, que se
adjunta como DOCUMENTO 1, cuyo resumen relacionado con la esencia del asunto, se
resume en el último de los HECHOS.
Determinación, para cada una de las actividades que involucran el tratamiento de datos
biométricos, de:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
4/128
1.1. Fechas en que se iniciaron y, en su caso, fecha de finalización.
Respondió C.A. OSASUNA, que en fecha 10/04/2022, se llevó a cabo una prueba piloto del
sistema.
Se adjunta, como DOCUMENTO 2, el anuncio de la puesta en funcionamiento del Sistema
el próximo domingo en: “noticia-comunicado oficial de 5/04/2022”. Se informa que va a ser el
primer club de La Liga en permitir el acceso a su estadio mediante reconocimiento facial,
como manera rápida, cómoda y segura, sin necesidad de portar el abono físico,
- “abriéndose el torno en un proceso que dura menos de un segundo”,
- “será el aficionado el que escoja como entrar al estadio, teniendo siempre la opción de
usar el carnet físico, el abono digital en su teléfono móvil o bien el acceso biométrico”, -“…
siguiendo el protocolo marcado por La Liga, se habilitará un primer torno con acceso
biométrico en la puerta 7 del estadio”, “Inicialmente solo los socios que accedan por la
puerta 7 recibirán el enlace para darse de alta”.
- “el registro del usuario se puede completar a través del teléfono móvil, siguiendo los pasos
que irá indicando el sistema y realizando una fotografía tanto del carnet de socio como del
DNI.” “Una vez completado el proceso de alta, el sistema reconocerá ya al socio en todos
los partidos de la temporada sin necesidad de repetir el proceso”.
Manifestó C.A. OSASUNA que, con ocasión del siguiente encuentro, el 22/04/2022, se
amplió el número de puertas de acceso que disponen de terminales para el funcionamiento
del Sistema, en las puertas 3, 8, 10, 11, 16, 21 y 27, hasta completar así las ocho puertas
inicialmente previstas. (Habiéndose habilitado UNO de los tornos de cada puerta para ello.
Para emplearlo, hay que registrarse previamente).
Se adjunta, como DOCUMENTO NÚMERO 3, “newsletter” que C.A. OSASUNA manifiesta
remitió a los socios el 9/04/2022, con información entre la que consta también que” El
registro no impide que accedas el día que quieras con tu tarjeta física o con el abono en el
móvil”, o que el SBRF “te permitirá acceder, aunque te hayas olvidado tu carnet, ya que no
necesitaras llevarlo encima para entrar”. Se incluye DOCUMENTO 4, newsletter que C.A.
OSASUNA declara remitió a los socios el 18/04/2022 que contiene infografía sobre la
explicación del registro y los mensajes que aparecen en el dispositivo. Figura una pestaña
de enlace para iniciar el proceso de activación (paso 1) (landing page de registro), “accede
al siguiente enlace, para iniciar el proceso de activación”-Activar (en la pestaña) viéndose
los pasos:
2 “inicia el proceso y acepta los términos y condiciones del tratamiento de tus datos”, con un
dibujo de un dispositivo móvil que figura en todos los pasos, y “digitalización del abono-
comenzar digitalización”.
3 “Introduce tu DNI y tu dirección de correo electrónico para comenzar el proceso”. Se
visiona la pantalla de “introduce tus datos”, el primer recuadro para escribir el número del
DNI incluyendo letra, el siguiente recuadro para el email, y dos casillas a marcar:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
5/128
Una primera: “consiento de forma expresa el tratamiento de mis datos personales
incluida mi imagen para la generación de un vector facial mediante un sistema de
inteligencia artificial que permite mi identificación en el momento de acceso al estadio”.
Una segunda: “he leído y acepto la Política de Privacidad “, con Política de
Privacidad remarcado para hacer link.
Debajo de la segunda casilla, para marcarse, una tecla de: COMENZAR, y otra de Cancelar.
4.”Captura una foto del código QR de tu abono de socio del club” En el dispositivo móvil con
el que se lleva a cabo la operación figura el espacio para “Escanea QR de tu abono.
Encuadra el QR de tu abono en el cuadrado para que la cámara lo escanee”
5.”Captura una foto de tu DNI por delante y por detrás”.” Encaje el anverso de su DNI en el
recuadro”.
6 “Hazte un selfie” “coloca tu cara en el óvalo y realiza los movimientos que se indican”.
7 “El sistema verifica que la fotografía de tu DNI coincide con los rasgos y la identidad de la
persona que se ha realizado el selfie”, sale en pantalla del dispositivo móvil un mensaje de
que “Ya casi está...” con un mensaje de que se está preparando lo necesario para poder
acceder al estadio con SBRF.
8 “El sistema verifica que los datos aportados coinciden con los del abonado que se está
registrando en el sistema e informa sobre si el proceso se ha realizado correctamente” “el
proceso se ha completado con éxito”.” En tu puerta de acceso habitual encontrarás
debidamente señalizados los tornos de acceso rápido con reconocimiento facial.”
Manifiesta C.A. OSASUNA que existe información de “PREGUNTAS Y RESPUESTAS en
torno al nuevo sistema de acceso al estadio El Sadar” disponible desde la web del Club, que
aporta como DOCUMENTO 5.
En él, se aprecia, que no lleva fecha, pero se informa que el nuevo sistema estará disponible
para la puerta 7 en el partido del 10/04, y que para el próximo partido del 20/04 hasta el final
de temporada se habilitaran tornos de acceso por SBRF en otras puertas.
Se aprecia también que indica entre otros aspectos, que “al proceso de activación puede
accederse desde este enlace https://osasuna-socios.app.das-gate.com/”, y que el proceso
de activación se necesita “su móvil, su abono de Osasuna y su DNI”. En “¿Cómo activar el
acceso con DAS-GATE?”, también refiere la Tablet u ordenador, accediendo a la página web
www.osasuna.es “donde encontraras un comunicado con la información del sistema y un
botón para iniciar el proceso de activación, https://osasuna-socios.app.das-gate.com/
coincidiendo las explicaciones con el DOCUMENTO 4, ya visto.
Se reitera: “podré seguir accediendo con mi abono? Si, siempre vas a poder elegir como
poder acceder al estadio. El acceso con DAS-GATE es solo una opción más de las que
tienes disponibles para entrar a El Sadar” y que “el nuevo sistema será opcional y voluntario,
manteniéndose disponibles el resto de las modalidades de acceso que se han venido
utilizando hasta ahora”, “siempre vas a poder elegir como acceder al estadio”. También se
informa que “puedes darte de baja en cualquier momento desde el área de usuario, en
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
6/128
cancelar cuenta.”, así como de la gestión por parte de DAS-GATE y que han realizado una
EIPD.
En “¿qué ventajas aporta?”, se indica entre otras, que “este tipo de accesos permite
controlar que eres tú quien utiliza el abono. Disfrutar del partido con la tranquilidad de que
todas las personas presentes cuentan con los permisos pertinentes es un beneficio para
todos”, y “Este nuevo sistema de acceso cumple estrictamente con el Reglamento General
de Proteccion de Datos y está avalado por la Liga”.
Manifiesta C.A. OSASUNA sobre la fecha de finalización que: “Considerando el objetivo del
Sistema de facilitar el acceso biométrico al estadio a aquellos aficionados que libremente lo
deseen, no existe una fecha de finalización del tratamiento preestablecida”.
1.2 Finalidades y bases de legitimación de las actividades de tratamiento (art. 6 RGPD). En
su caso, causas del levantamiento de la prohibición general de tratamiento de categorías
especiales de datos personales (art. 9 RGPD).
Reitera que:
-El Sistema ofrece a sus aficionados un método complementario de acceso al estadio
a los actualmente existentes (y que pueden seguir siendo libremente empleados por los
aficionados), consistente en el reconocimiento de vectores biométricos de aquellos
abonados del Club que deseen hacer uso del Sistema, en lugar de los derivados de otros
medios convencionales como, por ejemplo, la lectura del código QR de la tarjeta de abonado
o el chip NFC. En ningún caso, los socios estarán obligados al uso del Sistema para poder
acceder al recinto.
- “incluso cuando un abonado se hubiera dado de alta en el Sistema, éste podrá
decidir en cada encuentro al que asista el medio de acceso al estadio que considere
oportuno, pudiendo optar por el reconocimiento biométrico o por cualquiera de los restantes
procedimientos o métodos de acceso que C.A. OSASUNA pone a su disposición.
-el usuario podrá, en cualquier momento y de forma inmediata, revocar el
consentimiento prestado, tal y como se indicará en otro lugar del presente documento.”
Manifiesta que:
-“La finalidad del tratamiento es la de garantizar a los aficionados de Osasuna que así lo
hayan decidido libremente el acceso al estadio mediante el reconocimiento facial, como
alternativa no excluyente, a los distintos medios de acceso puestos por el Club a su
disposición.
-“En primer lugar, se requiere en todo caso el consentimiento específico y libre para que el
usuario pueda darse de alta en el Sistema, de forma que los abonados son enteramente
libres para no hacerlo, pudiendo seguir utilizando los restantes medios de acceso puestos a
su disposición por el Club, en los mismos términos en que lo venían haciendo hasta ahora.
Para ello, se desarrollan dos actividades de tratamiento:
● La relacionada con el alta y verificación de la identidad del usuario por el Sistema, a fin
de incluirle en el mismo y generar su vector biométrico.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
7/128
● La referida al correspondiente control biométrico de acceso al estadio en el momento de
celebración de cada evento, mediante su identificación en el Sistema.“
-“En lo que respecta a la base de legitimación para el tratamiento, analizó, en primer lugar,
la aplicabilidad al Sistema de lo dispuesto en el artículo 9 del RGPD, teniendo en cuenta que
el mismo implica el tratamiento de datos personales biométricos con finalidades
identificativas (1:N). Este análisis concluyó en la aplicabilidad de dicho precepto, por lo que,
junto con la concurrencia de una de las bases jurídicas previstas en el artículo 6.1 del
RGPD, era preciso que fuera aplicable al mismo una de las excepciones a la prohibición
prevista en el artículo 9.2 del RGPD.”
Como se ha indicado, el uso del Sistema se constituye como una opción por la que los
aficionados podrán optar de forma libre y completamente voluntaria. Por este motivo, dado
que sólo se procederá al tratamiento de los datos de los interesados que así lo soliciten, sin
condicionar dicha autorización el acceso al estadio, el tratamiento se ampara en lo dispuesto
en los artículos 9.2 a) y 6.1 a) del RGPD, es decir, en el consentimiento explícito del
interesado a la realización del tratamiento de sus datos biométricos.”
La EIPD aportada, analiza la concurrencia de los requisitos exigidos para la validez del
consentimiento en su apartado 5.2.3 (en particular, su carácter de manifestación de voluntad
libre, específica, informada e inequívoca), así como la viabilidad de esta base de
legitimación en el tratamiento de datos biométricos, concluyendo en la validez de dicha base
jurídica.”
Literalmente, señala la EIPD, dentro del apartado 5 “Base jurídica del consentimiento”, tras
indicar que el consentimiento ha de ser lícito para lo cual se requiere que cumpla una de las
bases jurídicas del artículo 6.1 del RGPD, pasa a analizar si puede darse alguna causa que
levante la prohibición del tratamiento, por ser dato especial, “dado que solo en caso de que
sea aplicable alguna de las prohibiciones alcanzaría sentido el estudio de la base jurídica
del tratamiento”.
En el siguiente apartado de la EIPD, 5.2.1, especifica que “la aplicación de técnicas de
reconocimiento facial para la identificación biométrica, y el consiguiente tratamiento de los
datos personales identificativos del interesado vinculados a su patrón facial, o simplemente
de este último, ha sido habitualmente objeto de análisis en el marco de la actuación de la
vigilancia y seguridad públicas.
Por ello, al fundarse dicha vigilancia en sistemas que no permiten discriminar usuarios (es
decir, se produce la recogida del patrón facial de todas las personas que se exponen a la
grabación o recogida de los datos por un determinado dispositivo) no se analiza en esos
casos el consentimiento como base jurídica del tratamiento, al no ser posible su obtención o
resultar evidentemente comprometido el cumplimiento de los requisitos exigidos para la
misma (por ejemplo, no puede considerarse que el consentimiento se presta por el mero
hecho de atravesar la zona en que se produce la recogida del dato y, al propio tiempo,
difícilmente ese consentimiento es libre, dado que el dato será recogido en todo caso, sin
que el interesado pueda negarse a ello o revocar un supuesto consentimiento prestado).”
Considera en la EIPD, que bajo el análisis de, por ejemplo, las Directrices 3/2019 del EDPB
adoptadas el 29/01/2020, sobre el tratamiento de datos personales mediante dispositivos de
video, se infiere la existencia de supuestos en que el consentimiento podría ser una base
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
8/128
jurídica adecuada para el tratamiento que en su punto 77, dentro del apartado 5.1
“consideraciones generales para el tratamiento de datos biométricos”, indica:
“77. La utilización de la videovigilancia, incluida la función de reconocimiento biométrico
instalada por entidades privadas para sus propios fines (p. ej., mercadotecnia, estadísticas o
incluso seguridad), requerirá en la mayoría de los casos el consentimiento explícito de todos
los interesados [artículo 9, apartado 2, letra a)]; no obstante, también podría aplicarse otra
excepción adecuada del artículo 9”, y pone de ejemplo:
“Para mejorar su servicio, una empresa privada sustituye los puntos de control e
identificación de pasajeros dentro de un aeropuerto (despacho de equipajes, embarque) por
sistemas de videovigilancia que utilizan técnicas de reconocimiento facial para comprobar la
identidad de los pasajeros que han optado por consentir dicho procedimiento.
Dado que el tratamiento entra en el ámbito del artículo 9, los pasajeros, que previamente
habrán dado su consentimiento explícito e informado, tendrán que incluirse en un terminal
automático, por ejemplo, para crear y registrar su plantilla facial asociada a su tarjeta de
identidad y su tarjeta de embarque. Los puntos de control con reconocimiento facial deben
estar claramente separados, por ejemplo, el sistema debe instalarse en un pórtico para que
no se capturen las plantillas biométricas de la persona que no ha dado su consentimiento.
Únicamente los pasajeros que hayan dado su consentimiento previamente y procedido a su
registro utilizarán el pórtico equipado con el sistema biométrico”.
Considera en la EIPD, que aun encontrándose en un sistema de identificación y no de
autenticación, en su sistema, también de identificación, el propio interesado puede decidir
libremente someterse al tratamiento, sin consecuencia negativa, “es decir el sistema de
comparación sigue siendo 1 a “n”, en que “n se limita a aquellos interesados que voluntaria y
libremente deciden y consienten la realización del tratamiento”
Estima la EIPD que el consentimiento es válido apoyándose en las Directrices 5/2020 de
4/05/2020, sobre el consentimiento en el sentido del Reglamento UE 2016/679, o en el
informe jurídico del Gabinete Jurídico de la AEPD (G.J. de la AEPD) 36/2020, ya que no
comporta desventaja ni perjuicio alguno al que no lo de, o lo retire. Ambos medios (se refiere
a los accesos) serán esencialmente equivalentes salvo por los propios beneficios intrínsecos
a cada uno de ellos, por ejemplo, la mayor o menor rapidez en el acceso.
Repasa los elementos del consentimiento, indicando en la EIPD, página 38, 5.2.2., que el
Club no beneficia a quien opte por un sistema u otro de acceso, “sin perjuicio de promover el
uso de este sistema de acceso, dado su carácter novedoso, siendo ambos medios
esencialmente equivalentes salvo por los propios beneficios intrínsecos a cada uno de ellos-
por ejemplo, la mayor o menor rapidez en el acceso”. Estima cumple todos sus requisitos y
en su apartado final, 5.2.3 indica:
“Por ello, cabe considerar que el tratamiento se encuentra válidamente amparado en lo
establecido en el artículo 9.2.a) del RGPD.
La consecuencia de lo anterior es que, siendo el consentimiento exigido por el artículo 9.2 a)
reforzado respecto con el establecido en el artículo 6.1 a) como base jurídica general para el
tratamiento de los datos personales, ha de considerarse que dicho consentimiento se
subsume igualmente en el contenido en esta última norma, por lo que, además, el
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
9/128
tratamiento contará con la base jurídica establecida en el artículo 6.1 a), cumpliendo así el
principio de licitud.”
1.3 Juicios de proporcionalidad efectuados para la ejecución de las actividades mediante el
tratamiento de datos biométricos.
Respondió que se contiene en el apartado 6.4 de la EIPD, analizando primeramente el
hecho de que el tratamiento de los datos biométricos de los interesados “resulta idóneo para
el logro de la finalidad de reconocimiento para control de acceso- siguiendo la doctrina
sentada por la AEPD en la resolución del procedimiento PS/ 00120/2021 (caso Mercadona)
y en el informe del Gabinete Jurídico 47/2021”, “poniendo de manifiesto que el sistema, a
diferencia de los analizados en los citados documentos de la AEPD, se basaría en el
consentimiento, no produciéndose así el reconocimiento más que de aquellos aficionados
que así lo solicitasen y libremente autoricen el mismo”.
-El apartado 6.4.3 de la EIPD, encuadrado en el análisis del principio de minimización de
datos, y más concretamente, de los “criterios en relación con la aplicación del principio de
minimización en el tratamiento de datos biométricos (6.4.2), se indica que “se han de tener
en consideración para valorar la necesidad y proporcionalidad del tratamiento:”
A-La realización del tratamiento se limitará únicamente a aquellos que voluntariamente
deseen hacer uso de este procedimiento, no es indiscriminado ni masivo, conservando el
medio alternativo de acceso.
B-El tratamiento implica un proceso de identificación, “ y no de autentificación, que resultaría
menos invasivo, si bien: se produce sobre vectores y no directamente sobre imágenes o
sobre información biométrica y la búsqueda de correspondencias entre vectores sería
limitada no a todas las personas que accedieran al estadio”.
C- No se realizan reconocimientos faciales a distancia y sobre zonas completamente
abiertas al público, sino que se produce el proceso de identificación a escasos centímetros
de la máquina frente a la cual el usuario debe situarse a menos de UN metro del terminal
para que sus datos se puedan capturar haciendo imposible el intento de “vectorización” de
otros interesados que no tengan la intención específica de acceder al recinto deportivo a
través de la solución.
D- “Únicamente se tratarán los datos sobre la base del consentimiento de los interesados
que deseen libremente hacer uso de la solución, que debe ponderarse favorablemente a los
efectos de verificar la proporcionalidad de tratamiento, dado que es posible apreciar de la
propia conducta del interesado, la concurrencia en el tratamiento de un beneficio mutuo para
el Club y la persona, que agiliza el acceso al estadio”.
E- El uso de la solución queda limitado a los abonados mayores de 14 años en virtud del
artículo 7 de la LOPDGDD en conexión con el artículo 8 del RGPD-la edad, además
quedará verificada durante el proceso de alta, al producirse el tratamiento de la imagen
escaneada del DNI”
-Añade que ello se produce en el marco del artículo 11.1 de la Ley Antiviolencia, que
establece que “todos los recintos deportivos en que se disputen competiciones estatales de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
10/128
carácter profesional deberán incluir un sistema informatizado de control y gestión de venta
de entradas, así como de acceso al recinto.”
C.A. OSASUNA considera que el tratamiento supera el triple juicio de idoneidad, necesidad
y proporcionalidad, indicando que:
“En efecto, el tratamiento de los datos efectuado para el alta en la solución es, como se verá
posteriormente, idóneo para el cumplimiento de llevar a cabo ese proceso de alta, al permitir
la plena identificación del abonado. Del mismo modo, el tratamiento del vector facial es
idóneo para facilitar el acceso al estadio El Sadar a través de los lectores incorporados a
parte de los tornos de entrada, mediante la simple lectura de la imagen del interesado y su
comparación con el citado vector facial.
En segundo lugar, el tratamiento es necesario para el logro de la finalidad perseguida por el
tratamiento, cual es facilitar a los abonados de OSASUNA que así lo deseen, el acceso al
recinto deportivo a través de un procedimiento ágil y sencillo. Ciertamente, en este punto, es
posible el logro de la finalidad perseguida (el acceso al estadio El Sadar) utilizando un medio
menos intrusivo (el uso de los medios tradicionalmente empleados, como por ejemplo el uso
de un lector del código QR incorporado al abono). No obstante, la implementación del
tratamiento analizado en esta DPIA no impide el uso de esta opción. Es decir, el interesado
puede decidir libremente y sin que ello le produzca ningún tipo de afección a sus derechos
como abonado, optar por uno u otro tratamiento para el acceso al estadio. De este modo, la
necesidad se vincularía en este caso con la voluntad del abonado, que no puede ser
satisfecha utilizando un medio menos intrusivo de acceso.
Finalmente, en cuanto al cumplimiento de proporcionalidad, debe traerse a colación lo
señalado por la AEPD en los documentos anteriormente reproducidos, en el sentido de que
este principio quedaría incumplido en el supuesto en que se impusiera a los abonados, sin
alternativa posible el acceso al recinto a través del procedimiento descrito y no pudiese
apreciarse la concurrencia de “más beneficios o ventajas para el interés general que
perjuicios sobre otros bienes o valores en conflicto”. Sin embargo, en este supuesto es el
propio abonado quien pondera la preferencia entre uno u otro sistema (en el momento del
alta y, adicionalmente, en cada acceso) y la prevalencia de su interés particular sobre los
derechos que el mismo pudiera considerar afectados, no viéndose por otra parte afectada
su integridad personal…).”
-Manifiesta C.A. OSASUNA, que se cumpliría el principio de minimización, recogiéndose en
el punto 6.4.5 de la EIPD “concluyendo que, dados los términos de funcionamiento del
Sistema, se cumple lo exigido por el artículo 5.1 c) del RGPD tanto en el proceso de alta del
interesado que así lo decida libremente como en el control de acceso por el mismo al
estadio, si desea hacer uso del citado Sistema. En todo caso, en el apartado 2 de la EIPD
se detallan los flujos de datos generados como consecuencia del Sistema.”
Manifiesta C.A. OSASUNA, que: “Además, la encargada del tratamiento DAS-GATE
proporciona garantías adicionales de carácter técnico, como:
-Presenta unas medidas de vectorización en registro controladas
-Mantiene medidas de seguridad ante injerencias no deseadas
-Cumple con certificaciones oficiales
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
11/128
-Al tratarse la Solución de un modelo basado en Inteligencia Artificial la no trazabilidad de
los rasgos faciales –reversibilidad- se ve reforzada respecto del software y modelos
anteriores o menos avanzados. Consecuentemente, de conformidad con la información
facilitada en el Documento Descriptivo, esto implicaría que el vector biométrico resultante de
la imagen facial recogida se encontrará ligado a la Solución sin que otro sistema de
reconocimiento facial pueda revertir el vector. Es decir, no se podrá interpretar el vector
matemático con la finalidad de extraer información del interesado inicial dando lugar
prácticamente a un hash de la imagen facial del interesado.
En particular, de conformidad con la información trasladada por DAS-GATE, cada motor
biométrico de DAS-GATE e incluso cada versión de ese motor biométrico es única de forma
que los vectores derivados de la Solución no son interoperables con otras versiones del
software.”
1.4 En su caso, amparo jurídico para el tratamiento de datos personales relativos a
condenas e infracciones penales (artículo 10 del RGPD y de la LOPDGDD) y en su caso de
datos personales relativos a infracciones y sanciones administrativas (artículo 27 de la
LOPDGDD).
Respondió que el sistema no recaba dato sobre estas materias.
1.5 Procedimientos seguidos para el cumplir el deber de información (artículos 13 y 14 del
RGPD). Evidencias de cumplimiento.
Respondió que “dado que los datos personales son recabados por el Club, directamente del
propio interesado en el momento en que decide darse de alta en el Sistema, se ofrece
información por capas.”
En lo que respecta al momento en que se proporciona la información, el Club, en la dirección
www.osasuna.es/acceso-biometrico-a-el-sadar, pone a disposición del interesado una
información básica acerca del procedimiento adoptado, así como las preguntas más
frecuentes en relación con el Sistema, ofreciendo al interesado la posibilidad de continuar el
proceso mediante un enlace al portal de DAS-GATE.
Manifiesta que “Una vez el interesado ha ingresado en el portal de DAS-GATE, a través del
que se producirá el proceso de alta, aparece reflejada la información básica relativa al
tratamiento, que se aporta como DOCUMENTO 6, en la que se incluye un vínculo a la
segunda capa informativa que se incorpora en la política de privacidad disponible en la
página web de OSASUNA, que se aporta como DOCUMENTO NÚMERO 7.”
Se aprecia que el DOCUMENTO 6 se denomina: “tratamiento de los datos de control de
accesos a las instalaciones por reconocimiento facial”, y figura como más destacable la
siguiente información:
“Responsable: C.A. OSASUNA
Finalidad: control de accesos mediante sistema de reconocimiento facial
Legitimación: consentimiento del interesado artículo 6.1. a) RGPD y artículo 9.2.a)
autorización expresa para el tratamiento de las imágenes mediante un sistema de
inteligencia artificial, reconocimiento facial, generando un vector que permite identificar al
usuario para el control de accesos a las instalaciones.
Destinatarios: no están previstas cesiones de datos a terceras entidades.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
12/128
Derechos: tiene derecho a acceder, rectificar y suprimir los datos, así como otros derechos,
indicados en la información adicional, que puede ejercer dirigiéndose a [email protected] y
a [email protected], pinchando el enlace de la web y del portal del socio “ejercicio de
derechos ArSol”.
Información adicional; puede consultar información adicional y detallada sobre Protección de
Datos aquí https://www.osasuna.es/política de privacidad”, constando a continuación una
pestaña para aceptar y otra para rechazar.
Manifiesta C.A. OSASUNA, que “esta información incorpora la casilla de consentimiento
relativa al tratamiento, que el interesado deberá marcar en caso de optar por prestar su
consentimiento, habiendo sido informado previamente de todos los extremos del
tratamiento. La lectura de esta información es obligatoria para poder proseguir el proceso. “
Manifiesta C.A. OSASUNA que “Una vez prestado el consentimiento al tratamiento, el gestor
de consentimientos de OSASUNA remite al abonado un correo electrónico (copia del cual se
aporta como DOCUMENTO NÚMERO 8) en el que se le proporciona la concreción de los
detalles técnicos del consentimiento otorgado, así como la política de privacidad vinculada al
tratamiento de los datos consentido por aquél, quedando registrada dicha remisión. De esta
manera, el interesado no sólo accede a la política de privacidad en el momento de su alta en
el Sistema, sino que recibe personalmente la citada política, a fin de que pueda disponer de
la misma en cualquier momento.
En todo caso, el modo en que OSASUNA informa a los interesados acerca del tratamiento
de sus datos se analiza y detalla en el apartado 7.1 de la EIPD aportada. “
Se aprecia del DOCUMENTO 7, “fecha última actualización enero 2022”, segunda capa
informativa figura, además, el DPD designado y su email, se definen más ampliamente las
finalidades, indicando que “se tratan los datos personales de las personas abonadas con la
finalidad de digitalizar estos y verificar la identidad del abonado, con el objetivo de darle de
alta en el sistema de DAS-GATE, proveedor contratado.”
“(ALTA DEL ABONADO) Los datos a tratar con esta finalidad serán aquellos datos facilitados
por el interesado (datos identificativos), así como el Documento Nacional de Identidad, la
imagen obtenida de un selfie del interesado y los contenidos en el código QR el abono
(número de abonado y de DNI, así como ID de acceso), y
(ACCESO BIOMETRICO): se tratarán los datos personales con la finalidad de permitir el
acceso al estadio de Club Atlético Osasuna mediante reconocimiento facial, sistema
alternativo de entrada que permite robustecer la seguridad de acceso al mismo, así como
agilizar la entrada al mismo, facilitando ésta a los socios y socias del Club.
INICIAR SESIÓN en portal das-Gate (IS) – se tratarán los datos personales de los
interesados con la finalidad de que éstos puedan identificarse y acceder al portal de Das
Gate, de manera que puedan gestionar el acceso mediante reconocimiento facial asociado
al abono, pudiendo solicitar la baja en este servicio o la cesión del abono, en aquellos casos
en que esté permitido.”
En tiempo de conservación figura que “Los datos identificativos del socio/a se conservarán
durante el tiempo que dure el proceso para la generación de los vectores correspondientes,
siendo eliminados automáticamente por los sistemas informáticos en ese mismo momento.
Los vectores irreversibles, así como las ID de acceso y la ID de usuario (creada por el
socio), se conservarán hasta que los interesados/as soliciten su supresión, salvo que
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
13/128
apliquen otras previsiones legalmente establecidas. En todo caso, los datos se suprimirán
en caso de que el usuario/a dejase de ostentar la condición de abonado del C.A. Osasuna o
cesionario/a de un abono del Club.”
“Podrá ejercitar sus derechos a través del área privada de cada usuario en el portal de DAS-
GATE”
“Tiene derecho a retirar dicho consentimiento en cualquier momento”.
“Datos que se tratan
- Datos identificativos del socio/a. (DNI del titular, anverso y reverso)
- Dirección de correo electrónico del socio/a.
- Datos del código QR abono socio (DNI, número de abonados e ID acceso)
- Numero de socio/a
- Imagen del socio/a
- Algoritmo “Vector” de la imagen del socio/a.
- ID usuario/a en la plataforma Das Gate”.
Por su parte, el DOCUMENTO 8, consiste en un e mail informando al socio/a abonado con
link a la política de privacidad y de la posibilidad de ejercer sus derechos, conteniendo la IP,
DNI y e mail y la fecha en la que ha dado el consentimiento, como “justificante
consentimiento”.
1.6 Plazos de conservación de los datos personales (obtenidos del proceso de registro, y del
proceso de identificación tanto si es positiva como negativa) o, cuando no sea posible, los
criterios utilizados para determinar este plazo. Evidencias de cumplimiento.
Respondió que “para la determinación de los plazos de conservación será necesario
distinguir entre:
● Los datos objeto de tratamiento durante el proceso de alta del abonado.
- en cuanto a los datos que son tratados en el proceso de alta del usuario, su conservación
se limitará estrictamente al período en que se produce la verificación de la identidad del
abonado para llevar a cabo su alta en el Sistema, dado que la única finalidad que justifica
ese tratamiento es la de lograr la citada verificación como paso previo a la realización del
alta y la generación del vector facial del abonado a partir de su foto selfie.
-Por otra parte, respecto a la imagen recabada para la generación del mencionado vector,
ésta es suprimida una vez se verifica que se corresponde con la que consta en el DNI
aportado por el usuario, habiéndose generado el correspondiente vector facial.
De este modo, al concluir el proceso de alta, el Sistema únicamente conserva el vector facial
del abonado, sin asociarlo a ningún dato identificativo que conste en su DNI o en su abono
ni a los datos facilitados por el interesado en el proceso de alta.
El Sistema únicamente conserva, (i) el vector facial; (ii) el identificador anónimo de acceso
correspondiente al abono, a los exclusivos efectos de evitar duplicidades en el uso del
mismo; y (iii) el hash del identificador de usuario en el Sistema, que se recaba a los
exclusivos efectos de servir como primer elemento de autenticación para el acceso seguro
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
14/128
por el usuario al portal de DAS-GATE, a fin de poder interactuar con el Sistema (por
ejemplo, para proceder a su baja o ejercitar sus derechos).
Estos datos se conservarán en tanto el interesado no revoque el consentimiento
previamente prestado o siga ostentando la condición de abonado de OSASUNA,
procediéndose a su supresión en caso de revocación o cesación en la condición de
abonado.
La revocación del consentimiento podrá efectuarse directamente y en cualquier momento
por el interesado desde el portal del usuario.”
Manifiesta C.A. OSASUNA que “En caso de producirse una de estas circunstancias, se
procederá, conforme al artículo 32 de la LOPDGDD, al bloqueo de los datos por un plazo de
3 años, coincidente con el período máximo de prescripción de las infracciones en materia de
protección de datos personales, a fin de poder responder de las posibles responsabilidades
derivadas del tratamiento.
Adjunta, como DOCUMENTO NÚMERO 9, copia de las capturas de pantalla referentes al
ejercicio de derechos en la web de OSASUNA con el título “ejercicio de derechos ArSol”,
constando de un formulario para cumplimentar “ejercicio de derechos ARSOL”. Se informa
entre otros aspectos que “Si ha otorgado su consentimiento para alguna finalidad concreta,
tiene derecho a retirar, revocar, el consentimiento otorgado en cualquier momento…”.
En la parte inferior figura un desplegable con los derechos que se ejercitan y un campo a
rellenar en “mensaje”. Exige como obligatorio para su ejercicio, el e mail, móvil, DNI, nombre
y apellidos e IMAGEN DNI, que se ha de seleccionar como archivo seguramente para
adjuntar.
● Los datos que son tratados con la finalidad de facilitar su acceso al estadio.
“Se explica con mayor nivel de detalle en otro apartado” (respuesta a punto 2.3 de este
escrito). El Sistema no almacena la imagen captada por el lector ubicado en el acceso al
recinto ni el vector facial generado a partir de ésta, que únicamente se tratarán y
conservarán durante el tiempo mínimo imprescindible para llevar a cabo la identificación del
abonado como tal. De este modo, únicamente se procederá al almacenamiento de la
información relacionada con el hecho del acceso (i.e. registros (logs) de identificación
exitosa y de aceptación o denegación del acceso, asociados a identificadores anónimos),
pero en ningún caso la imagen captada, ni el vector facial asociado a la misma.
Los datos referidos a los registros (logs) vinculados con la identificación y el acceso al
estadio se conservarán hasta el comienzo de la temporada posterior a aquélla a la que se
refiere el acceso almacenado, en que se procederá igualmente a su bloqueo durante el
plazo de tres años anteriormente mencionado.
1.7 En su caso, determinar los destinatarios o las categorías de destinatarios de los datos
personales recogidos en virtud de estos tratamientos.
Respondió que no están previstas comunicaciones de datos a terceras entidades. Para
llevar a cabo el tratamiento de datos para el acceso mediante reconocimiento facial,
suscribieron un contrato al amparo de lo dispuesto por el artículo 28 del RGPD con el fin de
prestar a OSASUNA un servicio consistente en el tratamiento de los datos identificativos del
abonado y la generación de su vector facial, permaneciendo la información almacenada en
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
15/128
sus servidores, sin que los servidores del Club almacenen información alguna relacionada
con el desarrollo del Sistema.
Se aporta el mencionado contrato de licencia de uso de sistema (software y hardware),
como DOCUMENTO NÚMERO 10, y en ANEXO I el contrato de encargo
1.8 Determinar la existencia o no de decisiones individuales automatizadas en los términos
descritos en el artículo 22 del RGPD y, en su caso, describir la lógica subyacente a las
decisiones y los datos involucrados en el proceso, y “Especificar si las actividades de
tratamiento involucran transferencias internacionales de datos personales y, en tal caso,
detallar las garantías aplicadas”
Respondió que “los datos recabados en ningún caso son objeto de tratamiento para la
adopción de decisiones individuales automatizadas. Al propio tiempo, el tratamiento de los
datos se realiza en su integridad en el Espacio Económico Europeo, no produciéndose
transferencias internacionales de datos personales.”
1.9 Listado de entidades intervinientes (encargados de tratamiento) en el procedimiento con
indicación del cometido de cada uno, del conjunto de datos personales a los que tiene
acceso, de las directrices que se les han facilitado, y de los compromisos que hubieran
adquirido en relación con la operación del sistema.
Respondió que:
“Los datos personales que serán objeto de acceso por DAS-GATE son los siguientes: (i)
número del Documento Nacional de Identidad; (ii) imagen del anverso y reverso del
Documento Nacional de Identidad; (iii) número de abonado; (iv) dirección de correo
electrónico; (v) foto selfie; (vi) prueba de vida consistente en una imagen del interesado en
movimiento; (vii) datos del código QR del abono del socio (DNI, número de abonados e ID
acceso); (viii) “Vector” de la imagen; y, (ix) ID usuario/a en la plataforma DAS-GATE”.
Por su parte, DAS-GATE tiene suscritos sendos acuerdos de prestación de servicios con dos
entidades, que actúan como sub-encargados del tratamiento, en los términos establecidos
en el artículo 28 del RGPD, que son:
a) VERIDAS DIGITAL AUTHENTICATION SOLUTIONS, S.L., como proveedor de tecnología
de validación documental y reconocimiento biométrico.
b) ***EMPRESA.1 (en adelante, “***EMPRESA.1”) como proveedor de (…) y (…)
Los servicios prestados por estas entidades se encuentran ubicados dentro del Espacio
Económico Europeo (más concretamente, en España, Irlanda y Alemania) y por ende no se
producen transferencias internacionales de datos.
Con respecto a la relación formalizada entre DAS-GATE y VERIDAS, se aportan como
DOCUMENTOS NÚMEROS 11 y 11 bis contrato de Licencia de uso y distribución para
plataformas suscrito entre VERIDAS y DAS-NANO, S.L., así como acuerdo de cesión del
citado contrato formalizado por DAS-NANO, S.L. y DAS-GATE, en cuya virtud ésta ostenta
la condición de licenciataria en relación con el Sistema. Por otro lado, se aportan como
DOCUMENTOS NÚMEROS 12 y 12 bis los términos y condiciones suscritos por DAS-GATE
en relación con el servicio prestado por ***EMPRESA.1, así como el acuerdo de encargo
relativo al tratamiento de datos personales llevado a cabo por el citado proveedor.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
16/128
2. Documentación/Descripción del sistema o sistemas de tratamiento de datos biométricos
utilizados en cada una de las activades referidas anteriormente, que incluya, al menos, la
siguiente información:
2.1- Arquitectura del sistema con indicación de los lugares en los que se ubica y ejecuta
cada elemento.
Respondió aportando un dibujo esquemático con el proceso y flujo de los datos: “tanto en
fases de alta en el sistema como de acceso al estadio. Asimismo, se detalla el modo en que
el usuario dado de alta en el Sistema podrá interactuar con el mismo, revocando su
consentimiento o ejercitando los derechos establecidos en la normativa de protección de
datos personales”
Acompaña los gráficos-esquema: “Proceso de alta-Digitalización abono”, a su derecha:
“Acceso al estadio”. Debajo: “Acceso al portal de DAS-GATE del Club” y a su derecha
“Ejercicio de derechos”.
Los dibujos-esquemas, contienen recuadros con flechas, que indican hacia dónde va esa
información/datos. Al no describirlos literalmente o explicarlos C.A. OSASUNA, se describen
a continuación:
En el “Proceso de alta-Digitalización abono”, se parte de un recuadro que contiene: “DNI,
SELFIE, QR tarjeta abono” con flecha hacia otro recuadro central llamado “Validación de
identidad del abonado: DNI, SELFIE, QR tarjeta abono” debajo del recuadro figura: “borrado
en segundos”. De “validación…” salen dos flechas,
- una a un recuadro “DNI, SELFIE, QR tarjeta abono datos bloqueados”, del que no
sale flecha alguna.
-otra, al recuadro con un símbolo de nube: “vector facial, ID acceso, hash ID usuario
+logs operación” con la nota debajo: “datos necesarios para operación”. De este recuadro,
sale una flecha al esquema del siguiente proceso: “ACCESO AL ESTADIO”. En este
proceso, desde la actuación de “fotografía facial” sale una flecha al recuadro: “Vector facial,
id acceso + logs operación” que porta un dibujo al lado de un dispositivo que capta la cara.
De este, sale una flecha al recuadro “ID acceso”, del que sale otra flecha al recuadro
“Apertura puerta”.
El gráfico de debajo contiene el proceso: “acceso al portal DAS: GATE del Club”, se origina
con el recuadro “ID Usuario, SELFIE”, con flecha al recuadro llamado “Autenticación del
abonado:”, que contiene el par” Id usuario, hash ID usuario”, y “SELFIE-vector facial”. El
recuadro tiene una flecha que viene al mismo, procedente del recuadro “HASH ID usuario-
Vector facial” con el símbolo nube, y del recuadro “autenticación del abonado “una flecha
que lleva a “acceso portal”.
El último gráfico, “ejercicio de derechos”
Explica los tipos de datos “en el sistema”:
- “personales de los usuarios”, “procedentes del contenido del abono del socio y el proceso
de verificación digital de la identidad”, en sus facetas de:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
17/128
a) Generación: servicios web desplegados en la nube.
b) Almacenamiento: Datos cifrados en bases de datos en la nube e imágenes
temporalmente guardadas en almacenamiento S3 en la nube. Éstas son utilizadas
únicamente para la verificación de la identidad y generación del vector matemático
biométrico (embedding) y son borradas automáticamente pasado el tiempo de retención
previamente acordado con el cliente.
c) Distribución: ninguna.
d) Acceso: Tanto la (...) como (…) no son accesibles públicamente y sólo los servicios de
DAS-GATE pueden consumirlos. Las bases de datos están situadas en (…) de red. Las
imágenes están almacenadas (…). A nivel lógico, ambos servicios están protegidos
mediante mecanismos (…) para asegurar que la información sólo (…).
- “Credenciales: credenciales anonimizadas pertenecientes a los usuarios:
embedding e identificador de usuario para el control de acceso de La Liga.
a) Generación: servicios web desplegados en la nube.
b) Almacenamiento: los vectores se guardan en una base de datos encriptada en la nube.
c) Distribución: (…) a bases de datos en (…). Comunicaciones seguras (…), intercambio de
(…) y algoritmos (…). Autenticación de la conexión (…).
-Observabilidad: información acerca de los eventos que ocurren en el Sistema
(estado de los servicios en información de su uso, avisos, posibles errores, etc.). Esta
información se envía desde los diferentes servicios (…) autenticado a una base de datos en
la nube que sólo es accedida por el servicio de visualización (…).”
2.2- Proceso de registro de las personas objeto de identificación con indicación de las
categorías de interesados y de las categorías de datos personales recogidos. Indicar,
asimismo, la cantidad de personas almacenadas que vayan a ser objeto de detección por el
sistema.
Responde a través de “descripción sobre el proceso de registro en el Sistema” que se
incluye en la EIPD. apartado 2.1 y ss.
“Para el alta en el sistema, el abonado deberá ingresar en la página web de OSASUNA, en
la que existirá una pantalla informativa de las funcionalidades del sistema, así como un
botón que le permitirá iniciar el proceso.
En caso de solicitar el inicio del proceso, el usuario es redirigido a la página web de DAS-
GATE, en la que se desarrollará el proceso.
Al ingresar en dicha web se le presentan al interesado los términos y condiciones relativos al
tratamiento de sus datos, que deberá aceptar.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
18/128
Asimismo, se le solicitarán los datos referidos a su número de Documento Nacional de
Identidad (en adelante, “DNI”), número de abonado y una dirección de correo electrónico,
procediéndose a la iniciación del proceso de registro.
Estos datos se recabarían y almacenarían directamente en los propios servidores de DAS-
GATE, no llevándose a cabo ningún tratamiento de los datos en los servidores de
OSASUNA, que se limitará a redirigir a los interesados a aquéllos. No obstante, la dirección
de correo electrónico, así como la acreditación de la efectiva prestación por el interesado del
consentimiento al tratamiento por parte del abonado serán transmitidos inmediatamente a
OSASUNA, a fin de que por el mismo puedan gestionarse adecuadamente las solicitudes de
ejercicio por los interesados de los derechos establecidos por la normativa de protección de
datos. La acreditación del consentimiento se conservará en los servidores de Osasuna
mediante una aplicación software integrada en el proceso “gestor de consentimientos”,
quedando así registrados todos los consentimientos de los interesados para su posterior
gestión por el Club. Con ello se cumple con los requisitos previstos en el RGPD para la
acreditación de la efectiva prestación del consentimiento por parte de los interesados.
Asimismo, en esta fase, el interesado deberá mostrar la imagen del código QR existente en
su tarjeta de abonado. Este Código contiene información sobre el número de DNI del
abonado, su número de abonado y su identificador de acceso. El sistema extrae los datos
correspondientes al número de DNI y número de abonado y los coteja con los previamente
introducidos por el usuario, a fin de verificar su identidad.
Efectuada la verificación mencionada, el usuario efectúa una captura del anverso y el
reverso de su DNI, solicitando a continuación la realización de una foto selfie con su teléfono
móvil, así como de una “prueba de vida”, consistente en un movimiento ante la cámara de
su teléfono móvil, a fin de garantizar de que se trata de una persona viva y no de una
imagen estática.
El sistema procede a continuación a comprobar los patrones faciales de la fotografía del DNI
y de la foto selfie, procediendo a dar por terminado el proceso en caso de que el cotejo
arroje un resultado positivo.
Al propio tiempo, mediante la realización de la foto selfie se genera el vector facial del
interesado, que será objeto de tratamiento y almacenamiento por DAS-GATE, a fin de
permitir la identificación del interesado y el acceso del interesado al estadio en el desarrollo
de la segunda fase del tratamiento.
-“Igualmente, en esta fase se solicitará también al abonado la creación de un identificador
de usuario en la plataforma creada para el desarrollo de la Solución. La finalidad de la
creación de este identificador será:
● Con carácter general el establecimiento de un primer elemento de autenticación que
permitirá verificar su identidad en el portal de DAS-GATE.
● Igualmente, el identificador permitirá la futura gestión por el interesado de su abono
dentro de la aplicación, particularmente en los supuestos en los que se vaya a proceder a la
realización de cesiones del mismo, en los términos que se analizan en el apartado 2.4 de
esta DPIA, o la cancelación de su registro en el sistema de DAS-GATE.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
19/128
El sistema instruirá al abonado acerca de las características que deberá cumplir su
identificador de usuario para garantizar su robustez (por ejemplo, que el mismo podrá
consistir en un código alfanumérico con determinadas características).
El identificador de usuario será objeto de cifrado (…) aplicada por DAS-GATE, quedando
almacenado en sus servidores.
En todo caso, el sistema emitirá un mensaje informando si se ha producido
satisfactoriamente el proceso de alta del usuario. “
-“A través de estas operaciones el sistema verifica que la persona que se está registrando
es la titular del abono utilizado para el alta, dado que:
● Se verifica el número de Documento Nacional de Identidad introducido con el incluido en
el Código QR de la tarjeta de abono y el documento mostrado para la verificación de la
identidad mediante su fotografía, de forma que los tres coincidan.
● Se verifica que el número de socio introducido por el usuario se corresponde con el del
código QR de la tarjeta de abonado.
● Se verifica finalmente que la persona que realiza el proceso es efectivamente la titular del
abono, mediante la autenticación de su patrón facial con el que aparece en la fotografía de
su Documento Nacional de Identidad.
-Adicionalmente, en relación con la generación del vector facial, se llevará a cabo mediante
un modelo basado en Inteligencia Artificial y, más específicamente, en redes neuronales
desarrollado por VERIDAS. De este modo, el vector matemático no se genera como
consecuencia de la mera medición de puntos de la característica biométrica del sujeto, sino
a partir de algoritmos de Inteligencia Artificial, unidos en su caso a otros posibles
componentes del modelo.
Este desarrollo implica que el vector resultante de la aplicación del motor utilizado en el
desarrollo del Servicio no se corresponda con el que pudiera resultar del uso de un motor de
inteligencia artificial distinto o incluso del derivado del uso de una versión distinta del propio
motor utilizado, dado que cada versión del motor biométrico es única, lo que impide que los
vectores matemáticos derivados del Servicio puedan ser empleados por otros motores.
De este modo, en este modelo con Inteligencia Artificial, ni siquiera el ingeniero experto que
hubiera diseñado el sistema sería capaz de interpretar el vector matemático con la finalidad
de extraer información del individuo al que se refiere ese vector. Por ello en el estado actual
de la técnica sería imposible extraer, a partir del vector, información del individuo al que
pertenece o que permita identificarlo, y en particular la imagen (foto selfie) de la que se ha
obtenido el vector facial.
Al propio tiempo, de la documentación aportada se desprende que la fiabilidad y precisión
del modelo basado en redes neuronales alcanza (conforme a los análisis realizados
mediante pruebas de laboratorio, evaluaciones externas, etc.) un 99.8%, frente a la
precisión de un 95% de los modelos tradicionales basados en el reconocimiento de
distancias a partir de determinados puntos faciales.
Igualmente, los datos utilizados una vez puesto en funcionamiento el Servicio no son
empleados para ninguna otra finalidad distinta de la identificación del interesado mediante
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
20/128
su cotejo con una imagen del mismo, sin que se conserven con otra finalidad y sin que sean
utilizados para el entrenamiento del propio modelo. De este modo, la imagen de la que
procede el vector facial es suprimida del sistema tan pronto concluye el proceso de
generación de dicho vector.
A tal efecto, tal y como señala la documentación aportada:
● Para el entrenamiento de los sistemas, VERIDAS hace uso de bases de datos públicas
destinadas a estos fines o, en su defecto, de bases de datos privadas creadas por la entidad
recabando el consentimiento de los sujetos para esta finalidad específica.
● En relación con lo anterior, debe señalarse que en ningún caso se emplean los datos que
están siendo procesados por el motor biométrico para la prestación del servicio de
identificación o autenticación en producción, para el entrenamiento automático del sistema.
No hay entrenamiento del sistema durante la identificación o autenticación de usuarios en
producción.
El motor biométrico no contiene ningún dato de los empleados para su entrenamiento. Los
motores son un conjunto de algoritmos derivados del preciso entrenamiento realizado en las
etapas de desarrollo de la tecnología, pero no contiene datos personales”
-“Así, en lo relativo a las categorías de interesados, OSASUNA trata los datos de los
aficionados del Club cuyo abono les permite acceder por alguna de las puertas del estadio
en las que está instalado un terminal biométrico de acceso y que voluntariamente se hayan
dado de alta en el Sistema.
Por otra parte, en cuanto a las categorías de datos personales objeto de tratamiento, de lo
anteriormente indicado se desprende que son las siguientes:
● Datos identificativos del socio/a (DNI del titular, anverso y reverso).
● Dirección de correo electrónico del socio/a.
● Datos del código QR abono socio (DNI, número de abonados e ID acceso).
● Número de socio/a.
● Imagen del socio/a.
● Algoritmo “Vector” de la imagen del socio/a.
● ID usuario/a en la plataforma DAS-GATE.”
Por último, en relación con el número de personas que se encuentran dadas de alta y por
tanto pueden ser objeto de identificación por el Sistema, en fecha 6/03/2023 es de (…).
2.3- Proceso de comparación de los datos captados con los datos registrados, señalando las
garantías de exactitud y el momento o momentos en que se ejecuta (en tiempo real, sobre
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
21/128
imágenes grabadas, etc.). Se solicita facilitar, asimismo, el listado de datos resultantes del
proceso de comparación tanto si el resultado de la comparación es positivo como negativo,
determinando, en cada caso, las acciones que se realicen (registro, comunicación,
supresión, etc.).
Respondió que “el proceso de comparación biométrico es el siguiente:
(i) “Al producirse un intento de acceso biométrico, se toma el frame capturado por la cámara
de la persona que activa el Sistema al situarse a menos de un metro de la pantalla y de
frente a ésta;
(ii) Se realiza una inferencia de detección de cara sobre dicho frame.
(iii) Si la cara detectada supera un umbral suficiente de tamaño y proximidad al terminal
biométrico, y calidad en la detección, se procesa la misma de forma que se genera el vector
matemático calculado por la red neuronal.
(iv) El vector calculado para la cara detectada sobre el frame de la cámara capturada en
ese momento se compara en base a distancia matemática con los vectores que constan
registrados para los usuarios dados de alta en el Sistema. Debe aclararse que la tecnología
biométrica actual no realiza estas comparaciones basándose en puntos característicos del
rostro, como pudieran ser el tamaño de boca, la distancia entre ojos o la curvatura del arco
ciliar.
(v) Se considera que la persona presente frente a la cámara en ese momento es
identificada como una de las personas registradas cuando la similitud entre ambos vectores
(el de registro y el procesado en ese momento) superan el umbral establecido.
(vi) Además, se realizan inferencias para determinar si esa cara es auténtica y no es un
intento de suplantación (como, por ejemplo, presentación de una imagen impresa, uso de
una careta, presentación de una imagen o vídeo desde una pantalla, etc.).
Por tanto, para un intento de acceso biométrico en curso, sólo se identificará a la persona
como registrada si se dan todos los requisitos anteriores: 1) se detecta cara suficientemente
próxima (a menos de UN metro de distancia del terminal), con suficiente tamaño y calidad,
en el frame que se está procesando, 2) se cumple el grado de similitud entre el vector
matemático calculado para la cara detectada y el vector que conste para el usuario
registrado, y 3) se considere que además no se trata de un intento de suplantación.
Una vez producida la autenticación del interesado mediante la identificación de su vector
facial, se enviará una petición de acceso al servidor encargado de accionar los tornos de
entrada al estadio. Esta petición de acceso consiste en la comunicación al servidor de que
un identificador anónimo de acceso se encuentra ante el terminal y ha sido autenticado
según el proceso anterior. Estos servidores son gestionados por la Sociedad Española de
Fútbol Profesional, S.A.U. (en adelante, “SEFPSA”), que actúa en el desarrollo de esta
actividad por cuenta de OSASUNA, que ha celebrado con la misma el correspondiente
contrato de encargado del tratamiento en los términos establecidos en el artículo 28 del
RGPD. De este modo, la transmisión de este dato únicamente se lleva a cabo entre
encargados del tratamiento de OSASUNA, sin constituir una cesión de datos personales.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
22/128
En todo caso, es necesario indicar que el citado encargado del tratamiento en ningún
momento accede o lleva a cabo el tratamiento de dato biométrico alguno, limitándose el
tratamiento del identificador anónimo de acceso, a fin de proceder a accionar el
correspondiente torno y comprobar que no existe un uso duplicado del abono, sin facilitarse
ningún dato relacionado con el vector facial del abonado ni ninguna otra información que
permita su identificación. Recibida esta información, en caso de no constar ya el uso del
abono para el acceso al evento en que se produce la solicitud de acceso, se confirmará la
aceptación del acceso, accionando el torno de entrada al recinto y procediendo a su
apertura.
Cuando el terminal trata de identificar al usuario que se ha colocado frente a él (según se ha
explicado previamente), se registran los siguientes logs: 1) fecha-hora, 2) identificador del
terminal biométrico, 3) identificador anónimo del usuario más parecido a la cara que se está
tratando de identificar, y 4) puntuación de similitud biométrica obtenida.
En caso de que la puntuación de similitud biométrica supere el umbral de seguridad
establecido (comparación positiva), el Sistema le muestra al usuario por pantalla el mensaje
de éxito en la identificación. En paralelo, el Sistema envía la petición de acceso a SEFPSA,
enviando únicamente el identificador anónimo asociado. El envío de esta petición también
es logueado por el terminal (fecha-hora, identificador terminal, identificador anónimo usuario
reconocido).
Al procesar la petición de acceso enviada por el terminal biométrico, SEFPSA decide si
autoriza o no el acceso del usuario y actúa directamente sobre el torno comandando (o no)
su apertura. SEFPSA no informa de su decisión de autorización al terminal biométrico. Cabe
mencionar en este punto que SEFPSA, al recibir esa petición, no puede distinguir entre
peticiones recibidas de los terminales biométricos y lecturas realizadas de QR o NFC; es
decir, no conoce cómo se ha autenticado el usuario.
SEFPSA “en ningún momento accede o lleva a cabo el tratamiento de dato biométrico
alguno, limitándose el tratamiento del identificador anónimo de acceso, a fin de proceder a
accionar el correspondiente torno y comprobar que no existe un uso duplicado del abono,
sin facilitarse ningún dato relacionado con el vector facial del abonado ni ninguna otra
información que permita su identificación. Recibida esta información, en caso de no constar
ya el uso del abono para el acceso al evento en que se produce la solicitud de acceso, se
confirmará la aceptación del acceso, accionando el torno de entrada al recinto y
procediendo a su apertura.
En caso de que la puntuación de similitud biométrica no supere el umbral de seguridad
establecido (comparación negativa), el Sistema muestra al usuario por pantalla el mensaje
de identificación no exitosa y no envía ninguna petición de acceso a SEFPSA.
Se indica expresamente que el umbral de seguridad establecido es de (...). Es decir, será
necesario que se supere dicho umbral para considerar que la comparación es positiva. Si la
comparación arroja un resultado inferior, se considerará una comparación negativa.
El modelo de reconocimiento facial de VERIDAS utilizado por los terminales biométricos ha
sido evaluado por el NIST (National Institute of Standards and Technology) de EEUU, que
es el organismo internacional que se ha convertido, de facto, en el evaluador de este tipo de
tecnologías. Los resultados de las evaluaciones del NIST son públicos y pueden consultarse
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
23/128
en la página web oficial del NIST (https://pages.nist.gov/frvt/html/frvt1N.html), bajo el
paraguas del FRVT (Face Recognition Vendor Test).
La precisión actual de la tecnología biométrica que se encuentra en el estado del arte
demuestra que ha superado a la capacidad del ser humano en la comparación de caras.
Asimismo, según se ha mencionado más arriba, cabe señalar que la tecnología biométrica
actual, basada en redes neuronales profundas, no realiza estas comparaciones basándose
en puntos característicos del rostro, como pudieran ser el tamaño de boca, la distancia entre
ojos o la curvatura del arco ciliar.”
2.4- Listado de ubicaciones en las que se han implantado las cámaras/medios de captación
de los datos objeto de identificación. Medidas utilizadas para evitar que se recuperen datos
personales de terceros.
Respondió que, “En la fecha de elaboración del presente escrito, el Sistema ha sido
instalado en ocho puertas diferentes del estadio, enumeradas en el apartado primero de
este escrito, (punto 1.1 de este escrito) albergando cada una de ellas una serie de tornos de
entrada que permiten el acceso a una cantidad determinada de asistentes.
Los abonados de temporada y, en consecuencia, susceptibles de ser usuarios del Sistema,
tienen asignada en su abono la puerta por la que pueden entrar al estadio, pudiendo, por
tanto, acceder indistintamente por cualquiera de los tornos instalados en dicha puerta, de
forma que pueden optar, con ocasión de cada encuentro, por hacer o no uso del Sistema de
reconocimiento facial.
Indica que existe un terminal biométrico facial en un torno de cada una de las ocho puertas:
3, 7, 8, 10,11, 16, 21 y 27, además de los tornos no biométricos, indica el número total de
tornos de cada puerta, y se observa que no existe ninguna puerta en la que no haya tornos
no biométricos.
Indica que: “Como puede constatarse, el Sistema en ningún caso es el único medio de
acceso al recinto, existiendo en cada una de las puertas medios alternativos suficientes para
facilitar el citado acceso. Se aporta, DOCUMENTO NÚMERO 13 fotografía de una de las
puertas del estadio, en que se puede observar a modo de ejemplo cómo el terminal
biométrico está implementado exclusivamente en uno de los tornos.
Las medidas para asegurar la confidencialidad de los datos personales se aplican a dos
niveles:
- (…) siguiendo las recomendaciones del NIST.
(…)
- (…) de las comunicaciones (…) mediante (…).
- Lo anterior se complementa con otras medidas de seguridad que se describen
detalladamente en el apartado 8.2 y los anexos de la EIPD. Debe recordarse asimismo que
todas las medidas implantadas por DAS-GATE han sido auditadas y certificadas en base a
las certificaciones de su sistema de gestión de seguridad de la información (ISO (…) etc.).”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
24/128
2.5- Medidas de seguridad aplicadas a cada elemento del sistema en que se traten datos de
carácter personal.
Respondió que:” En el apartado 8 y en los anexos de la EIPD se incluye el detalle de las
medidas de seguridad implantadas en la solución. De forma resumida en este apartado, se
indica que se han implantado todas las medidas evidenciadas en las (…).
En particular, cabe hacer referencia a las siguientes:
● Se cifran todas las comunicaciones de datos:
○ (...).
○ En reposo: se cifran (…).
● Políticas de acceso restringido y de mínimo privilegio a nivel de sistemas y aplicaciones.
● Hay implementado un sistema (…).
● Usuarios (…): se evita (…). Cada persona que accede al Sistema o aplicaciones tiene
(…).
● Se aplica proceso de diseño para el desarrollo seguro del producto, incluyendo revisión
de los requisitos de seguridad durante los procesos de validación previos a la entrega de
versiones.
● Medidas de (…).
● Medidas encaminadas a prevenir una indisponibilidad temporal de la información con la
consecuente limitación del servicio.
● Se cuenta con un DPO interno que ha sido debidamente inscrito y que vela por el
cumplimiento en materia de protección de datos en la organización.
● Se dispone de (…).
3 Copia de:
3.1- Contenido incluido en el Registro de Actividades de Tratamiento (artículo 30 del RGPD)
relativo a las actividades que involucran el tratamiento de datos biométricos.
3.2- Contenido incluido en el Análisis o Evaluación de Riesgos (artículo 32 del RGPD)
relativo a las actividades que involucran el tratamiento de datos biométricos.
3.3- Evaluación de Impacto relativa a la protección de datos (artículo 35 del RGPD) relativo
a las actividades que involucran el tratamiento de datos biométricos.
3.4- En su caso, contratos que se hayan suscrito con los encargados de tratamiento
implicados en las actividades que involucran el tratamiento de datos biométricos.
Responde en conjunto, indicando que ya ha aportado la EIPD y otros documentos. Aportan
copia del RAT en DOCUMENTO 14, del que se extrae el siguiente contenido:
- Tratamiento: “CONTROL DE ACCESOS POR RECONOCIMIENTO FACIAL”
o Fines: registro y gestión de los accesos a las instalaciones mediante sistema de
reconocimiento facial.
o Base jurídica: consentimiento del interesado 6.1 a) y 9.2 a) del RGPD).
o Categorías de interesados: socios y abonados.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
25/128
o Categorías de datos personales:
Identificación: NIF/DNI; nombre y apellidos; imagen; dirección de correo electrónico.
Circunstancias sociales: pertenencia a clubes y asociaciones;
Otros: datos identificativos del socio (DNI del titular, anverso y reverso); dirección de correo
electrónico del socio; datos del código QR abono socio (DNI, número de abonado, e ID
acceso); número de socio; Imagen del socio.
Datos especiales: datos biométricos.
o Origen de los datos: el interesado.
Categorías de destinatarios: “Organizaciones o personas relacionadas directamente con el
responsable del tratamiento”. “No están previstas cesiones de datos a terceras entidades,
salvo aquellos casos en los que se faciliten los datos a empresas y organizaciones que
prestan servicios al responsable del tratamiento, al ser necesarias para la prestación del
servicio.”
o Transferencias internacionales: no existen.
Al respecto, cita expresamente que “el alojamiento de los datos en los servidores de
***EMPRESA.1 tendrá siempre lugar dentro del Espacio Económico Europeo”.
o Plazos previstos de supresión:
“En cuanto al reconocimiento facial para el acceso al recinto, se indica que “los vectores
irreversibles, así como las ID de acceso y la ID de usuario (creada por el socio), se
conservarán hasta que los interesados/as soliciten su supresión, salvo que apliquen otras
previsiones legalmente establecidas. En todo caso, los datos se suprimirán en caso de que
el usuario/a dejase de ostentar la condición de abonado del C.A. Osasuna o cesionario/a de
un abono del Club””
Encargados de tratamiento: DAS-GATE.
CUARTO: Segundo requerimiento a C.A. OSASUNA en el curso de las actuaciones previas
de investigación.
Con fecha 16/09/2023, se solicita al C.A. OSASUNA:
1. La información facilitada en el escrito previo especificaba como categoría de interesados
del tratamiento de datos biométricos los socios y abonados y como finalidad el control de
acceso a los partidos de CLUB ATLÉTICO OSASUNA en el estadio de El Sadar. En relación
con estos datos, y tomando en consideración lo publicado en medios de comunicación, se
solicita:
1.1 Indicar si OSASUNA está utilizando el sistema con otras finalidades, interesados, y
ubicaciones distintas a las especificadas en el escrito previo. En tal caso, facilitar la
información de las actividades de tratamiento concretas (fecha en que se puso en marcha,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
26/128
descripción de la finalidad, base jurídica, juicio de proporcionalidad, deber de información,
etc.) en lo que se distingan de lo señalado en el escrito previo.
Responde el 9/10/2023 que el sistema sobre el que se ha informado en marzo 2023 “no está
siendo aplicado para finalidades distintas de las manifestadas en dicha respuesta”.
1.2 Especificar el plan de expansión del sistema en términos de fechas previstas de puesta
en marcha, localizaciones (puertas, edificios, etc..), y categorías de interesados (cesionarios
de abonos, empleados de OSASUNA, compradores de entradas “de partido”, etc.…).
Respondió: “Desde la puesta en funcionamiento del sistema se han mantenido
conversaciones internas sobre su posible expansión a la totalidad del estadio El Sadar. Sin
embargo, a fecha de presentación del presente escrito, no se ha concretado un plan de
expansión específico del sistema. En todo caso, la posible implantación futura del sistema
en otras puertas de acceso al recinto se realizaría con las mismas limitaciones y garantías
que se están aplicando actualmente, implementando igualmente las mismas medidas
técnicas y organizativas, analizadas en la DPIA para afrontar los riesgos que el tratamiento
podría generar en los interesados.”
1.3 El documento Registro de Actividades de Tratamiento (RAT) incluido en el escrito previo
incluye entre las categorías de datos personales objeto de tratamiento las siguientes: voz,
circunstancias sociales (características de alojamiento y vivienda; propiedades y
posesiones; situación “militar”; aficiones y estilo de vida; pertenencia a clubes y
asociaciones; licencias, permisos y autorizaciones). Se solicita aclarar con qué finalidad se
utilizan dichos datos personales y facilitar el esquema de base de datos (o similar) que
recoja la totalidad de categorías de datos personales de los abonados tratados por
OSASUNA.
Respondió que: “Tal y como se describe en la DPIA y en las respuestas dadas por
OSASUNA al anterior requerimiento de información de esa AEPD, así como en la respuesta
a otras cuestiones que se plantean en el presente requerimiento, el tratamiento no incluye
los datos relacionados con la voz ni, dentro de “circunstancias sociales”, los referidos a las
características de alojamiento y vivienda, las propiedades y posesiones, la situación “militar”,
las aficiones y estilo de vida o las licencias, permisos y autorizaciones. Únicamente se
tratan, de los datos pertenecientes a las “circunstancias sociales” de los interesados, los que
acreditan la “pertenencia a clubes o asociaciones”, ya que la condición de socio del Club es
implícita a la propia naturaleza del tratamiento, toda vez que el mismo afecta a los socios
abonados de OSASUNA que soliciten el uso de este sistema de reconocimiento para el
acceso al estadio”. Teniendo en cuenta lo anterior, se ha procedido a modificar el RAT de
Actividades de Tratamiento relacionado con el tratamiento objeto del presente requerimiento,
que se adjunta como DOCUMENTO NÚMERO 1 en el que ya no figura en “categorías de
datos personales” voz, circunstancias sociales (características de alojamiento y vivienda;
propiedades y posesiones; situación “militar”).
Los datos que C.A. Osasuna recaba de sus abonados, con la finalidad de gestionar su
pertenencia a la entidad, y facilitados por el interesado en el momento de DARSE DE ALTA
O RENOVAR SU CONDICIÓN DE ABONADO, son los siguientes:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
27/128
- Nombre y apellidos
- DNI
- Fecha de nacimiento
- Sexo
-Domicilio completo
- Número de teléfono
- Dirección de correo electrónico
- Datos bancarios, para el pago del abono
Como datos internos que se incorporan en la FICHA DE SOCIO, aparecen el nº de abonado,
el tipo de abono con su precio y, en su caso, descuento aplicado, el asiento asignado y la
zona por la que debe acceder.
Adicionalmente, en caso de que el socio se haya dado de ALTA EN EL SISTEMA DE
CONTROL DE ACCESOS MEDIANTE RECONOCIMIENTO FACIAL, se dispondrá del hash
del identificador de usuario, así como del vector biométrico facial.
Aporta copia de captura de tres pantallas de la aplicación de gestión usada por los Clubes
pertenecientes a la Liga, donde se pueden ver los datos referidos, excepto los asociados al
sistema de control de acceso mediante SBRF, que no se integran en esta aplicación
1.4 Indicar el número de tornos existentes en las puertas en las que se ha incorporado
biometría facial con carácter previo a su incorporación. Señalar si la incorporación del torno
con apertura mediante biometría facial ha supuesto la eliminación de uno de los anteriores.
Facilitar, a tal efecto, fotografías que evidencien el antes y el después.
Manifiesta que, a fecha de elaboración del presente escrito, de las 29 puertas totales de
acceso al estadio El Sadar, únicamente OCHO de ellas disponen de un torno con acceso
biométrico. La distribución de los tornos -incluyendo tanto los que disponen de lectura
biométrica, como los que no la tienen implementada-, la ofrece en un cuadro en el que
señala por cada número de puerta el número total de tornos, y lo desglosa en el número de
tornos con lectura biométrica y tornos con lectura no biométrica.
El resumen puede cifrarse en que existen ocho tornos con lectura biométrica, uno en cada
una de las ocho puertas que se mencionan, y en cada una de esas ocho puertas, al menos
existe un número de uno como mínimo de tornos con lectura no biométrica, llegando alguna
puerta al máximo con cuatro tornos con lecturas no biométricas en la misma puerta.
Aporta en DOCUMENTO DOS, reportaje en que se incluyen las puertas de acceso al recinto
que incorporan en uno de sus tornos el sistema de reconocimiento biométrico. Al no
disponerse de fotografías anteriores al momento en que se procedió a la instalación de los
lectores, se ha optado por mostrar la situación de las puertas con el torno plegado (es decir,
como se encontraría en caso de no producirse su encendido) y desplegado (es decir, como
sucedería en el caso de celebración de encuentros en que sea posible el acceso al recinto
mediante el sistema de reconocimiento biométrico).
1.5 Indicar si el sistema está funcionando “de continuo” tras ponerlo en marcha (de forma
continua capta imágenes “rastreando” si existe “algo” que identificar) o bien hay algún
evento que produzca que inicie el proceso de captación e identificación. Determinar,
asimismo, si el sistema además de imágenes capta sonidos durante el proceso.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
28/128
Respondió que “debe diferenciarse entre el encendido del torno y su activación una vez se
encuentra encendido. En cuanto al encendido, el mismo únicamente se produce durante los
encuentros deportivos en los que es posible acceder mediante esta tecnología y siempre de
forma conjunta con los restantes tornos de acceso. Así, previamente a cada encuentro, los
terminales se encienden y destapan en el momento en el que los técnicos encienden la
alimentación de los tornos de las puertas y descubren la totalidad de los dispositivos. Debe,
no obstante, tenerse en cuenta que existirán encuentros respecto de los cuales el sistema
permanecerá inactivo, dado que el reconocimiento únicamente se produce en los supuestos
en los que el abonado podría acceder con su carnet sin necesidad de adquirir una entrada al
recinto, por lo que quedan excluidos los encuentros fuera de bono de temporada. En estos
supuestos, el sistema biométrico se encontrará fuera de servicio y cubierto por una funda
opaca.”
“En cuanto a la activación del lector, cuando el mismo se encuentra encendido y operativo,
el sistema no funciona “de continuo”, sino que su activación únicamente tiene lugar en caso
de que se desencadene una situación específica que da lugar al inicio del proceso de
captación de imagen e identificación, que se describe en el apartado sexto de este escrito.
La activación se produce por “proximidad”, es decir, mediante la colocación del interesado
que va a acceder al estadio El Sadar en un rango de menos de UN metro de distancia del
dispositivo. De esta forma, el sistema sólo podrá capturar e identificar la imagen de la
persona que se sitúa ante el torno, en el carril de acceso mediante reconocimiento facial y
que no supere la distancia máxima de captación de imagen. A fin de garantizarse que la
captación únicamente sea posible respecto de la persona que pretenda acceder al recinto,
es preciso indicar que los sistemas de captación de imágenes se encuentran instalados
dentro de la zona restringida del estadio, es decir, pasado el punto de control de entrada que
ejercen los brazos del torno de acceso (el que tiene lectura biométrica) con el objetivo de
que solo se capturen y procesen las imágenes de aquellas personas que se posicionen muy
próximas a la / del torno con lectura biométrica, y mirando en la dirección del sistema. Este
hecho puede comprobarse en el reportaje aportado como DOCUMENTO NÚMERO DOS.”
“La limitación del rango de captura establecida en el sistema evita que se capten imágenes
de personas que se encuentren en filas diferentes o a una distancia mayor de un metro,
evitando de esta forma una identificación “en remoto” y por error.”
Aporta como DOCUMENTO NÚMERO TRES, un ejemplo gráfico de la distancia entre los
propios brazos del torno y el sistema de captación de imágenes. Por último, en lo que a la
captación de sonidos se refiere, los sistemas no tienen posibilidad de captar este tipo de
dato personal, se limitan exclusivamente a la captación de imágenes.
1.6 En relación con el consentimiento de los interesados, se solicita:
-Determinar las medidas implantadas en el sistema para que las imágenes (frames) que
recoge se restrinjan al interesado que quiere ser reconocido (limitación de distancia
recogida, dispositivos físicos, etc.) y para que las personas puedan estimar la zona que
captura el dispositivo.
Respondió que “en lo que a la distancia en la captación de la imagen se refiere, el sistema
está configurado de tal manera que no realiza ningún procesamiento de la imagen visible
(en adelante, “RGB”) si no detecta algún objeto a menos de UN metro de distancia del
sensor de profundidad. Así, en caso de detectar algún píxel en la imagen de profundidad a
menos de la distancia predeterminada, el terminal procede a buscar caras en la escena
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
29/128
mediante la aplicación de algoritmos propietarios (del proveedor) de visión por computación
sobre el canal RGB. Lo anterior se consigue ya que los dispositivos de identificación
biométrica están equipados con cámaras estereoscópicas que proporcionan tanto una
imagen RGB como un mapa de profundidad que representa la distancia de cada píxel en la
imagen RGB con respecto al sensor de la cámara.
Los mencionados algoritmos dedicados a la captación de rostros producen como resultado
una serie de bounding boxes -rectángulos- sobre cada región de la imagen en la que el
algoritmo considere que existe una cara con un grado de certidumbre suficiente. De esta
forma, si estos algoritmos han generado algún rectángulo, el sistema procede a determinar
mediante algoritmos propietarios la distancia de cada región de interés al sensor de la
cámara. Así, si ninguna de las regiones de interés se encuentra a menos del metro de
distancia establecido, el sistema descarta automáticamente el frame y queda a la espera del
siguiente. En este sentido, cabe destacar que únicamente existe un tratamiento de la
imagen cuando el interesado se encuentran a menos de un metro del terminal, pero no
existen tratamientos de datos personales adicionales, ya que, siendo el criterio de selección
la proximidad, el sistema solo continúa procesando la región de interés que se encuentre en
el mencionado rango de menos de un metro, por tanto, no hay intento de reconocer
biométricamente al sujeto captado ni se emplean las imágenes con otras finalidades ya que
la región captada se descarta.
Si la región de interés se encuentra en la distancia de captación, entonces el terminal
continúa con el procesamiento y únicamente en ese caso aplica los algoritmos de
reconocimiento facial desarrollados por VERIDAS para completar el proceso de
autenticación del usuario, es decir, el cálculo del vector biométrico, la comparación 1: N,
-estando la N compuesta únicamente por aquellos usuarios que voluntariamente se han
dado de alta en el sistema con carácter previo- y prueba de vida. Por último, como medida
reforzada, los terminales biométricos se encuentran instalados dentro de la zona restringida
del estadio, es decir, pasado el punto de control de entrada que ejercen los brazos del torno
de acceso con lectura biométrica con el objetivo de que solo aquellas personas que se
posicionen muy próximas a dicho torno y mirando en la dirección del terminal, es decir,
quienes pretendan acceder al recinto mediante el uso del sistema, puedan llegar ser
captadas por aquél.”
- Facilitar los datos de que dispone en relación con el ritmo/velocidad de acceso a través
de los tornos de acceso al estadio con apertura mediante reconocimiento facial y de los
tornos de acceso al estadio con apertura mediante el resto de los procedimientos.
Respondió que: “Se ha procedido a realizar una estimación sobre el ritmo/velocidad de
acceso de los interesados al estadio El Sadar tanto en lo que respecta al acceso a través de
los tornos con sistemas biométricos como al acceso a través de los tornos que no disponen
de la mencionada tecnología. Así, se ha dispuesto personal en diferentes puntos del estadio
El Sadar con el objetivo de que, en base a la observación y anotación de resultados en
distintos momentos de uso del sistema, se pudiera obtener un ritmo de acceso. Resultado
de las observaciones se pudo concluir que el ritmo medio de acceso de usuarios a través de
un torno convencional usando el abono -lectura NFC o lector QR- o entrada en papel -lector
código de /s- es 12 personas por minuto; en cambio, el ritmo medio de acceso de
interesados a través de los tornos que tienen implementada la tecnología biométrica es de
20 personas por minuto. Los valores aportados suponen el valor que tiene mayor frecuencia
en los ritmos de acceso”.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
30/128
- Ejemplo del registro enviado para un interesado concreto desde el sistema de DAS-GATE
a OSASUNA como consecuencia del proceso de alta para su almacenamiento y gestión en
su plataforma de ejercicio de derechos.
Respondió:
Cuando un socio decide darse de alta en el sistema, se le solicita en primer lugar la
aceptación expresa de la política de privacidad -tal y como se muestra en el Documento
Número 14, al que se refiere el apartado décimo de este escrito- ya que, sin la lectura y
aceptación de la política de privacidad, no es posible continuar con el registro.
En caso de aceptación y alta en el sistema, DAS-GATE remite al gestor de consentimientos
de OSASUNA la siguiente información: (aporta una pantalla con código de programación),
manifestando que “Esta imagen muestra el fragmento de código que implementa el texto
que se enviará al gestor de consentimientos de OSASUNA, que incluye el email y el DNI del
usuario correspondiente, así como los dos textos concretos que el usuario consiente al
darse de alta. Se puede comprobar que:
1 El texto es consecuente a los consentimientos que serán enviados (consent1 y
consent2).
2 Los valores de email y DNI que dependen del usuario son proveídos a la función como
argumentos de entrada, es decir, que para cada usuario tomarán los valores pertinentes que
le corresponden.
Con el proceso anterior, OSASUNA recibe en su gestor de consentimientos una notificación
en la que se informa del consentimiento aportado por el interesado, la siguiente imagen
puede servir como ejemplo de las notificaciones que recibe OSASUNA en relación con los
consentimientos: (se trata de un escrito, reporte que contiene dominio: Osasuna-
socios.app.das-gate.com, los datos DNI, e mail, fecha, IP, y un literal que indica” consiento
de forma expresa el tratamiento de mis datos personales incluida mi imagen para la
generación de un vector facial mediante un sistema de inteligencia artificial (IA) que permite
mi identificación en el momento de acceder al estadio: Aceptado checked: true. He leído y
acepto la política de privacidad. Aceptado checked: true.”
-Ejemplo de registro enviado para un interesado concreto desde el sistema DAS-GATE a
OSASUNA como consecuencia del proceso de gestión en su plataforma de ejercicio de
derechos:
Respondió que “En relación con el ejercicio de derechos, se distinguen dos vías
diferenciadas dependiendo de si el derecho ejercido por el interesado se corresponde con la
retirada de su consentimiento y supresión de sus datos personales o si el derecho ejercido
se corresponde con cualquiera de los restantes derechos a su disposición.
En el primero de los casos, cuando el usuario desea ejercer su derecho de retirada de
consentimiento y supresión, tiene la posibilidad de ejercitarlos desde dentro de su cuenta de
usuario en el sistema. En ese caso, el sistema remite al gestor de consentimientos de
OSASUNA la siguiente información-aporta impresión de una pantalla con código de
programación -indicando que “muestra el fragmento de código que implementa el texto que
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
31/128
se enviará al gestor de consentimientos. En concreto, en la función “notificacion-payload” se
puede comprobar que:
• El texto es consecuente a la cancelación que se enviará.
• El valor de DNI que depende del usuario es proveído a la función como argumento de
entrada, es decir, que para cada usuario tomará el valor pertinente que le corresponde.
Con esto, OSASUNA recibe en su gestor de consentimientos, la siguiente notificación
(aporta un escrito reporte similar al señalado en el punto anterior con el texto “cancelar
cuenta. Aceptado checked: true”
“Por otro lado, para ejercer cualquiera de los restantes derechos establecidos por la
normativa de protección de datos, que podrían no estar relacionados con el tratamiento de
los datos biométricos, desde su cuenta de usuario se le remite directamente al sitio concreto
en el cual los interesados pueden encontrarlo disponible en la página web de OSASUNA.
Así, OSASUNA trasladará al proveedor del sistema la solicitud concreta para, una vez
analizada, trasladar respuesta al interesado.
1.7. Identificación del motor biométrico concreto utilizado por OSASUNA en el tratamiento.
Facilitar, además, la siguiente documentación:
- Certificaciones oficiales emitidas para el mismo.
Respondió que “El motor biométrico instalado en los terminales de acceso que disponen del
sistema biométrico en el estadio El Sadar se corresponde con el motor “(...)” y este motor se
encuentra evaluado por el NIST FRTE 1: N desde noviembre de 2021 como se especifica en
el siguiente apartado.
Adicionalmente, el sistema de control de accesos mediante la identificación biométrica se
encuentra dentro del alcance de las certificaciones de seguridad de la información y calidad
del proveedor. En concreto, cumple con las siguientes certificaciones: (i) (…), (ii) (…), (iii)
(…), (….), y (iv) (…).
Se adjuntan al presente escrito como DOCUMENTOS NÚMEROS 4 a 7 evidencia de las
mencionadas certificaciones.
Por otro lado, los motores (…) VERIDAS se encuentran certificados de acuerdo a la (…).
Se aportan los siguientes documentos relacionados con las certificaciones mencionadas:
• 220406-VERIDAS-PAD-Level-1-Confirmation-Letter.pdf, como DOCUMENTO NÚMERO
8.
• 201215-VERIDAS-PAD-Level-2-Confirmation-Letter.pdf, como DOCUMENTO NÚMERO
9.
- Especificar, dentro del sitio de internet del NIST señalado en el escrito previo, cuáles son
los resultados correspondientes a la evaluación del motor biométrico utilizado por Osasuna.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
32/128
Respondió que “El motor biométrico empleado en aras de identificar a los interesados ha
sido evaluado por el NIST en los challenges FTRE 1:1 y FRTE 1: N. Los resultados del
mencionado análisis pueden encontrarse en el siguiente enlace del NIST FRTE 1: N: (…)”
- Procedimiento que habría que seguir para cambiar el motor/versión del motor biométrico
y hacer que pudiera habilitarse para el control de acceso al estadio.
Respondió que “El proceso de actualización del motor biométrico para el acceso al estadio
El Sadar requeriría, en primer lugar, que el proveedor y el Club acordaran el cambio del
motor y elaboraran de manera conjunta un calendario en el que quedarán reflejadas (i) las
fechas de las comunicaciones a las personas abonadas en las que se les informara de las
variaciones que se fueran a producir y; (ii) las actuaciones técnicas sobre la nube y los
terminales biométricos del proveedor.
Así, una vez elaborados los calendarios del proyecto, el proveedor realizará una operación
de borrado de las bases de datos activas del entorno productivo, de tal manera que no
quede ningún usuario activo en los sistemas de información, para, posteriormente, realizar
la actualización del motor biométrico empleado en su nube para generar los vectores
biométricos.
A continuación, se actualizarían todos los terminales biométricos de control de acceso al
estadio El Sadar, con una nueva versión de software que incorpore el nuevo motor
biométrico. Esto es necesario porque los vectores biométricos generados por los modelos
de reconocimiento facial de VERIDAS no son interoperables entre versiones.
Tras la actualización de los terminales, se realizarían pruebas de validación para confirmar
que el flujo completo de alta biométrica y acceso biométrico al estadio El Sadar funcionan
correctamente a través de todas las puertas equipadas con terminales de reconocimiento
facial.
Por último y cumpliendo los plazos establecidos en el calendario, OSASUNA informaría a
los interesados -personas abonadas que hayan consentido el tratamiento de sus datos con
la finalidad de acceder al estadio El Sadar mediante la tecnología biométrica- que el motor
biométrico ha sido actualizado indicándoles que si desean continuar haciendo uso del
acceso mediante reconocimiento facial deberán realizar nuevamente el proceso de alta.
La realización de este nuevo proceso es imprescindible, por cuanto, como se ha dicho, los
modelos de reconocimiento facial no son interoperables y, en aplicación del principio de
minimización de datos, tal y como se recoge en la EIPD, el sistema no conserva las
imágenes faciales -selfies- que los usuarios aportaron en el momento de su registro, por lo
que no es posible generar un vector a partir de dichas imágenes, siendo necesario repetir el
proceso para que el sistema pueda generar nuevos vectores.
1.8 Determinar el procedimiento seguido para hacer efectivo el procedimiento de bloqueo de
los datos incorporados durante el proceso de alta.
Respondió reiterando que a los interesados se les solicitan los siguientes datos personales
con el objetivo de proceder a su alta en el sistema:
i DNI;
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
33/128
ii Dirección de correo electrónico;
iii Código QR de su abono de socio, que incorpora información sobre el número de DNI, el
número de abonado y un identificador único de acceso a fin de evitar que se produzcan
varios accesos con el mismo abono durante la celebración de un encuentro.
iv Copia del anverso y reverso del DNI; y
v Una fotografía selfie.
Una vez que el interesado queda registrado en el sistema, los citados datos serán
bloqueados, en los términos legalmente establecidos, al no ser precisos para llevar a cabo el
reconocimiento biométrico, con la única excepción del identificador único. Este bloqueo, tal y
como se indica en la Evaluación de Impacto relativa a la Protección de Datos elaborada con
respecto al tratamiento y aportada en la respuesta al primero de los requerimientos
efectuados por esa AEPD, tendrá una duración de TRES años, coincidente con el plazo
máximo de prescripción de las infracciones en materia de protección de datos personales.
De este modo, el proceso de bloqueo queda configurado de la siguiente manera:
Como punto de partida, durante la fase de registro en el sistema, los datos personales que
interesado va aportando quedan almacenados temporalmente en el servidor S3
proporcionado por ***EMPRESA.1 asociados a una etiqueta de borrado rápido (“short”),
esto permitirá que los datos personales se supriman de manera definitiva en caso de que el
usuario abandone el proceso de alta sin haberlo completado.
Si el interesado completa el registro, como acción final del proceso de alta de usuario, se
sustituye la etiqueta short por una etiqueta de larga duración (“long”) y otra de acceso
restringido (“restricted”), lo que implicará que los datos personales no puedan ser accedidos
(estado “bloqueado”) por ninguna persona que no disponga de una cuenta autorizada para
ello, en este caso será la de DPO, y los mantiene durante un período de TRES años desde
la fecha de registro coincidente con el plazo previsto en la normativa de protección de datos
personales.
La gestión del ciclo de vida de los datos personales es responsabilidad del proveedor y se
establece en relación con las políticas de ciclo de vida de S3, las cuales se definen a través
de las etiquetas short/long y restricted. De esta forma, las etiquetas son configurables para
cada cliente del proveedor, y en el caso de OSASUNA están configuradas de la siguiente
manera:
1 Long =3 años
2 Short =1 día.
Asimismo, se solicita:
- Registro de ejemplo con los datos que permanecen de un interesado concreto en el
sistema una vez concluido el proceso de alta.
- Registro de ejemplo de los datos que permanecen del mismo interesado concreto en el
almacenamiento “bloqueado”.
- Registro de los datos del mismo interesado incorporados a los terminales de acceso.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
34/128
- Logs registrados en relación con los accesos de dicho interesado al estadio hasta la
fecha, tanto del proceso de reconocimiento del interesado en el terminal como de los envíos
realizados a los servidores de SEFPSA.
Respondió aportando como DOCUMENTO NÚMERO 10, informe emitido por VERIDAS
DIGITAL AUTHENTICATION SOLUTIONS, S.L. que incorpora la descripción de un ejemplo
concreto que relaciona los datos almacenados en el sistema tras el proceso de alta, entre
los que figuran: hash del número de DNI, identificador de acceso, código alfanumérico que
representa el vector facial, y datos internos (identificador interno del sistema, fechas de
creación, actualización, etc.). Según señala, si un usuario se da de baja del sistema (retira
su consentimiento), estos datos son eliminados.
Asimismo, dicho documento incorpora también un ejemplo concreto de los datos que
permanecen bloqueados. Identifica los ficheros en los que manifiesta que se consignan los
datos siguientes: capturas del anverso y reverso del DNI efectuadas en el proceso de alta,
contenido del QR escaneado durante el proceso de digitalización del abono, resultados del
proceso de verificación digital de la identidad, vector biométrico generado a partir de la foto
selfie del usuario.
- Datos incorporados en el proceso de reconocimiento de entrada al estadio. De acuerdo
con lo visto anteriormente, el proceso de reconocimiento tiene lugar en los propios
terminales de acceso, en los que “se almacenan el vector facial y el identificador de acceso
de los usuarios registrados”. De este modo, según lo expuesto, la comparación se efectúa
“entre el vector biométrico generado en el momento de acceso y el vector biométrico
generado en el momento de registro del usuario” en los sistemas de DAS-GATE.
Osasuna ha facilitado (documento 10) un ejemplo concreto que relaciona los datos
almacenados en los terminales del estadio. Según señala, coinciden con los registrados en
el sistema tras el alta: hash del número de DNI, identificador de acceso, código alfanumérico
que representa el vector facial, y datos internos (identificador interno del sistema, fechas de
creación, actualización, etc.). Según señala si un usuario se da de baja del sistema (retira su
consentimiento), estos datos son eliminados en virtud del “proceso de sincronización
establecido”.
Además, Osasuna expresó en su primera respuesta que “no almacena la imagen captada
por el lector ubicado en el acceso al recinto ni el vector facial generado a partir de ésta, que
únicamente se tratarán y conservarán durante el tiempo mínimo imprescindible para llevar a
cabo la identificación del abonado”.
Así, indica que cada vez que el terminal trata de realizar una identificación se registran los
siguientes datos: fecha y hora; identificador del terminal biométrico; identificador de acceso
del abonado más parecido al que se está tratando de identificar; y puntuación de similitud
biométrica obtenida; registro del envío de la petición a los servidores de SEFPSA (en el
caso de que la puntuación supere el umbral mínimo estipulado). Tal y como dispone el
Informe EIPD esta información registrada sí se almacena en los servidores de DAS-GATE
contratados con ***EMPRESA.1 (en adelante, ***EMPRESA.1). El tiempo de conservación,
según cita Osasuna (EscritoOsasuna1), es “hasta el comienzo de la temporada posterior a
aquélla a la que se refiere el acceso almacenado, en que se procederá igualmente a su
bloqueo durante el plazo de tres años anteriormente mencionado”.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
35/128
Igualmente, el Informe EIPD señala que a los servidores de SEFPSA se trasladará
únicamente, cuando el reconocimiento resulte positivo, el identificador de acceso
correspondiente, al efecto de que tome la decisión de si abrir o no el torno”, siendo ese dato
necesario que tiene como objetivo evitar el fraude en el acceso al recinto como la entrada
duplicada al estadio con un mismo abono, y constituyendo una de las medidas impuestas
por la Ley Antiviolencia, que en su artículo 11.1 determina:
Aporta como DOCUMENTO NÚMERO 11, los logs de autenticación de los accesos por los
interesados al estadio El Sadar de un usuario concreto, con un apartado 1, titulado “Registro
de ejemplo con los datos que permanecen de un interesado concreto en el sistema una vez
concluido el proceso de alta”
Se indica que para poder consultar los datos solicitados es necesario acceder a las bases
de datos del entorno productivo, acción solo disponible para el administrador del sistema, y
para la obtención de los datos de un usuario registrado en el sistema se ha de conocer el
(…) al que se le aplica una (…) para obtener el (…). Desde ahí, accede al objeto (…), que
contiene almacenadas las propiedades de los usuarios. Señala que se ofrece la información
del identificador extraído del QR, ID de acceso del abonado, y luego obtiene el objeto “(…)”,
“tipo de datos utilizado por VERIDAS para poder completar los procesos de autenticación en
los terminales biométricos a través de una consulta por (…) a la base de datos. Indica que
aparece el dato “(…) extraído durante el registro a partir (…) identificado con el (…).
En el punto “2. Registro de ejemplo de los datos que permanecen del mismo interesado
concreto en el almacenamiento bloqueado”, indica que, entre otros, se contienen los
archivos del (…).
También aporta los logs que refieren peticiones de acceso enviadas a los sistemas de
SEFPSA. Entre otros datos, contiene: fecha, identificador de acceso del usuario,
identificador del terminal de acceso, valoración de la identificación (numérica, con valores
entre 993 y 999) e identificación del éxito de la identificación (en todos los casos
ejemplificados ha sido exitosa).
1.9 Como parte del escrito previo se ha facilitado la información que se presentaría en una
segunda capa de información. Se solicita identificar la dirección de internet en la que se
encuentra esa información.
Respondió que “La información correspondiente al tratamiento de datos personales en
relación con el acceso al estadio El Sadar a través del sistema biométrico, resulta accesible
en el enlace https://www.osasuna.es/facialRecognitionPolicy”. No obstante, a fin de facilitar
el citado acceso, se aporta DOCUMENTO NÚMERO 12, documento actualizado enero 22.
El documento contiene el mismo que se reseña en el punto 1.5 DOCUMENTO 7.
1.10 Capturas de pantalla del sistema que muestren cómo el interesado accede a su cuenta
de usuario en el sistema de DAS-GATE y:
- Ejerce el derecho de acceso y obtiene el resultado.
- Revoca el consentimiento y ejerce el derecho de supresión.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
36/128
Respondió que “Se aportan, como DOCUMENTO NÚMERO 13, las capturas de pantalla
correspondientes al acceso de los interesados a su cuenta de usuario en el sistema, así
como el ejercicio de los derechos de acceso, supresión y revocación del consentimiento,
junto con los resultados correspondientes al ejercicio de cada uno de los mencionados
derechos.”
En las capturas de pantallas del DOCUMENTO 13 figura, desde la página web de Osasuna,
abonados.osasuna.es, en la pestaña de “área de socio”, introduciendo usuario y contraseña
si ya se está registrado, lleva a una ventana en la que figura entre otras, la de “ Datos de tu
abono”, “acceso biométrico”. Pinchando en esta última, lleva a una URL de Das GATE en la
que se ve la pantalla de información inicial de “Ahora podrás acceder a El Sadar con tu cara”
y una pestaña en la que se puede iniciar el proceso, con la pestaña “Comenzar”. La captura
de pantallas aportada reitera el proceso de alta.
Se inicia con otra de “Regístrate”, para acceder al sistema de registro para acceder con
biometría facial-Recomendamos utilizar smartphone-“Escanear este QR con tu móvil para
continuar”
La siguiente pantalla que aparece es la que contiene los espacios para completar el número
del DNI y el e mail. Debajo figura “Al hacer clic en Registro aceptas la política de privacidad”,
y otra de “consiento…” Debajo la pestaña “regístrate”
Se manifiesta por C.A. OSASUNA que al clicar sobre los checkboxes de consentimiento, se
despliega un pop up que muestra obligatoriamente el texto de la primera capa”. “Es desde
ese pop-up desde donde se acepta -opt-in- el tratamiento dando el consentimiento, de forma
que el usuario siempre va a ver esa información antes de poder consentir”. “Si el usuario no
acepta ambos ckeckboxes-se dividen en dos para garantizar mayor claridad-no puede
continuar con el proceso, no puede clicar en “Regístrate”
Adjunta la copia de la lectura del literal informativo “términos condiciones información básica
sobre protección de datos.
Adjunta el resto de las capturas de pantalla que continúan el proceso de registro de datos
para el alta ya examinados: “Escanear el QR de tu abono”, “Escanear el documento oficial”,
“selfie”.
También aporta el proceso de acceso al portal de usuario, entrando también por “Área de
socio”, accediendo a la misma página cuando fue a darse de alta, figurando la opción:
¿Quieres darte de baja?, para hacer según C.A. OSASUNA, más claro al usuario, lo “que
desencadenaría la retirada del consentimiento y supresión de sus datos con esa finalidad de
forma sencilla”. El proceso sigue registrado su DNI, y pidiendo el sistema que se haga un
SELFIE para completar el acceso a su cuenta.
Una vez que ha accedido figuran las opciones de derecho de acceso, en forma de “consulta
de mis datos”.
También aporta como complemento el modelo de escrito para ejercer el ejercicio de
derechos, en el que figuran los espacios para rellenar los datos de nombre y apellidos, DNI,
e mail, móvil, y subir un ARCHIVO, y un desplegable con los derechos, figurando también la
“revocación”, y la pestaña de “Enviar”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
37/128
Señala C.A. OSASUNA que cuando se ejerce el derecho el usuario recibe un SMS en su
teléfono móvil con la confirmación que su solicitud ha sido enviada. Aporta imp4sion de un
mensaje en el que se le informa:
“Toque el enlace para confirmar su solicitud ARSOL”, figurando un link para clicar. “Gracias
por confirmar su solicitud ARSOL”.
“Tras esa solicitud, dentro de los plazos legalmente establecidos, el usuario recibe por
correo electrónico respuesta.”
En cuanto al proceso de revocación, C.A. OSASUNA señala:
“Si bien el usuario podría ejercer este derecho a través de la página web de Osasuna de
ejercicio de derechos ARSOL antes indicada (en cuyo caso los pasos serían equivalentes a
los ya indicados), se le ofrece al usuario una vía más rápida y directa de revocación del
consentimiento para la finalidad concreta de acceso mediante reconocimiento facial.
De hecho, Osasuna siempre ha querido que los usuarios pudiesen darse de baja de manera
sencilla si deseaban dejar de utilizar este método de acceso (y continuar accediendo por los
otros métodos disponibles). Es por esto por lo que, como antes se ha mencionado, se le
ofrece al usuario el botón claro de “¿Quieres darte de baja?” desde el apartado de Acceso
Biométrico de su perfil.
Una vez accede a su portal de usuario siguiendo ese botón, se le indica la opción de
“Eliminar cuenta”, que figura junto a la opción de “consultar mis datos”.
El proceso, según la captura de pantalla que aporta precisa introducir el número del DNI,
manifestando C.A. OSASUNA que “en la base de datos no se está almacenando este dato,
necesario para desencadenar el borrado de los datos personales que estuviesen activos en
el sistema y la notificación al gestor de consentimientos de Osasuna de que dicho usuario
se ha dado de baja en el uso del sistema de acceso mediante reconocimiento facial. Debe
tenerse en cuenta que esa baja concreta lo es de este sistema y que no implica que el socio
pierda su condición de socio-podrá seguir accediendo con su abono con total normalidad”.
Finaliza indicando que “dicha cuenta es eliminada sin perjuicio de los datos bloqueados que
corresponda, desactivándose la opción de que el usuario pueda acceder al estadio el Sadar
mediante reconocimiento facial. Asimismo, ya no tendrá habilitado el portal de usuario”.
1-11 Evidencias de que la configuración de los servicios provistos por ***EMPRESA.1 no
suponen transferencias internacionales de datos.
Respondió proporcionando una relación de los servicios de ***EMPRESA.1 (en adelante,
“***EMPRESA.1”) involucrados en la prestación del servicio de control de acceso mediante
reconocimiento facial.
Manifiesta que “De todos los servicios anteriores, los únicos en los que residen o pueden
residir datos personales serían: Instancias, RDS y S3. Asimismo, podrían ubicarse datos
personales en (...) en caso de que se detectara una vulnerabilidad en el momento del
análisis.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
38/128
En relación con los mencionados servicios, todos los datos personales gestionados por los
mismos permanecen en la región ***EMPRESA.1 donde están desplegados, es decir, eu-
west-1 (Irlanda).
A mayor abundamiento, en el momento de la contratación de los servicios de
***EMPRESA.1, se realizó un análisis de los servicios que aplicaban al tratamiento de
control de acceso mediante reconocimiento facial al objeto de identificar si realmente no se
producían las mencionadas transferencias de datos personales.
Tras la realización del mencionado análisis, se concluyó que se podrían llegar a transferir
datos personales desde (...), sin embargo, dicha transferencia únicamente sería posible si
existiera una aprobación expresa del cliente que la permita. A este respecto, el proveedor
deshabilitó esta funcionalidad por lo que no es posible que se transfieran los datos
personales. En la siguiente imagen se puede ver evidencia del opt-out realizado-aporta
impresión de pantalla con una configuración habilitada de “AI services opt ut policies”.
“Así, una vez aportada información sobre los servicios de ***EMPRESA.1 que afectan al
tratamiento, a continuación, se muestran como evidencia pantallazos de la consola de
***EMPRESA.1 donde se aprecia la región sobre la que está desplegado cada pieza de
infraestructura antes mencionada -todo en eu-west-1 = Irlanda-:” Aporta varias impresiones
de pantallas.
Añade que “para los servicios de almacenamiento de datos personales, como puede
comprobarse de los siguientes pantallazos, los datos se almacenan cifrados”, y aporta una
serie de impresiones de pantalla con el título de los archivos “encriptado”.
1.12 En caso de haberse realizado, informe de (…) recomendadas por VERI-DAS DIGITAL
AUTHENTICATION SOLUTIONS, S.L. (en adelante, VERIDAS) en el contrato suscrito con
Das-gate.
Respondió que “Considerando que el proveedor dispone de diversas certificaciones en
materia de seguridad de la información, (…) de diversos componentes empleados en los
sistemas de acceso mediante identificación biométrica, OSASUNA no ha considerado
necesario realizar uno adicional al contar con los resultados y conclusiones arrojados por el
ya elaborado.”
1.13 La Evaluación de Impacto de Protección de Datos adjunta al escrito previo, cita partes
del documento “Informe técnico. Tecnología de biometría facial” de DAS-GATE Se solicita
copia de dicho documento.
Respondió aportándolo en DOCUMENTO 14 “Informe técnico. (…)”, (14 páginas) de VERI-
DAS, primera versión (…), en el que se cita:
“Importancia y necesidad del reconocimiento seguro de la identidad real en el entorno
digital”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
39/128
“Y al igual que en el entorno físico decimos que la sociedad nos reconoce por lo que somos,
en el entorno digital la acreditación de la identidad también debe girar en torno a la persona,
a sus atributos, y no en torno a dispositivos o tarjetas que éstos puedan poseer.
“Los sistemas biométricos que son la clave para llevar a cabo esa acreditación de la
identidad real en el entorno digital”.
“A lo largo del informe se analizan (…).
Del estudio de lo anterior, se concluye que el empleo de modelos biométricos basados en
Inteligencia Artificial permite garantizar la privacidad por defecto y desde el diseño de estos
Sistemas”
“Del empleo de sistemas biométricos se derivan habitualmente dudas en cuatro principales
ámbitos:
Protección de los datos personales.
Calidad o precisión de la tecnología biométrica.
No discriminación de los usuarios.
Detección de intentos de suplantación de identidad.
A lo largo de este documento, se intenta explicar (…), que permite dar respuesta y evitar o
mitigar los riesgos que pudieran derivarse.”
“Los sistemas de verificación (1:1 o uno-a-uno) e identificación (1:N o uno-a-varios)
biométrica modernos (…).”
En el apartado 2 (…)”, indica que el elemento clave de reconocimiento biométrico es el
motor empleado. Lo es desde el punto de vista técnico, en la medida en que (…)”
Distingue (…) modelos de motores biométricos:
“Modelos biométricos (…).
En el otro lado, analiza los modelos biométricos modernos basados en IA, en concreto
basado en redes neuronales.
“(…).
Como consecuencia, en este modelo (…).
Disponer de ese vector, por tanto, no supone que la información biométrica haya sido
comprometida ni que ya no se pueda cancelar.”
“Además, los niveles de precisión de los que utilizan redes neuronales son mucho mayores
(…).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
40/128
El apartado 2.2 “(…)”:” Los algoritmos usados se basan en técnicas de aprendizaje
automático. Concretamente en redes neuronales artificiales “profundas” (acuñado en inglés
como “Deep Lear Ning”). (…).”
Explica el proceso técnico a partir de (…).
Indica que “cada vector (…).”
“cabe mencionar que todo lo anterior se refiere a la privacidad intrínseca del (…), pero no se
deben obviar el resto de las estrategias de seguridad que se aplican sobre el mismo, como
pueden ser (…).”
“Lo expuesto en este apartado permite clarificar que existe un claro malentendido en la
creencia de que los datos biométricos son permanentes en el tiempo y que no se pueden
cambiar en caso de compromiso o pérdida de los mismos. Nuestras caras nos caracterizan
y han sido empleadas siempre por el ser humano para reconocer a las personas; ahora,
permiten reconocerlas también apoyados en la tecnología. La cara seguirá
representándonos siempre, y ésta no va a cambiar (a salvo, por supuesto, de operaciones
significativas, estéticas o por salud), (…). Por tanto, los vectores biométricos no son únicos,
cambian (…), por lo que pueden ser modificados en cualquier momento sin que se vea
comprometida la seguridad de su uso.”
Señala que
-el NIST, organismo dependiente del Departamento de Comercio de los EEUU ha valorado
en octubre 2021 el sistema de RF de VERIDAS en el Face precognición Vendor Test on-
going, quedando entre el 25% de los mejores sistemas presentados den la categoría (…) de
FVVT 1:1
-El organismo de certificación independiente (…) ha acreditado que VERIDAS acredita el
cumplimiento de la norma (...) information (…) presentación (…). Aportan enlace
1.14. Documentación de carácter técnico que acompaña los contratos referidos en el escrito
previo (entre Osasuna, DAS-GATE, y VERIDAS) según lo señalado en los propios
contratos.”
Respondió que se aportan como DOCUMENTOS NÚMERO 15 a 17 los siguientes
documentos:
• Preguntas y respuestas en torno al nuevo sistema de acceso al estadio El Sadar
(1).pdf
• Manual_instalacion_DAS-GATE _v1 (1).pdf
• Info_garantia_DAS-GATE _ESP_.pdf
QUINTO: Incorporación de documentación en las actuaciones previas de investigación.
Con fecha 26/10/2023, se realiza diligencia por el Inspector, haciendo constar la
incorporación a las actuaciones de inspección de diversa documentación, de la que interesa
destacar:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
41/128
1. Reglamento General de la Liga Nacional de Fútbol Profesional (RGLNFP). Descargado el
día 16/02/2023 de la dirección de internet https://www.laliga.com/transparencia/normativa,
aprobado por la Comisión Directiva del CSD el 7/11/2022.
2.Certificación del acuerdo de aprobación del Consejo Superior de Deportes del Libro XII del
RGLNFP. Procedente del escrito de número de registro REGAGE(...) correspondiente a
expediente EXP202213792, con antecedente del AI/00444/2022.
El escrito de la comisión Directiva del CSD (competente para aprobar la modificación del
RGLNFP, en virtud de lo previsto en los artículos 10. 2. b), de la Ley 10/1990, de 15/10, del
Deporte, y el 3.b), del Real Decreto 1242/1992, de 16/10, por el que se regula la
composición y funcionamiento de la Comisión Directiva, certifica que en la sesión de
23/12/2015, se adoptó el acuerdo en el que, entre otras se incorpora el libro XII que versa
sobre la venta de abonos y entradas.
3.Comunicado dirigido por la Comisión Permanente de la Comisión Estatal contra la
Violencia, el Racismo, la Xenofobia y la Intolerancia en el Deporte (CEVRXID) a la Liga
Nacional de Fútbol Profesional el día 15/03/2022. Procedente del escrito de número de
registro REGAGE(...) correspondiente a EXP202213792.
4. Informe 98/2022 del Gabinete Jurídico de la AEPD, de 22/12/2022, extraído el día
24/08/023 del sitio de internet de la AEPD (https://www.aepd.es/es/documento/2022-
0098.pdf).
Este informe responde a la consulta planteada por la CEVRXID sobre si “la adopción de un
acuerdo de la misma en el ámbito de sus competencias (art 13.1.b) Ley 19/2007 de 11/07,
contra la violencia, el racismo, la xenofobia y la intolerancia en el deporte”, (en lo sucesivo
LEY ANTIVIOLENCIA) ”estableciendo medidas para el cumplimiento de los clubes
consistentes en la instalación de sistemas biométricos para el control de todos los accesos a
las gradas de animación que permita la identificación unívoca de los aficionados que
accedan a dichas gradas, sería viable jurídicamente conforme a la normativa reguladora de
protección de datos.”
Por consiguiente, a juicio del consultante, el tratamiento de los datos personales de los
aficionados, incluidos sus datos biométricos, se realizaría en aplicación del artículo 6.1.e)
del Reglamento (UE) 2016/679 General de Protección de Datos (RGPD), es decir, que el
tratamiento de los datos sería necesario “para el cumplimiento de una misión realizada en
interés público o en el ejercicio de poderes públicos conferidos al responsable del
tratamiento”.
Tras efectuarse el análisis, se concluye que “la adopción del acuerdo de la CEVRXID en el
ámbito de sus competencias, estableciendo medidas para el cumplimiento de los clubes
consistentes en la instalación de sistemas biométricos para el control de todos los accesos a
las gradas de animación que permita la identificación unívoca de los aficionados que
accedan a dichas gradas, no es conforme con la normativa reguladora de protección de
datos.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
42/128
5.Comunicado dirigido por la CEVRXID a la Liga el día 21/03/2023. Procedente del escrito
de número de registro REGAGE23e00022024546 correspondiente a la actuación
EXP202213792, en el que comunica a la LNFP el acuerdo adoptado en su reunión de
13/03/2023.
6.“Circular Nº 19 de la Temporada 2022/2023, de la Liga, del 23/03/2023”, por la que se
trasladó a los Clubes lo indicado por la citada CEVRXID, informando asimismo del informe
AEPD de 22/12/2022. Procedente del escrito de número de registro REGAGE(...),
correspondiente a EXP202213792.
7. Contenido del sitio de internet https://VERIDAS.com/es/proteccion-datos/ descargado el
día 25/08/2023.
En el mismo, se publicita como “creemos en el derecho de las personas a utilizar su
biometría para ser identificados de manera voluntaria y segura”, “privacidad por defecto y
desde el diseño”.
Informa sobre “onboarding digital”, “solución que permite realizar todo el procedimiento de
verificación de identidad a distancia, tanto a través de una app como de una web”, “se
tomará una fotografía o video del usuario y de un documento que le permita demostrar su
identidad. Todos los datos contenidos tanto en el documento como en la imagen del rostro
se mandarán a los sistemas de validación desarrollados por VERIDAS.
En esta fase, se realizará el análisis de la veracidad del documento con el tratamiento de los
datos en él contenidos y de la identidad de la persona, para lo que se crearán dos vectores
biométricos: uno a partir de la foto que contiene el documento y otro con el de la foto selfie
que se toma el usuario en ese momento; al compararlos entre sí en un proceso de los
conocidos como 1 a 1, se permite comprobar que una persona es quien dice ser.
Tras realizar la comprobación, estos datos se envían a la empresa cliente de VERIDAS que
en general actuará como responsable (aunque pueda haber casos en los que nuestro
cliente actúe como encargado en cuyo caso trasladará la información al responsable) y se
eliminan los sistemas de VERIDAS al instante. “
Informa sobre.
- “autenticación facial” “que supone comprobar que una persona es quien dice ser,
pero en este caso la persona ya se tiene que haber dado de alta en los sistemas. Por ello, o
bien consta en una base de datos de nuestro cliente, o bien ha recibido un código QR
biométrico que le permitirá acceder”. Finaliza indicando que “no quedará ningún dato tuyo
en nuestros sistemas, ya que estos se usarán solo para hacer la comparación y a
continuación se eliminarán”.
- “Medidas para garantizar confianza y seguridad en el tratamiento de datos
personales”, señalando entre otros aspectos que usan tecnología biométrica basada en
inteligencia artificial con la que “se recaban los datos que van a ser procesados por el motor
biométrico, y se envían a el”” En este motor se procesarán los datos, generando lo que se
conoce como “vector biométrico, que no es más que una formade representar las facciones
de las personas. A simple vista es una cadena numérica muy larga…”.” que tiene las
siguientes ventajas:
- “es irreversible, no es posible reconstruir la cara a partir del vector, los números no
representan distancias entre puntos característicos de la cara, sino que son una
interpretación única que el motor biométrico hace de ella y que solo el entenderá”.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
43/128
- “no es interoperable, no es posible usar el vector en otros sistemas, ya sean
motores biométricos distintos u otros versiones del mismo motor que lo creó. Esto también
implica que, simplemente actualizando la versión del motor biométrico, los vectores creados
por la versión anterior no servirían para nada. Por tanto, en caso de sustracción o acceso no
autorizado, estos datos serían totalmente inservibles, solo se tendría una ristra de números
a la que no se podría dar sentido”.
- “VERIDAS no conserva ni los datos personales del usuario ni los vectores
biométricos que se han creado: Una vez realizado el proceso para el que se nos ha
contratado y enviada la información relevante al cliente, borramos toda la que haya estado
en nuestros servidores de forma automática”
-En la sección FAQs “¿Qué datos se tratan para el uso de las soluciones de VERIDAS?, se
explica que “VERIDAS solo trata los datos de documentos identificativos, imagen que la
persona ha proporcionado para verificar su identidad (mediante fotografía, video o
grabación) y que serán distintos en función de la solución que esté utilizando”.
-En cuanto a transferencias internacionales, informa que “utiliza los servidores que
***EMPRESA.1 tiene en Alemania e Irlanda para alojar sus servicios en la nube”
-Informa sobre: “motor biométrico, es el nombre que se le da al conjunto de algoritmos que
transforman los datos de la cara -obtenido en nuestro caso a través de una fotografía o
video- en lo que se conoce como “vector biométrico”: un dato biométrico, por haber sido
sometido a un tratamiento técnico específico, conformando una cadena de números
irreversible
8. Contenido del sitio de internet https://VERIDAS.com/es/cumplimiento/ descargado el día
25/08/2023.
En el que se ofrece información sobre certificaciones tecnológicas de que dispone:
-National Institute o Standards and Technology, del Departamento de Comercio de Estados
Unidos,
-Del CCN, el certificado de cumplimiento de requisitos de seguridad del anexo F.11 de la
Guía de seguridad de las TIC-CCN-STIC-140 con categoría ENS alto.
- (...) normativa que hace referencia a detección de intentos de suplantación o engaños del
sistema,
-Presta servicios a los prestadores de servicios electrónicos de confianza a cumplir los
requisitos de la orden ETD/465/2021 de 6/05, por la que se regulan los métodos de
identificación remota por vídeo para la expedición de certificados electrónicos cualificados.
-Certificado en sistemas (…),
-Certificado de conformidad con el ENS
-Certificado SOC 2 de los servicios desarrollados por VERIDAS. SOC 2 es un informe
basado en los estándares de auditoría de la junta de estándares de auditoría del instituto
estadounidense de contables públicos certificados (AICPA) correspondientes a los criterios
de los servicios de confianza (TSC). Se indica que “incluye una descripción de más de 100
controles establecidos para proteger los datos tratados en los servicios ofrecidos por las
soluciones de VERIDAS”.
9. Contenido del sitito de internet https://www.osasuna.es/privacyPolicy descargado el día
6/09/2023 utilizando la carga forzada con vaciado de caché.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
44/128
El documento titulado “política de privacidad” última actualización noviembre de 2019.
Refleja al C.A. OSASUNA como responsable, sin que figure referencia al DPD. Entre otros,
por relacionarse con el asunto, figura:
a) En “Finalidad del tratamiento y naturaleza de los datos tratados, indica que “En función
del formulario que en cada caso complete el usuario, los datos podrán ser tratados con las
siguientes finalidades”:
-de naturaleza contractual: facilitar la gestión de la prestación de servicios pactados,
mantener la relación comercial, así como cualquier otro servicio que se contrate con
posterioridad”,
-basadas en el consentimiento del interesado: con fines de mercadotecnia para el envío de
newsletters y comunicaciones técnicas relacionadas con nuestra actividad,
-basadas en el cumplimiento de una obligación legal, aplicable al responsable del
tratamiento en lo relacionado con la gestión y administración deportiva y de RRHH,
-basadas en el interés público, en lo relativo a tratamientos de imágenes con fines de
seguridad a través de los diversos sistemas
b) “base que legitima el tratamiento de datos”
“Es el propio consentimiento del usuario que se manifiesta mediante la marcación de la
casilla de aceptación como paso previo al envío de cada formulario. El usuario tiene derecho
a retirar el consentimiento en cualquier momento, sin que lo afecte a la licitud del tratamiento
basado en el consentimiento previo a su retirada”.
-También se informa del ejercicio de derechos
Adicionalmente se adjunta el contenido devuelto para la dirección
https://www.osasuna.es/politica-de-privacidad el mismo día 6/09/2023.
10. Acceso al sitio de internet https://osasuna-socios.app.das-gate.com y simulación del
registro realizado el día 7/09/2023.
Acceso por el Inspector, desde el ordenador portátil a la dirección de internet: osasuna-
socios.app.das-gate.com y vista del contenido de la página. El contenido de la vista de la
página se inicia con el logo y “ahora podrás acceder a El Sadar con tu cara” “A través de
esta web puedes registrarte y habilitar tu acceso con la cara al estadio. Una manera más
rápida cómoda y segura de acceder” existiendo otras cinco pestañas más con información.
“Tu privacidad, lo primero
Durante este registro te pediremos que te hagas un selfie que se utilizará únicamente para
facilitarte el acceso al estadio. Esta información será custodiada por el club junto con el
resto de tus datos de abonado
opcional y voluntario
El acceso a biométrico con la cara es opcional y voluntario; podrás seguir entrando a el
Sadar con el abono físico o digital (móvil).
Puertas de acceso que tendrán este sistema
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
45/128
Inicialmente el acceso habilitado con la cara estará habilitado para los socios en las puertas
3,7,8,10,11, 16, 21 y 27. No obstante se podrá seguir accediendo por todas las puertas con
el abono físico o digital (móvil),
¿Que debes tener a mano para el registro?
Tu abono de socio
Tu DNI”
Figura una pestaña de “comenzar” y aquí finalizan las seis pestañas informativas.
Al dar a “comenzar”, se muestra la página para iniciar el registro denominada “regístrate”, al
lado figura:” ¿quieres darte de baja?”
“Pulsando el botón para iniciar el registro, nos muestra un código QR para escanear, y nos
recomienda continuar con el smartphone porque en PC puede dar error. Alternativamente da
la opción de continuar desde el PC”
“El código QR nos deriva a la dirección de internet: https://osasuna-socios.app.das-
gate.com/, y esa dirección es la referida al principio de este documento.”
Si continuamos desde el PC se inicia el proceso de registro, saliendo un recuadro para
rellenar NIF o NIE, e mail y una casilla de “Al hacer clic en regístrate aceptas nuestra política
de privacidad “
Debajo una segunda casilla de “consiento de forma expresa el tratamiento de mis datos
personales, incluida mi imagen para la generación de un vector facial mediante un sistema
de inteligencia artificial que permite mi identificación en el momento de acceder al estadio”,
al lado la pestaña “regístrate”, ¿y otra de “Ya tienes una cuenta? “iniciar sesión”.
Al presionar el primer “Check” de “Al hacer clic en regístrate aceptas nuestra política de
privacidad “, nos muestra en pantalla una primera capa de información de protección de
datos personales, de la que se adjunta impresión, bajo el literal: “términos y condiciones”
“información básica sobre protección de datos”, con los datos del responsable: C.A.
Osasuna, la “finalidad: Control de accesos mediante sistema de reconocimiento facial,
legitimación: consentimiento del interesado art 6.1.a) y 9.2.a) RGPD, autorización expresa
para el tratamiento de las imágenes mediante el sistema de inteligencia artificial,
reconocimiento facial, generando un vector que permite identificar al usuario para el control
de accesos a las instalaciones.
Informa sobre los destinatarios, y sobre los “derechos de acceso y rectificación y supresión”
“así como otros derechos, indicados en la información adicional” que puede ejercer
dirigiéndose a [email protected] y a [email protected] y/o pinchando en el enlace de
la web y del portal del socio- “ejercicio de derechos ArSol”
” Información adicional: Puede consultar información adicional y detallada sobre protección
de datos aquí: https://www.osasuna.es/politica-de -privacidad”,
A la derecha del documento figuran las casillas de “rechazar” y “aceptar”.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
46/128
Al pulsar en enlace a la política de privacidad (información adicional), se obtiene dentro de la
web de Osasuna “página no encontrada”.
Si en el ckeck de la derecha del documento pulsamos el botón “Rechazar”, nos devuelve al
formulario sin el “Check”, mientras que, si pulsamos “Aceptar”, nos devuelve con el “Check”
marcado
Al rellenar todos los apartados de “registro”, “NIF o NIE”, “e mail”, casilla de “al hacer clic en
regístrate aceptas nuestra política de privacidad” y la otra casilla de “consiento…”se activa la
pestaña de “regístrate”
“Al pulsar el botón de registro se inicia el proceso solicitando mostrar en cámara el código
QR del abono:”.
11. Accesos a las direcciones de internet https://www.osasuna.es/politica-deprivacidad y
https://www.osasuna.es/acceso-biometrico-a-el-sadar y a los registros de las mismas en “el
archivo de internet” (https://web.archive.org/). Realizado el día 10/10/2023.
En la primera dirección se accede a través de la herramienta “internet archive” a los 8
registros de 2022 y 2023, el ultimo de 1/06/2023, y todos refieren como última actualización
noviembre de 2019. Se imprime su contenido
Igualmente se accede el 10/10/2023 a https://www.osasuna.es/politica-deprivacidad y como
resultado figura que “página no encontrada”
El 10/10/2023 se intenta acceder a https://www.osasuna.es/acceso-biometrico-a-el-sadar
figurando “página no encontrada”
“El acceso el día 10 de 10 de 2023 a través de Internet Archive (https://archive.org/web/) al
histórico de registros de la dirección https://www.osasuna.es/acceso-biometrico-a-el-sadar,
da 4 versiones registros de 2022 y 2023: 15/04/2022, 25/05/2022, 27/09/2022, y
31/05/2023”, imprimiendo su contenido.
En el mismo, se informa de la instauración el 10/04/2022 de la prueba piloto de acceso a
través de acceso biométrico con reconocimiento facial y “el próximo 20/04 serán ya ocho las
puertas que ofrecerán a los socios la posibilidad de utilizar este tipo de accesos”, se indica
que para los que lo deseen, como una forma de acceso más rápido, cómoda y segura
porque permite acceder sin tener el carnet. Figura una sección de FAQS, y otra de
“regístrate para utilizar el acceso biométrico”” regístrate en un minuto”.
12. Descarga de la información relativa a (…). (https://tienda.aenor.com/norma-(...)
Se ofrece en una hoja información AENOR tienda sobre “Tecnología de información,
técnicas de seguridad, gestión de sistemas de seguridad de la información, exigencias”.
13. Descarga de información relativa a la (...) realizada el día 19/10/2023 desde la url:
***URL.1
Se ofrece información (…), sobre evaluación de seguridad.
14. Descarga de la información relativa a la norma (…) sitio de internet de AENOR el día
21/10/2023. (***URL.2)
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
47/128
Se trata de un folio con el anuncio de la tienda AENOR de “sistemas de gestión de la
calidad”.
15. Descarga de la información relativa a la norma (…) del sitio de internet de AENOR el día
22/10/2023. (***URL.3)
Consiste en un folio que ofrece información de la venta del producto “detección de ataque
biométrico, ensayos e informes.
16. Navegación a través del sitio de internet del NIST y sus programas sobre reconocimiento
facial realizada los días 22 y 23/10/2023.
17. Informe de evaluación del algoritmo (…) en la evaluación FRTE 1: N Identification,
descargado de ***URL.4.pdf
18. Informe de evaluación del algoritmo (…) en la evaluación FRTE 1:1 Verification,
descargado de ***URL.5.html
Se compone de un informe gráfico de la entidad NIST, fecha de generación 28/09/2023.
19. Informe de evaluación del algoritmo (…) en la evaluación FRTE 1:1 Verification,
descargado de ***URL.6.html
Se compone de un informe gráfico de la entidad NIST, fecha de generación 28/09/2023.
20. Captura, el día 23/10/2023, del contenido del sitio de internet
https://www.osasuna.es/facialRecognitionPolicy y descarga de los documentos enlazados al
mismo (política de privacidad y declaración responsable)
Figura “POLÍTICA DE PRIVACIDAD RELATIVA AL RECONOCIMIENTO FACIAL”,
informando que “ha implantado los requisitos y medidas del RGPD y la LOPDGDD en
relación con la obligación que establece el artículo 35 del RGPD en cuanto al tratamiento de
datos biométricos para acceso mediante reconocimiento facial”, a continuación, dos
descargables:
1-POLÍTICA DE PRIVACIDAD RELATIVA AL RECONOCIMIENTO FACIAL: que contiene
cuatro folios y se titula: “TRATAMIENTO DE LOS DATOS DE CONTROL DE ACCESOS A
LAS INSTALACIONES POR RECONOCIMIENTO FACIAL-información completa sobre
protección de datos”, Fecha última actualización: enero 2022, señalando:
- datos del responsable, del DPD,
- ¿Con qué finalidad tratamos sus datos personales?
En CLUB ATLÉTICO OSASUNA tratamos la información que nos facilitan las personas
interesadas con el fin de Gestión de los accesos a las instalaciones de los/as socios/as
mediante reconocimiento facial creado con el tratamiento de imágenes generando un vector
que permite identificar al socio/a.
CLUB ATLÉTICO OSASUNA tratará estos datos con las siguientes finalidades:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
48/128
Alta del Abonado (AA) – se tratarán los datos personales de las personas abonadas con la
finalidad de digitalizar éstos y verificar la identidad del abonado con el objetivo de darle de
alta en el sistema de DAS-GATE, proveedor contratado por C.A. Osasuna para la prestación
del servicio de acceso biométrico. Los datos a tratar con esta finalidad serán aquellos datos
facilitados por el interesado (datos identificativos), así como el Documento Nacional de
Identidad, la imagen obtenida de un selfie del interesado y los contenidos en el código QR
del abono (número de abonado y de DNI, así como ID de acceso).
Acceso Biométrico (AB) – se tratarán los datos personales con la finalidad de permitir el
acceso al estadio de Club Atlético Osasuna mediante reconocimiento facial, sistema
alternativo de entrada que permite robustecer la seguridad de acceso al mismo, así como
agilizar la entrada al mismo, facilitando ésta a los socios y socias del Club.
Iniciar Sesión en portal das-Gate (IS) – se tratarán los datos personales de los
interesados con la finalidad de que éstos puedan identificarse y acceder al portal de DAS-
GATE, de manera que puedan gestionar el acceso mediante reconocimiento facial asociado
al abono, pudiendo solicitar la baja en este servicio o la cesión del abono, en aquellos casos
en que esté permitido.
No se van a tomar decisiones automatizadas en base a los datos proporcionados.
- ¿Por cuánto tiempo conservaremos sus datos?
Los datos identificativos del socio/a se conservarán durante el tiempo que dure el proceso
para la generación de los vectores correspondientes, siendo eliminados automáticamente
por los sistemas informáticos en ese mismo momento.
Los vectores irreversibles, así como las ID de acceso y la ID de usuario (creada por el
socio), se conservarán hasta que los interesados/as soliciten su supresión, salvo que
apliquen otras previsiones legalmente establecidas. En todo caso, los datos se suprimirán
en caso de que el usuario/a dejase de ostentar la condición de abonado del C.A. Osasuna o
cesionario/a de un abono del Club.
- ¿Cuál es la legitimación para el tratamiento de sus datos?
Le indicamos la base legal para el tratamiento de sus datos:
Consentimiento del interesado/a: Art. 6.1.a) RGPD UE 2016/679 y Art. 9.2.a) autorización
expresa para el tratamiento de las imágenes mediante un sistema de IA (Inteligencia
Artificial), reconocimiento facial, generando un vector que permite identificar al socio/a, para
el control de accesos a las instalaciones.
- ¿A qué destinatarios se comunicarán sus datos? No están previstas cesiones de datos a
terceras entidades, salvo aquellas transmisiones realizadas a terceras empresas y
entidades relacionadas con el responsable de tratamiento necesarias para la prestación del
servicio, como es DAS-GATE, entidad proveedora de los dispositivos y sistemas necesarios
para llevar a cabo el tratamiento de datos para el acceso mediante reconocimiento facial.
-Transferencias de datos a terceros países
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
49/128
No están previstas transferencias de datos a terceros países.
- ¿Cuáles son sus derechos cuando nos facilita sus datos?
Cualquier persona tiene derecho a obtener confirmación sobre si en CLUB ATLÉTICO
OSASUNA estamos tratando, o no, datos personales que les conciernan.
Las personas interesadas tienen derecho a acceder a sus datos personales, así como a
solicitar la rectificación de los datos inexactos o, en su caso, solicitar su supresión cuando,
entre otros motivos, los datos ya no sean necesarios para los fines que fueron recogidos.
Igualmente tiene derecho a la portabilidad de sus datos.
En determinadas circunstancias, los interesados podrán solicitar la limitación del tratamiento
de sus datos, en cuyo caso únicamente los conservaremos para el ejercicio o la defensa de
reclamaciones
Podrá ejercitar materialmente sus derechos a través del Área Privada de cada usuario en el
Portal de DAS-GATE, en la cual se han habilitado las opciones de ejercitar sus derechos a
través de formularios en los que el interesado deberá acreditar debidamente su identidad.
Tiene derecho a retirar dicho consentimiento en cualquier momento, sin que ello afecte a la
licitud del tratamiento basado en el consentimiento previo a su retirada.
En caso de que sienta vulnerados sus derechos en lo concerniente a la protección de sus
datos personales, especialmente cuando no haya obtenido satisfacción en el ejercicio de
sus derechos, puede presentar una reclamación ante la Autoridad de Control en materia de
Protección de Datos competente a través de su sitio web: www.aepd.es.
- ¿Cómo hemos obtenido sus datos?
Los datos personales que tratamos en CLUB ATLÉTICO OSASUNA proceden de: El propio
interesado.
Datos que se tratan:
- Datos identificativos del socio/a. (DNI del titular, anverso y reverso)
- Dirección de correo electrónico del socio/a.
- Datos del código QR abono socio (DNI, número de abonados e ID acceso) - -Numero de
socio/a
-Imagen del socio/a
- Algoritmo “Vector” de la imagen del socio/a.
- ID usuario/a en la plataforma DAS-GATE.
Se tratan las siguientes categorías de datos especiales: datos biométricos
“imágenes” para reconocimiento facial, es decir, para la generación del Vector de
identificación del socio/a.
- 2 “DECLARACIÓN RESPONSABLE DE CUMPLIMIENTO DEL RGPD Y LOPDGDD”, que
se estructura en dos apartados:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
50/128
-El primero, contiene una declaración de 18/02/2022 de que por C.A.OSASUNA “se han
implantado las medidas que establece el artículo 35 del RGPD” en cuanto al tratamiento de
datos biométricos para acceso mediante reconocimiento facial y el índice del documento.
-El segundo, es un resumen de la EIPD, que consiste en un sistema alternativo y
complementario de los procedimientos de admisión de entrada actualmente existentes. Se
contiene un índice, aunque no se explican todos los puntos, tratando solo su introducción y
el 7 “deber de información y derechos de los interesados”.
SEXTO: Breve análisis de la EIPD aportada por C.A. OSASUNA en actuaciones previas de
investigación
De la EIPD aportada por C.A. OSASUNA además de lo citado, cabe destacar:
- “3 Roles de los distintos intervinientes en el tratamiento de datos”. 3.1. “En el presente
supuesto, el tratamiento de los datos se lleva a cabo respecto de los abonados a
OSASUNA, existiendo una relación previa entre aquéllos y el Club, consistente en la
adquisición del abono, siendo la finalidad del tratamiento el garantizar el acceso por los
abonados al estadio El Sadar como consecuencia del hecho de la adquisición del abono
como título de acceso al recinto deportivo.”
-En el punto 4.3 dedica un apartado a lo que lo que diversos documentos del Grupo de
trabajo del GT 29, referidos al riesgo del tratamiento de datos biométricos, sin poder citar las
Directrices 5/2022 adoptada por el EDPB el 26/04/2023 (la EIPD fue aprobada el 4/02/2022
y aportada a este procedimiento el 13/03/2023, que, aunque en materia de aplicación de la
Ley, refiere variados argumentos transversales sobre los derechos
Adjunta tres tablas.
Las primeras se titulan “RIESGOS LEGALES.”
Para describir las “medidas a adoptar” (última columna), describen el “riesgo” en la primera,
y en la del medio: “estado actual”, describiendo las medidas relacionadas con el mismo, las
que tienen implantadas y consideran. En todas las “medidas a adoptar”, figuran “no es
necesario adoptar medidas adicionales”.
Destaca, por ejemplo; “riesgo incumplimiento del principio de licitud, estado actual; se ha
determinado la base jurídica de los tratamientos.
Las segundas tablas, prevén y se denominan: “MEDIDAS ORGANIZATIVAS”. En estas, se
indica la “exigencia legal”, la “medida”, y el “cumplimiento” que en todos los casos responde
SI. Entre otras, figura que “DAS-GATE ha llevado a cabo un análisis de los riesgos derivado
del tratamiento y las medidas necesarias para paliarlos”, o que “las medidas adoptadas han
sido objeto de evaluación y certificación, contando con la medida de que “DAS-GATE cuenta
con las certificaciones ISO en lo que respecta a (…)”
La tabla tres, se denomina “riesgos de seguridad” y su estructura es igual que la anterior,
figurando en el apartado “cumplimiento” SI.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
51/128
Figura la conclusión: “Sobre la base de las conclusiones alcanzadas en los análisis
realizados a lo largo del presente documento en relación con los distintos riesgos legales
que pueden afectar a la actividad del tratamiento examinada, así como las medidas de
índole legal implementadas por parte de OSASUNA para disminuir o mitigar dicho riesgo, se
puede considerar que el tratamiento evaluado no implicaría un alto riesgo para los derechos
y libertades de los interesados”.
SÉPTIMO: Acuerdo de inicio de 4/12/2023
Con fecha 4/12/2023, la directora de la AEPD acordó:
“INICIAR PROCEDIMIENTO SANCIONADOR a CLUB ATLÉTICO OSASUNA con NIF
G31080179, por la presunta infracción del RGPD de los siguientes artículos:
-5.1.c), de conformidad con el artículo 83.5.a) del RGPD, calificada como muy grave a los
solos efectos de la prescripción de dicha infracción, en el artículo en el artículo 72.1.a) de la
LOPDGDD.
- 9, de conformidad con el artículo 83.5.a) del RGPD, calificada como muy grave a los solos
efectos de la prescripción de dicha infracción, en el artículo 72.1.e) de la LOPDGDD.”
“ORDENAR como medida provisional a CLUB ATLÉTICO OSASUNA, con NIF G31080179,
de acuerdo con lo dispuesto en el artículo 69 de la LOPDGDD y artículo 56 de la LPACAP, la
suspensión temporal de todo tratamiento de datos personales relativos a la solución de
reconocimiento facial para el acceso al estadio El Sadar. La medida provisional deberá
llevarse a cabo en el plazo de diez días hábiles, contados desde la notificación de este
acuerdo de apertura del procedimiento, y permanecerá hasta su resolución final, en que
deberá ser confirmada, modificada o levantada, sin perjuicio de lo dispuesto en el art. 56.5
de la LPACAP. A tal fin, deberá justificar ante esta Agencia Española de Protección de Datos
la atención del presente requerimiento.”
“A los efectos previstos en el art. 64.2 b) de la LPCAPAP, la sanción que pudiera
corresponder sería por la infracción del artículo 5.1.c) del RGPD es de una multa
administrativa de 200.000 euros, y la infracción del artículo 9 del RGPD, con otra multa
administrativa de 200.000 euros, suponiendo una cuantía total de 400.000 euros, sin
perjuicio de lo que resulte de la instrucción.”
OCTAVO: Envío de copia del expediente
Con fecha 7/12/2023, C.A. OSASUNA solicita ampliación de plazo para efectuar alegaciones
y copia del expediente.
La comunicación de la ampliación de plazo se remitió el 12/12/2023, junto al escrito con la
copia del expediente en soporte USB cifrado, al exceder del máximo permitido en el sistema
Notific@, formalizándose la entrega mediante mensajero. De forma independiente, a través
de envió electrónico se cursó el 13/12/2023, (…), que fue notificada el 14/12/2023.
El envío electrónico, como el acuerdo de inicio, resultó entregado, no así el envío por
mensajería, que resultó infructuoso por “ausente”, el 15 y el 19/12 en la c/ Sadar s/n de
Pamplona, Navarra, siendo devuelto el 22/12/2023, de modo que C.A.OSASUNA no cuenta,
transcurrido el tiempo con el escrito de ampliación de plazo ni la copia del expediente.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
52/128
Con fecha 28/12/2023, se remitió escrito a C.A.OSASUNA para indicarle que el envío de la
copia del expediente resultó infructuoso y se le insta a proporcionar sede de entrega y datos
de contacto de persona y teléfono. C.A. OSASUNA, con fecha 11/01/2014, proporciona
estos datos y se envía de nuevo copia del expediente que resultó entregado el 16/01/2024
NOVENO: Alegaciones al acuerdo de inicio de 28/12/2023
Con fecha 28/12/2023, C.A.OSASUNA efectuó alegaciones, manifestando:
1) Sobre el contenido de la parte dispositiva, referido a la adopción de la medida provisional
impuesta, manifiesta que no es un acto de trámite, sino que puede ocasionar perjuicios. y
que lo va a impugnar en vía contencioso-administrativa al objeto de obtener la suspensión
de la decisión, por afectar a sus derechos e intereses susceptibles de protección. Al
anunciar dicha interposición, solicita en aplicación del artículo 90.3 de la ley 39/2015, de
1/10, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante
LPACAP) para que se suspenda cautelarmente la medida provisional adoptada.
2) El razonamiento del acuerdo de inicio parte de la premisa para las dos infracciones
imputadas, que el establecimiento del sistema voluntario de acceso al estadio de fútbol el
Sadar, a través de reconocimiento facial, entraña un alto riesgo para los abonados del Club.
Posteriormente, el acuerdo de inicio lleva a cabo una supuesta descripción del tratamiento
efectuado por los sistemas de reconocimiento biométrico, segunda parte del fundamento de
derecho dos, en que analiza los supuestos riesgos generados a los derechos y libertades de
los interesados por el sistema de reconocimiento biométrico instaurado.
Manifiesta que en ese fundamento de derecho dos, se insiste en describir el sistema
empleado como basado en la tecnología de medición de distancias entre distintos puntos del
rostro -sistema de reconocimiento por “landmarks”- obteniéndose como resultado un vector
matemático y asociando los riesgos que se indican en el acuerdo de inicio al conocerse el
vector generado con este motor y ser sistemas estandarizados. Así se afirma en los folios 49
y 50- que describe la tipología de los datos biométricos y la correlación de la toma de
muestra con el dato personal. Reseñando algunos párrafos que tienden a explicar por qué
se consideran estos datos de carácter personal, C.A.OSASUNA selecciona otros,
concluyendo que: “A partir de la evaluación y el tratamiento como de alto riesgo en atención
a las consideraciones que acaban de indicarse, el acuerdo de inicio considera que esta
circunstancia determina que no se cumpla en este caso el principio de necesidad, toda vez
que considera el acuerdo existen otras alternativas de acceso al estadio que garantizan,
como se indica, la plena identificación del abonado dado que sus datos ya constan
suficientemente identificados en la tarjeta de abono en sus variados formatos.”
El acuerdo de inicio, partiendo de esa consideración, pone de manifiesto que los datos
biométricos generan un riesgo adicional porque tienen un carácter “meramente
probabilístico” Añade que, sin embargo, en las respuestas a los dos requerimientos,
manifestó que su sistema no responde a los sistemas descritos en el fundamento de
derecho II del acuerdo de inicio sino en modelos de inteligencia artificial basados en redes
neuronales. Reitera lo manifestado sobre la generación del vector biométrico que se
contiene en el punto 2.2. del primer requerimiento de las actuaciones previas de
investigación
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
53/128
Añade, que, además, con sus sistemas quedan minimizados los riesgos derivados del
carácter probabilístico del modelo y de la inmutabilidad del rostro del afectado. Manifiesta
que los riesgos habían sido analizados en la detallada evaluación de impacto, quedando
minimizados por la tecnología empleada en el tratamiento, figurando “en la citada
evaluación”, una remisión al INFORME TÉCNICO emitido por el proveedor de la tecnología
empleada, aportado como DOCUMENTO 14 en el segundo requerimiento de información de
las actuaciones previas de investigación
Manifiesta que, posteriormente, el documento analiza cómo se produce la minimización de
los riesgos derivados del tratamiento hasta su práctica desaparición en los supuestos en los
que el sistema de reconocimiento biométrico se funda en modelos de IA de redes
neuronales.
Al propio tiempo, respecto del posible tratamiento de otros datos pertenecientes a categorías
especiales, se aporta, como DOCUMENTO 1, “Tecnología Biometría Facial y de Voz de
última generación. Características y aplicación”, elaborado por la entidad proveedora de la
tecnología utilizada por OSASUNA que completa al anteriormente mencionado, en que se
indica expresamente que “los datos se capturan con la única finalidad de realizar el
reconocimiento biométrico (facial o de voz) de la persona y son tratados con esta finalidad
exclusiva, sin que de los mismos las tecnologías de VERIDAS puedan inferir otros datos
como el estado emocional, discapacidades, características genéticas, etc.”
“El documento data de octubre de 2021, y si bien desde entonces, y como consecuencia de
la evolución de la tecnología, ha sido objeto de varias adiciones, incorporando entre otras
cuestiones nuevas herramientas y certificaciones que mejoran lo indicado en el documento,
se ha considerado oportuno aportar esta versión del documento puesto que fue la utilizada
por OSASUNA para la elaboración de la EIPD del tratamiento objeto del presente
expediente.”
“si la premisa seguida por la AEPD para considerar imputables a mi representada dos
infracciones de lo dispuesto en el RGPD es el alto riesgo derivado de sistemas de
reconocimiento facial que en nada se asemejan al empleado por OSASUNA, todo el
razonamiento seguido por la misma para imputar la responsabilidad a mi representada debe
decaer, dado que siendo errónea la premisa no es posible aplicar al sistema implementado
por OSASUNA ninguna de las consecuencias mencionadas en el Acuerdo de Inicio”
De la visualización del documento 1, cabe destacar:
-Los datos serán procesados por un motor biométrico esto es, el software que procesas los
datos capturados para a partir de ellos, producir un “template” o vector biométrico, es decir
una referencia digital de un conjunto de características que se usan luego para la
autenticación o identificación de un individuo
-una vez se tiene el vector del individuo a identificar o autenticar se puede proceder a la
comparación frente a otro vector o vectores es importante señalar que la comparación se
realiza siempre entre vectores entre referencias digitales y no entre características
biométricas punto la comparación entre vectores es interpretada por el motor biométrico que
los creó proporcionando un resultado probabilístico
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
54/128
-El vector matemático que ellos emplean no se desarrolla ni está basado en puntos
característicos que implica tomar medidas entre múltiples puntos de la característica
biométrica obteniendo un vector matemático que es el resumen de dichas medidas. Sin
embargo, el vector matemático generado con su inteligencia artificial no se genera de una
forma tan simple indicando que los vectores raciales creados con su inteligencia artificial
implican, por ejemplo, que, si se pasa una imagen facial por dos motores biométricos
distintos o incluso por dos versiones distintas del mismo motor, el vector resultante va a ser
completamente diferente
3) Manifiesta C.A. OSASUNA que, a partir de ese supuesto incumplimiento del principio de
necesidad, el acuerdo considera que la base jurídica en que se basa el tratamiento en el
presente supuesto no resulta adecuada, dado que parece tratar de eludir la garantía del
principio de necesidad.
Añade C.A. OSASUNA que las bases jurídicas en que se apoya el acceso con SBRF no
necesitan el valor de la necesidad porque se basan en el consentimiento del “artículo 6.1 a)
y 9. 2 a” del RGPD.
Manifiesta C.A.OSASUNA que de la lectura del acuerdo de inicio, se desprende que la base
jurídica que realmente “podría justificar el control por reconocimiento facial del acceso al
estadio sería el desarrollo del contrato del abonado con el club para el que no es necesario
el reconocimiento facial o la garantía de la seguridad en el recinto que como misión de
interés público no sería lícita como base jurídica del tratamiento si no existe una norma con
rango de ley que habilite el citado acceso”.
“Se alcanza así una suerte de razonamiento circular, en cuya virtud al existir otros medios
supuestamente menos invasivos y más garantistas del derecho de los interesados para
acceder al estadio, el consentimiento del interesado nunca podría resultar una base jurídica
adecuada para habilitar el tratamiento, dado que al exigir de alternativas para garantizar que
el mismo es prestado libremente y ser estas, supuestamente menos restrictivas de los
derechos, nunca se cumpliría el principio de necesidad.
Se pretende así fundar la supuesta infracción del artículo 9 del RGPD, en una
argumentación similar a la que la AEPD ha incorporado en su “guía sobre tratamientos de
control de presencia, mediante sistema biométrico”, publicada solo unos días antes de la
notificación del acuerdo de inicio, en términos que conforme indica la guía, son susceptibles
de un análisis similar en relación con los supuestos de control acceso con finalidades
diferentes a las laborales.
Es decir, bajo la apariencia de que el tratamiento debería haberse fundado en otras bases
jurídicas, que tampoco considera aplicables, por no cumplir el principio de necesidad, lo que
pretende la AEPD con el acuerdo de inicio es negar validez al hecho de que los abonados
de Osasuna en ejercicio del poder de disposición que consiste el derecho fundamental de
Protección de Datos, puedan prestar el consentimiento al tratamiento de sus datos
personales, por cuanto al existir medios menos invasivos, a juicio de la AEPD, se estaría
incumpliendo el principio de minimización de datos personales, lo que conduce de facto a
negar la posibilidad de que pueda procederse en ningún caso al tratamiento de datos
biométricos sobre la base del consentimiento del interesado.”
Manifiesta C.A. OSASUNA “en cuanto a la finalidad del tratamiento llevado a cabo por
C.A.OSASUNA, el acuerdo de inicio en su fundamento de derecho III alcanza una
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
55/128
conclusión que no resulta coincidente con la que realmente rige el tratamiento llevado a
cabo por C.A.OSASUNA.
En la explicación que se hace de la normativa sobre el control de entradas y acceso a los
estadios, sobraría, pues no resulta aplicable, dado que el estadio el Sadar no dispone de
grada de animación.
El acuerdo de inicio pretende trasladar el criterio de necesidad al fin específico que se haya
establecido por la LIGA en el Reglamento de Venta de Abonos y Entradas, RVAE en la
grada de animación o partidos declarados de alto riesgo en los que la CEVRIXD declare la
obligación de verificar la identidad de los asistentes, que no es aplicable a C.A. OSASUNA.
Además, estima las condiciones de la LIGA como mínimos, no como un único modo de
acceso obligatorio, de modo que “no excluiría la existencia de otros sistemas que pudieran
resultar más fiables para facilitar a los abonados el disfrute de los encuentros que se deduce
de su condición de abonado.”
El acuerdo añade que no es posible establecer un sistema de acceso distinto al establecido
por la LIGA, incluso aun cuando se base en la propia y libre voluntad de los interesados,
indicando el acuerdo que “aun cuando presten su consentimiento, la conducta de C.A.
OSASUNA implica hurtar el poder de disposición y control sobre los datos personales que le
conciernen el, poder que pertenece al titular”.
Manifiesta C.A.OSASUNA que “Como consta en su EIPD, la finalidad el tratamiento no
consiste simplemente en el desarrollo de la relación contractual derivada de la adquisición
del abono, sino en “proporcionar al abonado un nuevo medio de acceso al recinto más
adecuado y eficaz a la vista del estado actual de la técnica, que minimice incluso los riesgos
derivados de los restantes sistemas de acceso al estadio”, ya que el control de acceso al
estadio no puede indicarse que deba llevarse a cabo a través de un único sistema.
Manifiesta C.A. OSASUNA que se niega en el acuerdo de inicio al interesado el ejercicio
libre y voluntariamente del pleno ejercicio de su derecho a disponer de sus datos
personales, optando por el sistema de acceso que considere más adecuado a su propia y
exclusiva voluntad y que C.A OSASUNA únicamente pone a su disposición para que el
interesado pueda disponer libremente de él.
“Este sistema no se basa en la mera conveniencia de C.A. OSASUNA, sino de su deseo de
facilitar, en todo lo que le sea posible, a sus abonados el acceso al Estadio con las máximas
garantías posibles, evitando el posible hurto o extravío de su tarjeta de abonado, así como
mejorando la agilidad en el acceso al recinto. Ciertamente, ello se basa en la existencia de
un derecho de acceso del abonado al Estadio, pero no es ésta, sino la ya mencionada, la
finalidad del tratamiento.”
“La premisa empleada por el Acuerdo de Inicio para achacar a OSASUNA la falta de una
base jurídica del tratamiento, al considerar que el mismo ha de ampararse en otras bases
jurídicas que se fundarían en una supuesta necesidad del tratamiento, así como en lo
acordado con carácter imperativo por LALIGA, ha de decaer. Ni la finalidad del tratamiento
es la que el Acuerdo dice perseguir ni existe el más mínimo “hurto” a los abonados de
OSASUNA de su libre poder de disposición sobre los datos que les conciernen.”
4) Manifiesta C.A.OSASUNA que “El consentimiento para acceder al estadio a través del
reconocimiento facial, tal como se hace eco el acuerdo de inicio, da al interesado una
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
56/128
absoluta disposición sobre sus datos, que puede decidir cuándo pueden los datos ser
tratados, tanto para la elaboración de su vector facial como para su confrontación con su
imagen cuando acceda al estadio mediante los lectores habilitados, recordando que ninguna
puerta del Estadio en la que se encuentra instalado el sistema de reconocimiento facial ha
dejado de contar con medios alternativos para el acceso al recinto que el interesado, incluso
cuando se ha dado de alta en la plataforma, puede utilizar siempre y cuando quiera, sin
ningún tipo de limitación, no perdiendo siquiera el poder de decisión y control de los medios
de acceso al Estadio en ningún momento. Sin embargo, el Acuerdo de Inicio, de una forma
que incluso podemos atrevernos a considerar paternalista no cesa en considerar que la libre
decisión del interesado acerca del medio elegido para el acceso al Estadio, así como para
darse de alta en la plataforma y hacer uso del sistema de reconocimiento facial en cada uno
de los encuentros, supone una pérdida del poder de disposición que aquél debe tener sobre
los datos que le conciernen, o el uso de los datos personales que no resultan evidentemente
necesarios para acceder al estadio, que además puede incluir a menores de edad”.
Manifiesta que expresamente C.A. OSASUNA señaló que solo sería posible el citado
tratamiento a los que la normativa otorgue la potestad de prestar el consentimiento, mayores
de 14 años.
También el acuerdo considera que contiene el error de indicar que C.A. OSASUNA “huye de
cualquier análisis dejando en manos de los afectados la valoración de la necesidad porque
es una opción y el interesado la ha elegido, siendo la voluntad del abonado. Es decir, la
AEPD considera que el hecho de otorgar al abonado de OSASUNA todo el poder para
libremente disponer de sus datos autorizando si quiere hacer uso del sistema de
reconocimiento facial y cuándo quiere hacer uso de ese sistema, es lo que aparentemente
viciaría, a juicio de la AEPD, dicho sistema, porque deja en manos del propio afectado la
posibilidad de determinar si considera o no el tratamiento necesario para el logro de una
finalidad que se pone a su disposición y que libremente autoriza. Ello supone que la AEPD
se posiciona incluso por encima del legislador al establecer cuando es realmente posible
ejercer el poder de disposición y cuando será la AEPD la que prive al interesado de esa
facultad incluso siendo un poder de disposición que es lo que constituye el derecho
fundamental a la protección de datos.”
“La base jurídica del consentimiento solo se delimita porque debe prestarse para el
tratamiento de sus datos personales para uno o varios fines específicos, sin que tenga por
objeto que la AEPD sea la que determine de una forma omnímoda cuales son esos fines,
sino que el interesado conozca claramente el alcance de la disposición que realiza de sus
datos”.
“Si el interesado conoce claramente el alcance del consentimiento que se le solicita, los
fines del tratamiento e incluso los pormenores del mismo y el modo en que aquél se llevará
a cabo, no es posible concluir que el interesado no ha hecho uso libremente del poder de
disposición y control sobre sus propios datos en que consiste el derecho fundamental”.
Considera C.A. OSASUNA que a los usuarios se les informa con detalle del modo en que
tendrá lugar el tratamiento, otorgándoles la capacidad de decidir cuándo y cómo se produce
el tratamiento.
5) Indica C.A. OSASUNA que la única restricción como base habilitadora de los tratamientos
de datos personales contenida en el RGPD se encuentra en el artículo 9.2.a) del RGPD,
reflejada en el artículo 9.1 de la LOPDGDD. De ello deduce, que el tratamiento, cuando el
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
57/128
interesado de su consentimiento explícito para el tratamiento de dichos datos personales
con uno o más de los fines especificados” es aplicable”, y así se ha reconocido por la AEPD
como, por ejemplo, en los informes del Gabinete Jurídico 36/2020, en el 47/2021, o el
98/2022. En el mismo sentido, en las Directrices 3/2019, sobre el tratamiento de datos
personales mediante dispositivos de vídeo, aprobadas el 29/01/2020, en su apartado 77,
sobre utilización de videovigilancia incluida la función de reconocimiento biométrico instalado
por entidades privadas para sus propios fines, ejemplo, mercadotecnia, estadísticas o
seguridad, requerirá en la mayoría de los casos el consentimiento explícito de todos los
interesados, y detalla el ejemplo que señala que es similar al objeto de análisis, consistente
en el acceso de pasajeros en el embarque o despacho de equipajes del aeropuerto a través
de sistemas de videovigilancia que usan técnicas de reconocimiento facial para comprobar
la identidad de los pasajeros que han optado por consentir dicho procedimiento.
Manifiesta C.A. OSASUNA que “Igualmente, en relación con el consentimiento del
interesado, el apartado 86 de las Directrices añade que cuando el artículo 9 del RGPD exige
el consentimiento, el responsable del tratamiento no puede supeditar el acceso a sus
servicios a la aceptación del tratamiento biométrico. En otras palabras, y especialmente
cuando el tratamiento biométrico se utiliza con fines de autenticación, el responsable del
tratamiento debe ofrecer una solución alternativa que no implique el tratamiento biométrico,
sin restricciones ni coste adicional para el interesado. Es decir, el propio EDPB, del que,
necesario es reiterarlo, forma parte la AEPD, considera lícito el tratamiento de datos
biométricos basado en el consentimiento del interesado siempre y cuando el responsable
del tratamiento ponga a disposición de los interesados otro medio alternativo que no incluya
el tratamiento de datos biométricos y permita el mismo resultado sin que ello implique una
restricción o coste adicional para el interesado”.
Indica C.A. OSASUNA, que este criterio parece haberse visto quebrado por la Guía referida
al tratamiento de estos datos para el control laboral y de acceso, publicada en 23/11/2023, y
de la que “parece traer causa aun cuando no se haga referencia a la misma en el acuerdo
de inicio notificado”.
Reitera la alegación de que dicha guía emplea un argumento circular, y que “de este modo,
la AEPD alcanza una sorprendente conclusión que supone de facto la ampliación del
alcance del párrafo primero del artículo 9.1 de la LOPDGDD a cualesquiera categorías de
datos pertenecientes a categorías especiales, siendo para la Autoridad de Control
enteramente irrelevante la voluntad del legislador de limitar esta prohibición a categorías
concretas. Y decimos que afecta a cualesquiera categorías porque respecto de las
restantes, es decir, los datos que revelen la salud de los interesados o los datos genéticos,
el razonamiento circular al que nos hemos referido es idéntico (la existencia de medios
menos intrusivos excluye la posibilidad de prestar el consentimiento)”.”Semejante
conclusión, que impone de facto una prohibición de tratamiento de datos, derogando lo
establecido en la LOPDGDD en el sentido de prohibir cualquier tratamiento de datos
pertenecientes a categorías especiales sobre la base del consentimiento del interesado, se
lleva a cabo, de forma completamente sorpresiva y a través de lo que no es sino una Guía
cuya finalidad no debía ir más allá de mostrar un criterio interpretativo de la AEPD para
conocimiento de los destinatarios de la norma.”
También estima C.A.OSASUNA que de acuerdo con el contenido del acuerdo de inicio,
negarle la posibilidad de establecer un sistema basado en el consentimiento de los
interesados para el acceso mediante reconocimiento facial al Estadio “El Sadar”, limitándose
a indicar que los procedimientos de acceso a los estadios de fútbol deben sujetarse a los
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
58/128
criterios de mínimos establecidos por LA LIGA, hace inviable cualquier tratamiento basado
en el poder de disposición sobre los datos en que consiste el derecho a la protección de
datos, incluso cuando cumpla con la totalidad de los requisitos establecidos en el RGPD.
C.A. OSASUNA considera que ha acreditado que cumple la totalidad de los requisitos
exigidos para el tratamiento de los datos biométricos con base al consentimiento del RGPD
y la LOPDGDD, gran parte de ellos analizados en la EIPD, por lo que estima que no se
vulnera el artículo 9 del RGPD.
6) Manifiesta C.A. OSASUNA, sobre la infracción del artículo 5.1.c) del RGPD, por exceder
los datos de los necesarios para la consecución de la finalidad, que en la EIPD en la que se
contiene, queda analizada con exhaustividad, contemplando las circunstancias que rodean
al tratamiento y las consecuencias que puede ocasionar a los derechos y libertades de los
interesados. En la misma se analizan los riesgos que para los interesados pueden derivarse
de esta tecnología.
Manifiesta C.A. OSASUNA que en la EIPD se analiza con máximo nivel el alcance de las
garantías que deben adoptarse en el tratamiento de datos, teniendo incluso en
consideración lo establecido en la propuesta de reglamento de Inteligencia Artificial del que
no se deduce que “el tratamiento no remoto de los datos biométricos lleve aparejado un alto
riesgo para los derechos y libertades de los interesados”.
Reitera C.A. OSASUNA, que el sistema utilizado facilitado por el proveedor, VERIDAS, que
cuenta con diversas certificaciones que garantiza mayor fiabilidad, analizando y valorando
en la EIPD los “sesgos de probabilidad de un error en la identificación”, y la” suplantación de
la identidad” que se podría llevar a cabo mediante el uso de estos sistemas.
También se aludió a la garantía de integridad de la información objeto del tratamiento, dado
que los “motores de reconocimiento facial no son en ningún caso interoperables ni
reversibles”, de forma que ni el propio desarrollador del sistema podría revertir el rostro de
un interesado a partir de un vector. Es decir, se tiene en cuenta el “carácter inmutable del
rostro de las personas”, adoptando medidas para evitar el riesgo para los interesados del
“tipo de identidad única, permanente e invariable que se tratan”, o la “interoperabilidad” entre
sistemas de reconocimiento facial. Manifiesta que el vector facial variaría si se produjera
cualquier cambio técnico o evolución en el motor de reconocimiento facial, que dejaría al
anterior vector obsoleto, amén de no poder ser objeto de reconocimiento por esta nueva
versión.
La EIPD también analiza el ciclo de vida de los datos, el alta en el sistema al proceso de
verificación cuando pretende acceder al estadio, que no ha sido tenido en consideración por
la AEPD a juzgar por el contenido del acuerdo de inicio. En la EIPD sobre este aspecto se
muestra cómo se adoptan medidas encaminadas a la garantía de identificación del
interesado, de modo que carece completamente de riesgos relacionados con una posible
suplantación de identidad “para lo que se recaban, de forma exclusivamente temporal,
determinados datos que permitan confrontar su imagen con la resultante de la foto selfie
utilizada para la generación de su vector facial.” “Se garantiza la identidad del interesado
exigiendo, al tiempo de efectuarse la foto selfie que permitirá la extracción del vector facial,
una prueba de vida, mediante la realización de un determinado movimiento, que impida el
uso de sistemas sofisticados de suplantación”.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
59/128
Concluye C.A.OSASUNA que la EIPD analiza detalladamente el modo en que todos los
riesgos derivados del tratamiento son valorados y como en este caso quedan minimizados o
directamente excluidos.
Manifiesta C.A. OSASUNA que “el acuerdo de inicio parece considerar que tal esfuerzo no
es suficiente, dado que la EIPD debe convertirse en un documento en el que con
independencia de que, desde el diseño, se opte por la solución que implique una menor
intromisión en los derechos y libertades de las personas, deben ser tenidas en cuenta las
alternativas descartadas por implicar la generación de un mayor riesgo. Del acuerdo de
inicio parece derivarse que la AEPD no está tanto interesada en que se analicen los riesgos
derivados de un tratamiento como en que se lleve a cabo una suerte de análisis abstracto
que sea el que determine la opción por un sistema de tratamiento u otro”
7) Manifiesta C.A. OSASUNA, en cuanto a la valoración de la licitud que realiza el acuerdo
de inicio del principio de la minimización de datos, mediante el cumplimiento del triple juicio
de proporcionalidad aplicable a una medida que pudiera implicar restricción de derechos de
las personas, que el acuerdo se centra en la valoración del juicio de necesidad, deduciendo
que la AEPD no niega que el SBRF sea idóneo, inadecuado o no pertinente, extractando:
“en cuanto a la idoneidad, el Acuerdo señala:
“C.A. OSASUNA basa la aceptación del sistema de reconocimiento facial como tal, porque
se produce la “plena identificación del abonado”, pero este problema a abordar no se da en
este caso, pues los titulares de los abonos ya constan suficientemente identificados con la
tarjeta de abono en sus variados formatos. La agilidad del sistema propugnada, del sistema
de RF frente al sistema tradicional, por sí sola no puede formar parte decisiva en la
idoneidad para instalar el sistema, y en todo caso, por sí sola no puede justificar la
necesidad de este sistema.”
Manifiesta C.A. OSASUNA, que de ello conviene que la AEPD “no niega que el
reconocimiento facial sea idóneo para la identificación del interesado, sino que considera el
mismo innecesario para este fin, al constar los datos en la tarjeta de abono.
Estima C.A.OSASUNA que la “valoración que hace el acuerdo de inicio sobre el juicio de
necesidad está condicionada por la premisa inicial de que la finalidad debe determinarse en
abstracto y no depende del alcance que pueda darse a la misma en atención al contexto en
que se lleva a cabo el tratamiento, es decir, cada tratamiento admite una única solución, la
menos intrusiva para los derechos de los interesados, de modo que cualquier solución que
implique una intromisión supuesta o aparentemente superior, deberá ser descartada”.
Considera C.A. OSASUNA que con la referencia en el acuerdo de inicio a que desde abril
2022 C.A. OSASUNA ya contaba con al menos tres modalidades de acceso de usuarios al
estadio, “se está excluyendo la delimitación del juicio de necesidad de la libre voluntad y el
consentimiento de los interesados.” Si se sigue esta literalidad de cada una de las
modalidades u opciones distintas de acceso al estadio, solo una resultaría ajustada al
principio de necesidad, la que implicase el tratamiento de un número menor de datos,
debiendo descartarse el resto, al poder alcanzarse la finalidad del tratamiento con una
menor intrusión en los derechos de los interesados.” Indica C.A. OSASUNA, que aplicando
esto a la categoría de datos biométricos, según el criterio de la AEPD, “debería descartarse
cualquier procedimiento en que el interesado decidiese libremente acceder a un
determinado servicio a través de medios biométricos, incluso aun cuando como se ha
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
60/128
analizado en la alegación anterior, el artículo 9.1 de la LOPDGDD no ha descartado la licitud
del citado consentimiento”.” Es decir, la AEPD, está considerando que el interesado no debe
ser libre para decidir libremente el uso de sus datos biométricos para el acceso a su terminal
móvil o a determinadas aplicaciones del mismo que le procuren unos determinados
servicios, dado que siempre sería posible acudir a otros medios menos intrusivos, con
independencia de que el riesgo de suplantación sea mayor, tales como la inclusión de una
contraseña, más o menos extensa, para acceder a dichos servicios”.
Indica C.A. OSASUNA, que el sistema que tiene implantado garantiza el tratamiento
evitando cualquier riesgo de suplantación en el mismo en el acceso a un determinado
servicio, correlacionando que el servicio ha sido efectivamente solicitado por aquel y no por
un tercero que haya podido acceder a los medios necesarios, como pudiera ser la extracción
de la tarjeta de abono del interesado o la sustracción o coacción al interesado para que le
facilite sus claves de acceso. Considera que, en un sistema de reconocimiento facial, para
lograr la suplantación, necesitaría contar con el rostro del propio interesado para lograr esa
suplantación, contando además el sistema utilizado por C.A. OSASUNA de herramientas
certificadas para la detección de ataques de suplantación. Además, el sistema permitiría
que, en caso de sustracción de la tarjeta de abono, no fuera privado de su derecho que
conlleva tal adquisición, pues podría acceder con el lector biométrico, y “nadie podría
acceder con posterioridad a través de los procedimientos alternativos que OSASUNA pone a
disposición de sus abonados”. Estima que el sistema se implanta pues, en beneficio de los
propios interesados que podrán acceder al estadio de una forma más ágil y sencilla, no
requiriendo siquiera portar el título que acredita la condición de abonados.
“En definitiva, siguiendo el razonamiento del Acuerdo de Inicio, nunca será posible fundar un
tratamiento en el consentimiento del interesado, dado que si para garantizar que el
tratamiento sea libre es preciso que el interesado pueda disponer de otras alternativas para
que se cumpla la finalidad perseguida por el tratamiento, dado que nunca será posible
considerar que ambas alternativas implican un idéntico nivel de intrusión en los derechos y
libertades de los interesados, al menos una de ellas, generalmente la basada en el
consentimiento debería descartarse por intrusiva, al no cumplirse adecuadamente el juicio
de necesidad exigido por el RGPD. Y entiende respetuosamente OSASUNA que no es
posible alcanzar semejante conclusión sobre la base del argumento mencionado, dado que
con ello se estaría derogando de hecho lo dispuesto en el artículo 6.1 a) del RGPD.”
C.A. OSASUNA realizó una valoración de la necesidad en su EIPD no a nivel abstracto,
sino considerando todas las circunstancias y el contexto.
“Frente a lo razonado en el acuerdo de inicio, C.A. OSASUNA no persigue una supuesta
utilidad del tratamiento para ella misma, ni por motivos económicos. En contra de lo que
pretende indicar el acuerdo, la instauración de un sistema adicional para el acceso al
Estadio, “ningún tipo de ahorro o reducción del coste o molestias reporta para OSASUNA,
por la sencilla razón de que este sistema se implementa de forma adicional a los ya
existentes.”
Finaliza C.A. OSASUNA, indicando que la visión del acuerdo de inicio sobre la aplicación en
este caso del principio de minimización, y sobre la necesidad del tratamiento, determinaría la
inviabilidad del consentimiento como base jurídica adecuada para la realización de un
tratamiento de datos personales
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
61/128
8) C.A.OSASUNA, aludiendo al principio de culpabilidad, como se contiene en las que cita
del TJUE de 5/12/2023, asunto C-907/21 Deutsche Wohnen SE y Staatsanwaltschaft Berlín,
y a la de 5/12/2023 asunto C-683/21, deduce que podría considerarse culpable, “la conducta
en que el responsable debía haber sido conocedor de la ilicitud de su actuación, no siendo
imprevisible que la misma resultase sancionable por parte del órgano competente para ello,
de forma que “no podía ignorar el carácter infractor de su conducta, tuviera o no conciencia
de infringir las disposiciones del RGPD”.
Ello exige atender a las circunstancias del supuesto examinado en el presente expediente,
en el que C.A.OSASUNA era conocedor de que tanto el EDPB como, hasta en un mínimo de
cinco ocasiones en el momento de poner en marcha el tratamiento, la AEPD, había
reconocido expresamente la licitud del tratamiento de datos biométricos sobre la base del
consentimiento del interesado, habiendo sido incluso ese criterio reiterado por la AEPD en
su informe 98/2022, con posterioridad a la instauración del sistema de acceso al Estadio “El
Sadar”. C.A. OSASUNA no podía aventurar lo contrario, ni la sorpresiva modificación de su
criterio tras lo indicado que indicaba que resultaba conforme a dicho Reglamento. Tal
cambio, supone una quiebra del principio de confianza legitima, principio que las
Administraciones Publicas han de respetar en su actuación en relaciones, de acuerdo con el
artículo 3.1.e) de la Ley 40/2015 de 1/10 de régimen jurídico del Sector Público.
Dicho principio, según C.A. OSASUNA, se contiene en la sentencia del Tribunal Supremo de
22/02/2016, recurso de casación 1354/2014, y la de la Audiencia Nacional, de 4/02/2009
(recurso 304/2007).
Considera que la AEPD ha modificado su criterio por medio de un expediente sancionador y
que la aplicación del principio de confianza legitima debe conducir al archivo del
procedimiento, al no concurrir el elemento culpabilístico exigible para que proceda la
aplicación de la norma sancionadora.
9) Subsidiariamente, señala C.A. OSASUNA que se infringe el principio de proporcionalidad
en la fijación de la sanción. En las circunstancias concurrentes en las infracciones se han
tenido en cuenta elementos de la propia conducta que se pretende sancionar, rebatidos en
este escrito de alegaciones, o “la supuesta negligencia que como se ha indicado, es de
imposible aplicación si se tiene en cuenta que el parecer de la AEPD “en modo alguno
resultaba contrario al tratamiento efectuado sobre la base jurídica del consentimiento de los
interesados, siendo ese mismo criterio sostenido por el EDPB del que la AEPD ha decidido
discrepar”.
10) C.A. OSASUNA indica sobre la aplicación del artículo 5.1.c) del RGPD, que solo afecta a
un número reducido de abonados, que decidió darse de alta, (…), no a la totalidad como
señala el acuerdo de inicio.
C.A. OSASUNA indica sobre la agravante de falta de diligencia en la sanción del artículo
5.1.c) del RGPD, no concurre, ya que el motivo que se contempla no puede ser acogido,
dado que dichos argumentos, negados, fueron los que a juicio de la AEPD justifican la
imposición de la sanción, por lo que no pueden ser tenidos en cuenta para agravarla.
C.A. OSASUNA indica sobre las circunstancias tenidas encuentra en la valoración de las
circunstancias para graduar la infracción del artículo 9 del RGPD, que si se tuvieron en
cuenta los abonados que prestaron su consentimiento al uso del sistema, al contrario que en
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
62/128
la infracción del artículo 5.1.c) del RGPD, y que “Se hace mención de una supuesta
amalgama de factores que operarían como agravantes, sin que el acuerdo mencione
ninguno de ellos.”
C.A.OSASUNA, también sobre el mismo artículo 9 del RGPD, señala: en cuanto a la
supuesta negligencia de C.A.OSASUNA, “aun cuando la AEPD había considerado conforme
al criterio del EDPB que el tratamiento era lícito, el acuerdo parte del principio de que la
responsabilidad era mayor, sobre la base de un criterio completamente identificable con la
responsabilidad objetiva, atendiendo a su actividad, cuyo objeto de actividad no puede,
evidentemente considerarse directamente vinculado con el tratamiento de datos
personales”.
DÉCIMO: Propuesta de resolución de 30/10/2024 y alegaciones.
Con fecha 30/10/2024 se emitió propuesta de resolución, con el literal:
“PRIMERO: Que por la Directora de la Agencia Española de Protección de Datos, respecto
de CLUB ATLÉTICO OSASUNA, con NIF G31080179:
-Se declare el archivo de la infracción del artículo 9 del RGPD, de conformidad con el
artículo 83.5 a) del RGPD, y calificada como muy grave a los solos efectos de la
prescripción de dicha infracción, en el artículo 72.1.e) de la LOPDGDD.
-Se sancione una infracción del artículo 5.1.c) del RGPD, de conformidad con el artículo
83.5 a) del RGPD, y calificada como muy grave a los solos efectos de la prescripción de
dicha infracción, en el artículo 72.1.a) de la LOPDGDD, con una multa de 200.000 euros,
SEGUNDO: Sobre la suspensión temporal incluida como medida provisional en el acuerdo
de inicio, en virtud del artículo 58.2.f) del RGPD, se propone que se eleve a definitiva,
instando su prohibición. Ello supondrá que sobre el tratamiento de datos personales
relativos al sistema biométrico de reconocimiento facial para el acceso por las personas
abonadas del C.A. OSASUNA al estadio El Sadar, que en el plazo de 30 días desde que la
resolución que ponga fin a este procedimiento sea ejecutiva, con la prohibición del
tratamiento, de los citados datos para dicha finalidad y la supresión de todos los datos que
se relacionen con el funcionamiento del citado sistema, para salvaguardar el derecho
fundamental de las (…) personas abonadas de alta en el sistema a 28/12/2023, y en tal
sentido lo certifique el C.A. OSASUNA.”
DÉCIMO PRIMERO: Alegaciones a la propuesta
Con fecha 18/11/2024 se reciben alegaciones del C.A. OSASUNA
1) Sobre la elevación a definitiva de la medida provisional adoptada en el acuerdo de
inicio, consistente en la prohibición del tratamiento, manifiesta C.A. OSASUNA que desde
el final de la temporada 2023/2024, el tratamiento de datos a través del SBRF analizado
en este expediente, no se encuentra operativo. También indica que la citada suspensión
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
63/128
impuesta se halla pendiente de resolver por la sala de lo contencioso administrativo,
procedimiento ordinario 5/2024.
2) Ante el archivo en la propuesta de la infracción del artículo 9 del RGPD, añade que, no
obstante, la AEPD pretende excluir del debate, el fundamento último, la exclusión del
consentimiento del interesado como base jurídica para el tratamiento de datos
biométricos en los sistemas de control de acceso a un local determinado.
3) Reitera que era conocedora de que tanto el EDPB como la AEPD, en hasta cinco
ocasiones, habían reconocido expresamente la licitud del tratamiento de datos
biométricos sobre la base del consentimiento y el Dictamen 11/2024 sobre el uso del
reconocimiento facial para agilizar el flujo de pasajeros en aeropuertos (compatibilidad
con los artículos 5.1 e), 5.1) f, 25 y 32 del RGPD, adoptado el 23/05/2024, en el que se
“considera respetuoso de los principios de minimización y necesidad, un tratamiento de
datos biométricos cuya finalidad es la mejora de la eficiencia y agilización de un sistema
de acceso.” Expone como ejemplo el “escenario 1” del mencionado Dictamen, que señala
expresamente que podría considerarse que las medidas elegidas cumplen el principio de
necesidad en relación con la finalidad perseguida-racionalizar el flujo de pasajeros- si en
función de las circunstancias del tratamiento, el responsable del tratamiento puede
demostrar que no existen soluciones alternativas menos intrusivas que podrán alcanzar el
mismo objetivo con la misma eficacia. Añade que dicho Dictamen establece como una
causa que justifica el tratamiento de los datos, la eficacia en el resultado y la agilización
del proceso, y la “inexistencia de contravención del principio de necesidad en el
tratamiento, dado que las restantes alternativas no ofrecen este beneficio siempre que
exista un elemento volitivo por parte del pasajero que sea conocedor de que el
procedimiento más ágil implicara el tratamiento de unos datos que no se darían en el
proceso alternativo”. La AEPD “niega en la propuesta de resolución que tal opción sea
posible, dado que el hecho de procederse al tratamiento de esta categoría de datos
implica un supuesto riesgo inasumible en los derechos y libertades de los interesados, es
decir, una conclusión diametralmente opuesta a la manifestada por el EDPB”. Por ello,
reitera que la vulneración de los principios de buena fe, seguridad jurídica y confianza
legítima y la interdicción de la arbitrariedad de los poderes públicos sigue plenamente
aplicable al caso, siendo reforzada con los referidos argumentos del citado Dictamen
11/2024.
Para finalizar, refuerza su argumento en la reciente sentencia del TS, recurso de casación
5039 /2022 de 15/07/2024 en el que invocando el principio de predictibilidad en el
Derecho Administrativo sancionador, se indica claramente que no resulta dable a la AEPD
ejercer sus poderes correctivos sancionadores apreciando por su parte una sanción de la
normativa de Protección de Datos que el responsable del tratamiento no podía
razonablemente prever, implicando la actuación de la AEPD la exigencia del cumplimiento
de una obligación no prevista expresamente en la mencionada normativa. El TS
considera que, en caso de apreciarse la exigibilidad de esos requisitos adicionales, la
autoridad de control podrá hacer uso de esas otras potestades que el ordenamiento le
otorga, pero en ningún caso de las sancionadoras. Estima que es el caso que se le da a
C.A. OSASUNA, al haber previsto un tratamiento con un SBRF basado en el
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
64/128
consentimiento de los interesados, conociendo que no era considerado por la AEPD ni
por el EDPB contrario a las normas de protección de datos, sin que ello implicara la
vulneración de los principios de proporcionalidad, minimización, necesidad y licitud. “No
es dable que la AEPD acuerde la imposición de una sanción basándose en una
integración del principio de necesidad que no era previsible” por parte de C.A.
OSASUNA, “al quedar afectado el principio de predictibilidad al que hace referencia el
Tribunal Supremo.”
Indica que dicho criterio de tratamiento se vio alterado con la “Guía sobre tratamiento de
control de presencia mediante sistemas biométricos” (v. de noviembre de 2023), que de
facto es considerada como fuente del derecho en protección de datos y cambia su
criterio, quebrando el principio de confianza legitima sobre el párrafo primero del artículo
9.1 de la LOPDGDD. Considera que ello no implica que no se produzca el mismo efecto
en la imputación del artículo 5.1c), que un tratamiento basado en la mera voluntad del
interesado-su consentimiento-sería ilícito, porque nunca será respetuoso con el principio
de necesidad, por lo que nunca será posible amparar ese tratamiento en la mera voluntad
de los interesados.
4) Manifiesta la reclamada que la AEPD en la propuesta de resolución no puede
catalogar de forma apriorística como alto riesgo el SBRF que implantó, estimando que el
mismo, no conlleva como pretende en la propuesta “un alto riesgo para los derechos y
libertades de los interesados”. La AEPD en su propuesta no ha efectuado un análisis real
de los riesgos del caso en que se lleva a cabo el tratamiento con el SBRF, considerando
los medios, tales como la tecnología empleada, el modo en que se procederá al
tratamiento de los datos del vector facial, las medidas de seguridad adoptadas, los plazos
de conservación, etc., por considerar que tales factores son irrelevantes. Señala que, en
la propuesta, se omite que el motivo que induce al GT 29 a considerar la existencia de un
alto riesgo de injerencia del tratamiento en los derechos y libertades de los interesados,
deriva fundamentalmente de la tecnología empleada para el tratamiento y el formato de
los propios datos biométricos obtenidos. En la propuesta de resolución se indica en el
fundamento de derecho V.1, algunos de estos riesgos, que manifiesta también se citan en
el Dictamen 11/2024. Para la AEPD, en la propuesta, el vector facial no es sino la mera
representación matemática de un mapa de puntos característicos del que es posible
derivar y revertir la identidad de la persona, a pesar de que han reiterado que sus
técnicas utilizan la inteligencia artificial basada en redes neuronales, estimando que las
técnicas son distintas de las que consisten en representación matemática de un mapa de
puntos característicos, y de las que tradicionalmente refiere por ejemplo, el documento de
trabajo del año 2003 sobre la biometría, y estima C.A. OSASUNA, que la AEPD considera
este hecho el que genera ese alto riesgo en los derechos y libertades de los interesados.
Tras indicar que con las menciones de los riesgos a que se refiere la AEPD en la
propuesta “así como el EDPD en sus Directrices 11/2012”, extrae que estos serían:
Unicidad del vector biométrico. Entiende la propuesta que, dado que la plantilla
biométrica se genera a partir de los rasgos de una determinada persona y siendo estos
irrepetibles, si la plantilla es comprometida no puede ser modificada o reemplazada por
otra, dado que su generación siempre parte de un mismo modelo inmutable (el rostro del
sujeto) y de un mismo procedimiento de generación de dicha plantilla.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
65/128
Reversibilidad del vector biométrico. Igualmente, considera la AEPD que el riesgo es
elevado dado que a partir de una Plantilla biométrica almacenada es posible reconstruir
la información original y, por ende, el rostro de la persona, dado que la plantilla
representa puntos específicos y característicos del rostro del interesado. Por ello, cuando
las plantillas se almacenan en bases de datos centralizadas, que pueden ser objetivo de
ataques y brechas de seguridad sería posible la reconstrucción del modelo a partir del
que se generó esa plantilla o, al menos, la reconstrucción de los puntos que caracterizan
ese patrón, con el consiguiente riesgo de usurpación de la identidad, comprometiendo
tanto su privacidad como el posible ejercicio de otros derechos.
Interoperabilidad de los SBRF. La propuesta de Resolución se refiere expresamente a
esta característica de los citados sistemas, de forma que las plantillas biométricas, una
vez creadas, pudieran ser reutilizadas en distintos sistemas para múltiples fines, de forma
que se produzca un riesgo muy superior, dado que, si una plantilla se ve comprometida
en un sistema, el atacante pueda acceder a otros servicios utilizando la misma plantilla.
De hecho, existen otros modelos de tratamiento de datos biométricos, en particular, el de
reconocimiento a través de la huella dactilar, basados en el establecimiento de unos
estándares internacionales, aplicados por los distintos sistemas.
Inmutabilidad del vector biométrico. Como ya se ha indicado al referirnos a la unicidad,
y a diferencia de otros métodos de autenticación, las plantillas biométricas no se pueden
modificar ni revocar, porque en esencia son una representación “escrita” de unos rasgos
inmutables a la persona (no se puede cambiar de cara). Por ello, en caso de compromiso
o brecha de seguridad de una base de datos biométricos, dado que el interesado no tiene
la capacidad de cambiar su identidad facial, el atacante podrá disponer de la misma,
mientras que el interesado no podrá alterarla, quedando así expuesto a una situación de
riesgo de forma permanente.
La Propuesta de Resolución, como se ha indicado, toma como premisa principal la
catalogación del tratamiento efectuado por OSASUNA a través del SBRF como
tratamiento de alto riesgo, lo que le conduce a alcanzar la conclusión de que, al implicar
una injerencia inadmisible en los derechos y libertades de las personas, dicho tratamiento
nunca podrá respetar el principio de necesidad si existen otras actividades de tratamiento
susceptibles de lograr la misma finalidad (ya se ha indicado que la apreciada por la AEPD
-simplemente, el acceso al Estadio- no es la finalidad real del tratamiento), nunca será
posible que el tratamiento efectuado por OSASUNA sea respetuoso con el principio de
minimización.
Considera que la AEPD establece una valoración apriorística del riesgo, pues en su Guía
de gestión el riesgo y Evaluación de impacto en tratamientos de datos personales se
mencionan la adopción de medidas técnicas y organizativas para determinar si los
riesgos inherentes del tratamiento son susceptibles de minimizarse para determinar el
riesgo residual.
En la propuesta, la AEPD ha valorado el riesgo inherente a través de los factores
mencionados, ignorando si dichos riesgos intrínsecos e inherentes concurren en el SBRF.
“Ha decidido equiparar el riesgo inherente -obtenido sin la previa evaluación de las
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
66/128
características del tratamiento con el riesgo residual, a fin de alcanzar la premisa
determinada de “considerar ilícito el tratamiento”.
Reitera que la tecnología empleada en el tratamiento del SBRF que ha utilizado, a que
hace referencia en el “informe técnico tecnología de biometría facial”, (DOCUMENTO 14)
(folios 440 y siguientes) y en la EIPD, no toma como punto de referencia para la
generación del vector facial los “landmarks”.
Su SBRF para el reconocimiento de la persona, no parte del establecimiento de mapas
de puntos o distancias entre puntos característicos del rostro humano, sino en el
reconocimiento de una innumerable cantidad de rasgos que difieren de un rostro a otro
(tales como, por poner ejemplos sencillos, la forma o el color de los ojos, el tamaño de la
nariz, el color de la piel, el volumen de los labios, de los pómulos, del mentón, etc.).
Este mismo sistema es el seguido en el presente caso, en que, a partir de una imagen del
rostro, que, no lo olvidemos, deberá en todo caso ir acompañada de la realización por el
interesado de una prueba de vida que acredite que no se trata de usurpar la identidad del
interesado (evitando así esa usurpación), se interpretará de manera abstracta por el
SBRF información sobre más de quinientos elementos característicos de dicho rostro.
Este SBRF, difiere del que la propuesta de resolución establece.
A diferencia de un modelo generado a partir de “Landmarks”, en que el valor numérico
sería inmutable a partir de los puntos característicos obtenidos (dado que su mapa
característico o las distancias entre ellos serán invariables en todo caso respecto del
interesado al que se aplica el SBRF, dado que son una plasmación directa de sus
rasgos), en el modelo de RBR (Referencia Biométrica Renovable) implementado en el
SBRF utilizado por OSASUNA, el vector es generado por asociación y referenciación del
rostro sometido a reconocimiento respecto de una serie de rostros (generalmente
superior al millón) utilizada en el entrenamiento del modelo y respecto de cada uno de los
más de 500 rasgos distintivos utilizados por el modelo.
“Cuando el interesado solicita la generación de su vector facial para el reconocimiento
biométrico, el SBRF le atribuye un valor numérico en relación con cada uno de los rasgos
mencionados. Este valor no se genera a partir de una escala referida al rasgo en
concreto, sino por la comparativa de ese rasgo con los que constituyen la citada muestra
de entrenamiento.
Además, es relevante que “cada uno de los SBRF que se generen, e incluso cada una de
las versiones del mismo sistema, diferirá de las restantes, bien en la delimitación de los
rostros utilizados como entrenamiento del sistema bien en el orden atribuido a cada
rasgo característico para la formación de la matriz mencionada, o en ambos. Eso implica
que un mismo rostro recibirá un valor distinto en cada sistema y en cada versión de
aquél, por lo que el vector facial de una misma persona quedaría modificado incluso
como consecuencia del hecho de que se alterase un solo rostro de la muestra que se
empleó en el entrenamiento o se intercambiase simplemente la ubicación del parámetro
correspondiente a dos rasgos en la matriz generadora del vector facial.”
Estima que el sistema utilizado por C.A. OSASUNA, se caracteriza por:
“● La representación de un mismo rostro humano puede dar lugar a múltiples vectores,
de forma que cada SBRF generará un vector distinto del de las restantes y cada versión
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
67/128
del mismo SBRF generará igualmente un vector distinto del generado por su versión
anterior. Es decir, no existiría unicidad, sino multiplicidad en los vectores generados por el
mismo rostro en función del SBRF o su versión.
● El vector facial es siempre irreversible, dado que se genera por referencia a la posición
del interesado respecto de cada uno de los rasgos dentro del conjunto de rostros
utilizado como modelo de entrenamiento. De este modo, es imposible proceder a la
reconstrucción del rostro (o de los rasgos característicos) a partir de la obtención de la
matriz, incluso si se conocieran, lo que es técnicamente inviable, tanto el orden de
asignación de cada uno de los rasgos como el total de las imágenes de la muestra,
puesto que la ausencia de una sola de ellas alteraría el resultado numérico derivado del
posicionamiento del rostro respecto del que se ha generado el vector.
● El vector facial no sería nunca interoperable, puesto que, como se ha dicho, tanto la
muestra como el posicionamiento de cada uno de los rasgos en la generación del vector
cambiaría de un SBRF a otro, o incluso entre versiones del mismo SBRF. De este modo,
el uso del vector queda limitado al sistema que los creó dado que sólo este puede
entender las referencias posicionales que representa cada uno de los componentes
empleados para su generación. Por ello no sería posible la reutilización de un vector por
ningún sistema distinto de aquél que generó el dato.
● El SBRF es inmediatamente revocable, de forma que en caso de compromiso (si bien
ya se ha visto que el riesgo de acceso no autorizado al vector facial bajo el modelo de
RBR es inexistente o mínimo) sería posible la generación de una nueva referencia,
simplemente mediante la modificación de una variable de configuración en el sistema,
como la introducción de un elemento de comparación adicional. De este modo, el vector
facial obtenido por el SBRF analizado en este procedimiento sería, por definición,
susceptible de mutarse en otro (dada la característica de multiplicidad a la que se ha
hecho referencia en el punto primero), desapareciendo así los riesgos generados como
consecuencia de la inmutabilidad del vector. “
Indica que en la página del NIST se acredita el cumplimiento del SBRF de C.A.
OSASUNA de VERIDAS, modelo “(...)” indicando el enlace que conduce al informe de
XX/XX/2021, concluyendo que el modelo se encuentra certificado y auditado y se
garantiza al exactitud de los datos
C.A. OSASUNA discrepa de la respuesta que se da en la propuesta que indica que “la
tecnología es solo un factor a considerar, pues se han de implementar otros tipos de
medidas que pueden abarcar medidas técnicas y organizativas de todo tipo, y no solo de
seguridad.
En este caso, no se estimó que no existía proporcionalidad ni necesidad en el tratamiento
derivado de los altos riesgos que suponen este tipo de tratamiento, sino por su análisis
del contenido derivado de la EIPD y del análisis de la naturaleza del tratamiento descrito,
y así figura expuesto en el fundamento de derecho V. En este sentido, aun siendo
convertida la imagen en un código o vector, el tratamiento continúa siendo de datos
biométricos y con ello de categoría especial.”
Añade que la propuesta no valora las medidas adicionales en el tratamiento y en el ciclo
de vida del tratamiento encaminadas a garantizar los derechos y libertades de los
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
68/128
interesados que minimizan el riesgo residual que pudiera derivarse del tratamiento,
recordando la destinada a las que evitan la suplantación de la identidad o la de cumplir
los requisitos para la incorporación con referencia concreta a ser mayor de 14 años.
También se muestra disconforme con la afirmación de que
“el SBRF necesita varios documentos y datos personales adicionales para crear y
registrar el vector facial. Un grupo de datos que se aprovechan para el SBRF y de los que
se parte, son los procedentes de la tarjeta de abono, de los que ya disponían los socios
abonados, y que serían los únicos usados para los accesos al estadio por defecto en la
modalidad preexistente antes de la implantación por C.A. OSASUNA del SBRF.”, pues
dichos datos se tratan solo en el momento del registro con la finalidad de garantizar la
exactitud e integridad y durante el proceso de alta en el sistema.
Finaliza concluyendo que no es posible mantener la evaluación sobre el juicio de
necesidad efectuado por la AEPD si los riesgos que se consideraban inherentes al
tratamiento no concurren realmente como consecuencia de la tecnología por el sistema a
través del cual ese tratamiento se lleva a cabo
1) La finalidad de la puesta en marcha del SBRF no es solo como indica la propuesta de
acceder a estadio El Sadar, cuando adicionalmente sus fines son el acceso ágil, sin que
haya de esperar largas colas, pues procesa el reconocimiento en milisegundos,
garantizando que el abonado que accede es quien realmente ostenta el derecho para
efectuar ese acceso, sin precisar un proceso de identificación a través de medios
convencionales-(ejemplo, mediante el cotejo del DNI) en los supuestos en que el mismo
pudiera establecerse, específicamente para un evento concreto, evitando la suplantación
en el acceso como consecuencia de una sustracción de documentos acreditativos de la
condición de abonado. La posibilidad de fundar el tratamiento de datos en estas
cualidades adicionales, como pueden ser la de acelerar o agilizar el acceso al estadio, se
contienen en el citado Dictamen 11/2014, sin hacer referencia a que estas consistan en
una mera “comodidad” o “utilidad” para el responsable como señala la propuesta. Agrega
que estas causas justifican el tratamiento de datos y la inexistencia de contravención del
principio de necesidad en el tratamiento (dado que las restantes alternativas no ofrecen
este beneficio).
La valoración de la necesidad del tratamiento no ha tenido en cuenta sino el mero acceso
al estadio, cuando se trata de un acceso en condiciones de mayor agilidad y seguridad
para el interesado, como evitación de suplantación de su identidad, no a los efectos de la
Ley 19/2007.
Reitera que se cumplen el requisito de idoneidad, pues alcanza el objetivo propuesto que
es acceder con mayor celeridad y garantizando que el interesado no podrá ser
suplantado por un tercero.
En cuanto al análisis de valoración de la necesidad, se señala en la propuesta que:
“Si bien en la práctica no suele existir una única forma de conseguir los fines a los que
está orientado un tratamiento de datos, sí que se puede apreciar que en función de cómo
se implemente, se pueden plantear diferentes escenarios de riesgo. A la hora de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
69/128
considerar esos otros posibles tratamientos alternativos hay que identificar a aquellos
que empleando menos medios o medios menos intrusivos alcancen al menos igual
eficacia es decir se debe evaluar si la finalidad perseguida se puede conseguir por otros
medios como por ejemplo utilizando otros datos (de otra naturaleza o extensión) o con
tecnologías menos invasivas.”, con el que C.A. OSASUNA no se muestra de acuerdo por
las conclusiones que del mismo se alcanzan. Considera que, dado que más allá de
excluir el tratamiento de los datos biométricos basado en el consentimiento libre del
interesado, pues siempre cabrán opciones menos intrusivas, sienta la premisa de que
solo existe una forma recta de llevar a cabo el tratamiento de los datos con exclusión de
cualquier otra opción que pueda implicar una mayor intrusión, con ello se estarían
considerando sustraídos al juicio de necesidad la mayor parte de los tratamientos
llevados a cabo por cualquiera responsable. Pone el ejemplo del alojamiento en la nube
de datos que es más arriesgado que en servidores propios, que, por ello, nunca sería
necesario un tratamiento en que se acudiera a aquellos proveedores.
Sobre la consideración en la propuesta de que la agilidad en los accesos al estadio no
resulta suficiente, C.A. OSASUNA manifiesta que el EDPB, en su Dictamen 11/2024,
considera la agilidad en el acceso como un fin que justificaría la necesidad de llevar a
cabo un tratamiento de datos biométricos de los interesados.
Sobre la manifestación en la propuesta de que el sistema de autenticación 1:1 supone
menos riesgo en el tratamiento que el de identificación, “el supuesto extraído del
Dictamen 11/2024 parte de una premisa que no se da en este caso, cual es que en aquel
se describen los riesgos de los sistemas, que, en este caso, “no concurren con el sistema
basado en la inteligencia artificial”.
Estima que los argumentos empleados por la propuesta para negar la concurrencia del
principio de necesidad no se ajustan ni a la finalidad del tratamiento, ni a los propios
riesgos que se pretenden evitar con el recurso a esta tecnología, por lo que no cabe
lograr los objetivos del tratamiento de un modo menos intrusivo.
En cuanto a la valoración de la proporcionalidad, C.A. OSASUNA, señala que las
ventajas derivadas del tratamiento son mayores que los riesgos generados por el mismo,
poniendo de manifiesto que el tratamiento no conlleva un alto riesgo para los derechos y
libertades de los interesados, y que los riesgos generados por su tratamiento son
minimizados por la tecnología empleada y por las medidas adoptadas
6) En el caso de que el procedimiento no se archive por considerar que existe la
infracción imputada, C.A. OSASUNA subsidiariamente reitera que se vulnera el principio
de proporcionalidad en la determinación del importe de la sanción. C.A. OSASUNA
manifiesta que en la infracción del artículo 5.1.c) del RGPD, la agravante de la
naturaleza, gravedad y duración de la infracción ha de subsumir la del tratamiento de
categorías especiales de datos. Se basa en que “dado que si se considera por la AEPD
que se produce una agravación de la conducta atendidas las circunstancias del
tratamiento es obvio que una de ellas es el que se produciría un tratamiento de
categorías especiales de datos, que por otra parte no se recoge como agravante
autónoma ni en el artículo 83.2 del RGPD ni en el artículo 76.2 de la LOPDGDD, dado
que cabe considerar que la referencia a las categorías de datos efectuada por el artículo
83.2 g) del RGPD no resultaría aplicable cuando la agravante se aprecia del tratamiento
en su conjunto.”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
70/128
-Además, sobre la valoración de la agravante relacionada con la naturaleza, gravedad y
duración de la infracción que menciona, ocasiona indefensión por ser incomprensible. “Si
lo que se pretende indicar es que la infracción es la de haber llevado a cabo un
tratamiento que no resultaba necesario para las finalidades que pretendían cubrirse con
el mismo, aparte de negar esa afirmación, tal agravante consistiría en un supuesto
incumplimiento del principio de necesidad, conducta que se incluye en el propio tipo,
contrario a los principios del derecho sancionador”
Añade que la referencia a que el potencial impacto del tratamiento sobre la totalidad de
abonados de OSASUNA, contenida en la propuesta, en la explicación del 83.2.a) del
RGPD de “si no se para puede afectar a más abonados, carece de sentido”, pues no es
posible agravar una sanción por un hecho cuya concurrencia es imposible, ya que desde
la temporada 2024/2025 no está tratando los datos con el SBRF.
Sobre el segundo agravante, del artículo 83.2.b) del RGPD, señala OSASUNA que se
contestó en la propuesta de manera incompresible, y que se si se trata de considerar
negligencia grave el hecho de permitir que el tratamiento se llevase a cabo sobre la base
del consentimiento y la libre decisión de los interesados, dicha interpretación no sería
negligente ni artificiosa, que no siguen los criterios derivados de los documentos del
EDPB y del GT 29. Considera que dichos hechos no pueden agravar la responsabilidad
de OSASUNA, sino que debería excluir su responsabilidad, abocando al archivo del
expediente.
HECHOS PROBADOS
PRIMERO:
Con fecha 22/11/2022, se recibe una denuncia en la AEPD que refiere una nota de prensa
publicada el 22/05/2022 por elespañol.com en la que informa de la implantación de un
sistema biométrico de reconocimiento facial -SBRF- en el recinto deportivo, estadio El
Sadar, del C.A. Osasuna. Como consecuencia de ello, la Directora de la AEPD acordó iniciar
actuaciones previas.,
SEGUNDO:
En actuaciones previas, con fecha 13/03/2023 C.A. OSASUNA reconoció que instauró un
SBRF no obligatorio, complementario del existente hasta la fecha y que coexistiría con este,
para facilitar el control de acceso en todo el estadio, de socios/as abonados (personas
abonadas) a su estadio, así como que su sistema cumple con el requisito de ser de
identificación biométrica 1:N, aceptando que se trata de datos biométricos de categoría
especial.
El SBRF, una vez registradas las personas abonadas en el SBRF como usuarios, permite en
adelante a las personas abonadas, elegir entre este tipo de acceso y el instaurado y vigente
con anterioridad, contando con DOS métodos de acceso disponibles en cualquier partido. El
primer día, como prueba piloto de uso del SBRF fue el 10/04/2022, solo para las personas
abonadas que tenían asignado su acceso por la puerta 7, contando la instalación en uno de
sus tornos, de uno combinado con acceso biométrico en dicha puerta. torno que se sumaba
a los tornos existentes en la misma puerta para accesos por sistema ordinario para el
acceso al estadio de las personas abonadas.
En el encuentro de fútbol de la jornada 22/04/2022, se amplió el número de puertas de
acceso que disponen de terminales para el funcionamiento del SBRF a las número: 3, 8, 10,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
71/128
11, 16, 21 y 27, con un torno combinado con acceso biométrico en cada puerta, que se
sumaba a los tornos facilitadores del acceso con sistema ordinario. Según la información de
la noticia de elespañol.com, 500 personas utilizaron el reconocimiento facial para entrar al
estadio en este encuentro, y el sistema permite que accedan al estadio hasta 20 personas
por minuto, y “hasta ahora había tres formas de acceder al estadio cuando el espectador
llegaba los tornos: mostrar el carné de socio, emplear tecnología RFID que integra esos
carnés, o con el abono digital descargado en el teléfono móvil”.
TERCERO:
Recalca C.A. OSASUNA en actuaciones previas y en su Evaluación de Impacto de
Protección de Datos, que el hecho de registrarse para el uso del SBRF de acceso al recinto
deportivo El Sadar, es un medio más, pues se pueden utilizar los métodos anteriores
preexistentes, añadiéndose como una opción más, manteniendo disponibles el resto de las
modalidades de acceso utilizadas hasta entonces, y pudiéndose utilizar por el socio
abonado cualquier modalidad para acceder. Se añade en la información de la web del C.A.
Osasuna, el 5/04/2022 (doc 2 aportado en actuaciones previas, primera respuesta,
13/03/2023, hecho TERCERO) que no se necesita llevar el “abono físico” “o digital en el
móvil” para entrar, si se utiliza el SBRF.
En preguntas y respuestas frecuentes sobre el sistema en la web de C.A. OSASUNA,
DOCUMENTO 5 aportado en actuaciones previas, primera respuesta, 13/03/2023, hecho
TERCERO, 1.1, se indica que el sistema se utilizará para los socios abonados mayores de
14 años, con “abono nominal”, “moderno sistema de acceso que se ha instalado como
opción adicional para entrar al estadio, mejorar la experiencia de las personas que visitan El
Sadar, modernizar las instalaciones, y que en los tornos habilitados para este tipo de acceso
podrá abrir automáticamente la barrera y entrar en el estadio “acercando la cara a la
pequeña pantalla que existen en dichos tornos. Como ventajas, señala la rapidez, la
comodidad, seguridad, voluntario, fácil de usar para todos y que el sistema está entrenado
para reconocerte”, a pesar de los cambios de aspecto.”
Antes de la implantación por parte del C.A. OSASUNA del SBRF, 10/04/2022, los medios
vigentes que utilizaba para el acceso a su estadio por las personas abonadas eran la tarjeta
física de abonado, o en digital en el móvil, o con lectura de código QR, que coexisten a partir
de 10/04/2022, con la implantación del SBRF. Se acredita de las actuaciones previas de
investigación y de las respuestas de C.A. OSASUNA, que, con las tarjetas de abonado, el
acceso al estadio se produce solamente pasando la tarjeta de abonado en sus tres formas,
sea tarjeta física, digital en el teléfono móvil o código QR, a través del torno de acceso que
todo estadio ha de disponer por mandato expreso de la Ley 19/2007 de 11/07 contra la
violencia, el racismo, la xenofobia y la intolerancia en el deporte, en su artículo 11 “sistema
informatizado de control y gestión de la venta de entradas, así como de acceso al recinto”.
CUARTO:
Como finalidad del tratamiento, en actuaciones previas, el 13/03/2023, el C.A. OSASUNA
señaló que el SBRF implantado para el acceso al estadio El Sadar para las personas
abonadas, es garantizar a los aficionados de Osasuna que así lo hayan decidido
libremente el acceso al recinto deportivo del estadio El Sadar “a través de un
procedimiento ágil y sencillo” mediante dicho sistema, como alternativo no excluyente, a
los distintos medios de acceso puestos por el Club a su disposición. En el Registro de
Actividades de Tratamiento (RAT) figura en documento 14, aportado en actuaciones
previas de investigación el 13/03/2023, hecho TERCERO, 3.5., que los fines del
tratamiento “control de accesos por reconocimiento facial”, son: “registro y gestión de los
accesos a las instalaciones mediante sistema de reconocimiento facial”.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
72/128
QUINTO:
Manifestó C.A. OSASUNA en actuaciones previas, y así consta en su EIPD de 4/02/2022,
que el proceso de registro de usuario en el SBRF para personas abonadas del C.A.
OSASUNA solo debe realizarse en una ocasión y se realiza de forma remota y guiada. Sus
características son que se puede hacer desde el teléfono móvil del usuario
(preferiblemente), Tablet u ordenador con conexión a internet y cámara. Se puede iniciar
desde la página web de OSASUNA, www.osasuna.es, donde figura un comunicado con la
información general del sistema y un botón para iniciar el proceso guiado de registro y
activación en el enlace: https://osasunasocios.app.das-gate.com/, y precisa para su
activación:
-introducción de datos: DNI y correo electrónico, figurando a continuación dos casillas a
marcar sobre consentimiento y política de privacidad, cuyo detalle se analiza en el siguiente
hecho probado. Para continuar el proceso se han de marcar las casillas y dar a la pestaña
“Comenzar”
-- foto del código QR del abono de socio del Club (“Escanea QR de tu abono” según info de
la pantalla) –(hay que concretar que en el QR se contienen los datos de cada persona
abonada, el ID de ACCESO, el número de abonado y número de DNI que forman parte de
los datos básicos contenidos en las tarjetas de socios abonados).
-Captura de foto del DNI por delante y por detrás.
-Hacerse un selfie, colocando la cara en el óvalo que figura en la imagen y realizar
movimientos que se indican (El sistema verifica que la foto del DNI coincida con los rasgos y
la identidad de la persona que se ha realizado el selfie). La imagen selfie es cotejada con la
imagen obtenida del DNI.
Tras la citada verificación se informa de que el proceso de registro se ha realizado
correctamente, añadiendo que “En tu puerta de acceso habitual encontraras debidamente
señalizados los tornos de acceso con RF”
Debido a que, para el proceso de registro y almacenamiento del dato biométrico se utilizan
diversos datos ya señalados, C.A. SASUNA, manifestó que la imagen de la fotografía usada
para verificación con la que figura en el DNI por no ser necesaria se suprime.
Además, manifestó C.A. OSASUNA que al concluir el proceso de alta del registro (alta del
abonado) solo conserva:
- el ID de ACCESO, correspondiente al abono y que figura en el abono (dice C.A. OSASUNA
que es anónimo, pero en la EIPD de dicha entidad, fechada a 4/02/2022, apartado 6.4.4, 4
b) se indica en que todos los abonos “contienen un identificador único que no singulariza al
abonado, pero permite la individualización del abono mismo. Este dato es necesario para
evitar que el sistema de acceso pueda permitir un acceso duplicado al estadio con un mismo
abono, de modo que una vez autorizado un acceso será imposible la utilización del abono”).
-“el hash del identificador de usuario en el Sistema, que se recaba a los exclusivos efectos
de servir como primer elemento de autenticación para el acceso seguro por el usuario al
portal de DAS-GATE, a fin de poder interactuar con el Sistema (por ejemplo, para proceder
a su baja o ejercitar sus derechos)”, según figura en la respuesta en actuaciones previas de
investigación, hecho TERCERO, punto 1.6.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
73/128
- el identificador vector facial de las personas abonadas, sobre el que manifiesta C.A.
OSASUNA, “sin asociarlo a ningún dato identificativo que conste en su DNI o en su abono ni
a los datos facilitados por el interesado en el proceso de alta”.
Determina C.A. OSASUNA que estos datos se conservan mientras las personas abonadas
no revoquen el consentimiento, y se suprimirán “en caso de revocación o cesación en la
condición de abonado”.
Con la finalización del proceso del registro de usuarios en el SBRF, C.A. OSASUNA indicó
que los datos utilizados para el registro aparecen en la situación de bloqueados, excepto el
ID de acceso, correo electrónico y el vector facial.
SEXTO:
El proceso de información sobre la recogida y el tratamiento de los datos recabados por
C.A. OSASUNA para el SBRF de acceso al estadio El Sadar, figura en la misma pantalla de
registro de acceso del usuario por la que se activa el alta en el sistema, en la página de
https://osasunasocios.app.das-gate.com/.
De acuerdo con el documento 4 aportado en las actuaciones previas, primera respuesta,
punto 1, en el proceso de inscripción de alta como usuario, figura en la primera pantalla,
junto con la introducción de los primeros datos: DNI y correo electrónico, dos casillas en
blanco para marcar.
La primera, con el “consiento de forma expresa el tratamiento de datos personales para la
generación de un vector facial que permite la identificación en el momento de acceder al
estadio”, la segunda con “He leído y acepto la política de privacidad”. Tras su marcado figura
la pestaña “comenzar´”.
El documento 6 que consta reflejado en el HECHO TERCERO 1.5, titulado: “tratamiento de
los datos de control de accesos a las instalaciones por reconocimiento facial”, contiene la
primera capa de información con el responsable, finalidad: control de accesos mediante
sistema de reconocimiento facial, legitimación 6.1.a y 9.2.a del RGPD, “autorización expresa
para el tratamiento de las imágenes mediante un sistema de inteligencia artificial,
reconocimiento facial, generando un vector que permite identificar al usuario para el control
de accesos a las instalaciones”. En “derechos”, figuran los de acceso, rectificación y
supresión, “así como otros derechos indicados en la información adicional, que puede
ejercer dirigiéndose” a dos direcciones, una de Osasuna y otra del DPO “y/o pinchando el
enlace de la web y del portal del socio “ejercicio de derechos ArSol”. En esta primera capa
no se refiere a la información de la posibilidad de la retirada del consentimiento.
Al final de la primera capa, figura el botón de aceptar.
En la primera capa consta un enlace a información adicional:
https://www.osasuna.es/política de privacidad”, (aportada en documento 7, en actuaciones
previas, HECHO TERCERO, 1.5,) titulado “Información completa sobre Protección de
Datos” en la que se indica que es un sistema alternativo de entrada que permite robustecer
la seguridad de acceso al mismo, así como agilizar la entrada, facilitando ésta a los socios y
socias del Club.
En la segunda capa, figura, según documento 7, información añadida como el tratamiento
de datos personales en el portal de DAS-GATE para gestionar el derecho de acceso
mediante reconocimiento facial, pudiendo solicitar la baja en el servicio y se detallan los
períodos de conservación de los datos, indicando aquí la referencia a la retirada del
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
74/128
consentimiento. También aquí se indica que se pueden ejercer los derechos a través del
área privada de cada usuario en el portal de DAS-GATE.
De acuerdo con lo manifestado por C.A. OSASUNA, la retirada del consentimiento
previamente prestado para el uso del SBRF a través del vector facial, supondrá el cese en el
tratamiento de este dato para tales fines, toda vez que según se señala, los datos no serán
utilizados para ninguna otra finalidad, sin embargo, las personas abonadas en este caso,
según C.A. OSASUNA podrían continuar consiguiendo la finalidad de acceder al estadio con
los métodos preexistentes DEL ABONO EN SUS TRES MODALIDADES..
En cuanto a los documentos que figuran en el link de ejercicio de derechos de Osasuna y de
ejercicio de derechos ArSol, este contiene un formulario para entre otros, revocar el
consentimiento
En la web del Club, en noticias de 5/04/2022, se informa de la voluntariedad del SBRF y su
complementariedad con los métodos vigentes. En un comunicado a través de newsletter de
9/04/2022, se informaba también de dichos aspectos.
SÉPTIMO:
De acuerdo con la información proporcionada por C.A. OSASUNA en actuaciones previas, y
en su EIPD (2.2.1), el acceso de las personas que hubieran optado por el SBRF una vez
registradas en el mismo se produce por las Terminales de identificación facilitadas por DAS-
GATE en los tornos de entrada al estadio a los que se incorporara el software de
reconocimiento facial que hacen la lectura e identifican el vector facial de las personas
abonadas. En el momento en que las personas abonadas registradas en el SBRF accedan
al estadio, si quieren utilizar este medio de acceso, su imagen es captada por un dispositivo,
tamaño pantalla de Tablet situándose a una distancia inferior a un metro. Al aproximarse a
dicho dispositivo, se activa el sistema automáticamente al detectar una cara. Si la
proximidad es la adecuada, el sistema captura la imagen procesándola de la misma forma
que se genera el vector, y se compara la imagen obtenida del vector facial biométrico del
usuario que quiere acceder con el conjunto de vectores biométricos almacenados dados de
alta en el sistema. En el terminal DE IDENTIFICACION quedan registrados los logs de:
fecha y hora, ID de ACCESO, identificador del terminal biométrico, identificador anónimo del
usuario más parecido a la cara que se está tratando de identificar y puntuación de similitud
biométrica obtenida.
Precisa C.A. OSASUNA en actuaciones previas de investigación, hecho TERCERO, 2.3, y
figura en su EIPD 2.2.1., que una vez producida mediante la identificación de su vector facial
la autenticación de las personas abonadas, se enviará una petición al servidor encargado de
accionar los tornos de entrada al estadio, consistente en comunicar al servidor gestionado
por la SOCIEDAD ESPAÑOLA DE FÚTBOL PROFESIONAL SAU (SEFPSA) con la que
dispone de un contrato de encargo de tratamiento, del que no aporta copia. La transmisión
se limita al ID de ACCESO, a fin de accionar el correspondiente torno, sin facilitar ningún
dato referido al vector facial. SEFPSA, no lleva a cabo tratamiento de identificador
biométrico alguno, limitándose al ID de ACCESO. Señala C.A. OSASUNA que, una vez
aceptado el acceso, además del ID de ACCESO del usuario que se envía a SEFPSA, “el
envío de esa petición también es logueado (registrado en logs por el terminal-fecha, hora,
identificador del terminal, ID anónimo de usuario reconocido”
De acuerdo con la información que refleja la EIPD de C.A. OSASUNA, en “2.1.3.
Almacenamiento de la información resultante del proceso”, “Una vez verificada la identidad
del abonado, el sistema almacena de forma permanente y mientras siga haciendo uso del
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
75/128
sistema, el ID de ACCESO, el ID de USUARIO previamente cifrado con la (…) y el vector
facial obtenido de la realización de su fotografía selfie”. Los datos recabados de forma
temporal durante el alta en el servicio, así como los conservados durante el período en que
el abonado siga haciendo uso del sistema serán almacenados en servidores contratados
con ***EMPRESA.1 ubicados en la Unión Europea”
Se deduce así, que cada vez que las personas abonadas acceden al estadio el Sadar de
C.A. OSASUNA con el SBRF, es necesario y consustancial al sistema, que al vector facial se
le asocie la ID de ACCESO, esta con el fin de controlar no haya duplicidades en el acceso
con el mismo título (abono) ID de ACCESO.
C.A. OSASUNA manifestó en actuaciones previas que “Al procesar la petición de acceso
enviada por el terminal biométrico, SEFPSA decide si autoriza o no el acceso del usuario y
actúa directamente sobre el torno comandando (o no) su apertura. SEFPSA no informa de
su decisión de autorización al terminal biométrico. Cabe mencionar en este punto que
SEFPSA, al recibir esa petición, no puede distinguir entre peticiones recibidas de los
terminales biométricos y lecturas realizadas de QR o NFC; es decir, no conoce cómo se ha
autenticado el usuario”.
OCTAVO:
C.A. OSASUNA responsable del tratamiento de los datos del sistema SBRF por decidir su
implantación, los medios y fines del sistema, de acuerdo con lo manifestado en el hecho
TERCERO de actuaciones previas, 13/03/2023, manifestó que contó con la colaboración en
el tratamiento de datos de DAS-GATE CONTROL SOLUTIONS SL, con la que suscribió un
contrato de encargado de tratamiento, (aporta documento 10 “licencia de uso del sistema”
de 24/01/2022, y Anexo I, “contrato de encargo de tratamiento de datos de carácter
personal”) utilizando tecnología de reconocimiento facial, hardware y software de VERIDAS
DIGITAL AUTHENTICATION SOLUTIONS, S.L, con la que DAS-GATE suscribió un contrato
de subencargado de tratamiento como proveedor de tecnología de validación documental y
reconocimiento biométrico (se aporta documentos 11 de 4/06/2021 y 11 bis de 17/02/2021
según consta en el punto 1.9 del hecho TERCERO). Otro contrato de subencargado
suscribió DAS-GATE con ***EMPRESA.1 (en adelante, “***EMPRESA.1”) como proveedor
de (…) y (…) (se aportó copia en documento 12 “términos de servicio” y 12 bis, y “addenda
de tratamiento de datos ***EMPRESA.1” según consta en el punto 1.9 del hecho
TERCERO). Todos los servicios prestados por estas entidades se encuentran ubicados
dentro del Espacio Económico Europeo.
Los vectores faciales extraídos para el tratamiento de datos biométricos, mediante el SBRF
utilizado por C.A. OSASUNA, son los desarrollados por VERIDAS e incluye un modelo de
inteligencia artificial de redes neuronales, con algoritmos que se basan en técnicas de
aprendizaje automático (redes neuronales artificiales profundas, deep learning). La imagen
de la que procede el vector facial es suprimida del sistema tan pronto como concluye el
proceso de generación de dicho vector.
NOVENO:
La evaluación de la necesidad y de la proporcionalidad de las operaciones de tratamiento
con respecto a su finalidad llevada a cabo a través del SBRF por C.A. OSASUNA se
contiene en el apartado 6 de su EIPD de 4/02/2022 titulado “aplicación de los principios de
tratamiento”, y en concreto en su epígrafe 6.4 “principio de minimización de datos”. En el
apartado 6.3, indica que se trata de un nuevo medio de acceso al recinto deportivo más
adecuado y eficaz a la vista del estado actual de la técnica, indicando en 6 4.1 que “en el
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
76/128
diseño de un nuevo tratamiento de datos es necesario analizar la idoneidad de los datos
tratados para el fin perseguido, la posible existencia de otro procedimiento igual o menos
intrusivo para alcanzar ese objetivo o fin, la ponderación de los beneficios que reportaría su
tratamiento frente a los riesgos o daños que pudieran emerger como consecuencia del
mismo””…el principio de minimización exigiría, como regla general la adopción de la que
resultase menos intrusiva”. Considera que el tratamiento del vector facial es idóneo “para el
cumplimiento de llevar a cabo ese proceso de alta, al permitir la plena identificación del
abonado (6.4.3 EIPD) es necesario “para el logro de la finalidad perseguida por el
tratamiento, cual es facilitar a los abonados de OSASUNA que así lo deseen, el acceso al
recinto deportivo a través de un procedimiento ágil y sencillo. Ciertamente, en este punto, es
posible el logro de la finalidad perseguida (el acceso al estadio El Sadar) utilizando un medio
menos intrusivo (el uso de los medios tradicionalmente empleados, como por ejemplo el uso
de un lector del código QR incorporado al abono). No obstante, la implementación del
tratamiento analizado en esta DPIA no impide el uso de esta opción. Es decir, el interesado
puede decidir libremente y sin que ello le produzca ningún tipo de afección a sus derechos
como abonado, optar por uno u otro tratamiento para el acceso al estadio. De este modo, la
necesidad se vincularía en este caso con la voluntad del abonado, que no puede ser
satisfecha utilizando un medio menos intrusivo de acceso” (6.4.3 EIPD).
DÉCIMO:
C.A. OSASUNA reconoció ya en la primera respuesta en actuaciones previas de
investigación, el 13/03/2023 que su SBRF implica el tratamiento de datos personales
biométricos con finalidades identificativas (1:N), por lo que al tratarse de identificación
univoca que tal tratamiento supone, consideró que son datos de categoría especial. Añadió
que la circunstancia que levanta la prohibición del tratamiento de datos biométricos que
utiliza para el acceso voluntario al estadio El Sadar es el consentimiento explícito para el
tratamiento de dichos datos personales con uno o más de los fines especificados, contenido
en el artículo 9.2.a) del RGPD, consentimiento que comprende y subsume el del artículo
6.1.a) que estima es la base jurídica general. De acuerdo con la información que figura en el
Registro de actividades de tratamiento, RAT; “Fines: registro y gestión de los accesos a las
instalaciones mediante sistema de reconocimiento facial “, y en su EIPD que la finalidad era
“garantizar el acceso, a través del reconocimiento facial, al estadio El Sadar por parte de los
abonados”.
La revocación del consentimiento, según indica C.A. OSASUNA en su respuesta el
13/03/2023 en actuaciones previas de investigación y en la EIPD de 4/02/2022 ( 6.6 ) se
puede hacer en cualquier momento desde el portal del usuario y también en la web del C.A.
OSASUNA en “ejercicio de derechos ArSol”, e implica la supresión, conservándose los datos
bloqueados por tres años, período máximo coincidente con el de la prescripción de una
infracción en materia de protección de datos, “lo que supondrá el cese en el tratamiento de
este dato para tales fines” (5.2.2 final EIPD).
DÉCIMO PRIMERO:
El proceso de acceso de personas abonadas al estadio El Sadar del C.A. OSASUNA usando
el SBRF, respondió en la primera respuesta en actuaciones previas de investigación el
13/03/2023, figurando en hecho TERCERO, 1.6, y en el punto 6.6 de la EIPD de 4/02/2022,
que “el sistema no almacena la imagen captada por el lector ubicado en el acceso al recinto
ni el vector facial generado a partir de ésta, solo se almacena la información relacionada con
el hecho del acceso, log de identificación exitosa, aceptación o denegación de acceso.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
77/128
En el punto 1.8 de actuaciones previas de investigación, hecho CUARTO, C.A. OSASUNA
indica que queda registrado en sus sistemas, servidores de DAS-GATE, la operación del
terminal cada vez que se realiza una identificación, registrándose la fecha y hora,
identificador del terminal biométrico, identificador de acceso del abonado, y puntuación de
similitud biométrica, aportando documento 11 (logs de autenticación de acceso al estadio
extraídos del sistema, que comienza la consulta a través del dato (…) al que (…), y que
estos registros quedan almacenados en servidores del proveedor ***EMPRESA.1. Significó
C.A. OSASUNA que estos logs se conservan hasta el comienzo de la temporada posterior a
aquella a que se refiere el acceso almacenado, en que se añade un período tres años (plazo
máximo de prescripción de infracciones del RGPD eventualmente exigible). En el
documento 11 que aporta, además se puede ver que consta el (…), que contiene el (…).
El mismo documento 11 muestra registro de ejemplo de datos que permanecen en el
almacenamiento bloqueado, indicando entre archivos disponibles las imágenes capturadas
del DNI del interesado durante su proceso de alta
En el proceso de registro de alta de usuario, se suprime, una vez conseguida la creación del
vector, la imagen que sirvió para la creación del vector, los que consten en el abono o en su
DNI y los facilitados por el interesado en el proceso de alta, conservando solo el vector
facial, el ID de ACCESO del abono, el hash del identificador de usuario en el Sistema para el
acceso seguro por el usuario al portal de DAS-GATE, a fin de poder interactuar con el
Sistema (por ejemplo, para proceder a su baja o ejercitar sus derechos).
Estos datos se conservarán en tanto no se revoque el consentimiento o siga ostentando la
condición de persona abonada, suprimiéndose en caso de revocación o cesación de
condición de persona abonada. Producida una de estas circunstancias, conforme al artículo
32 de la LODGDD, los datos permanecen bloqueados por 3 años, coincidiendo con el
período máximo de prescripción en normativa de protección de datos personales.
DÉCIMO SEGUNDO:
C.A. OSASUNA respondió en actuaciones previas que efectuó mediciones con personal en
distintos puntos del estadio El Sadar, concluyendo que el ritmo /velocidad resultante de sus
observaciones dio como resultado que el ritmo medio de acceso de usuarios a través de un
torno convencional usando el abono -lectura NFC o lector QR- o entrada en papel -lector
código, es 12 personas por minuto. En cambio, el ritmo medio de acceso de personas a
través de los tornos que tienen implementada la tecnología biométrica es de 20 personas
por minuto. Los valores aportados suponen el valor que tiene mayor frecuencia en los ritmos
de acceso.
También se acredita que el tratamiento de datos de carácter personal de personas abonadas
acogidas al SBRF de C.A. OSASUNA era, a fecha 13/03/2023 de un volumen de personas
que (…) y en 28/12/2023, fecha de alegaciones, de (…).
Se informó por C.A. OSASUNA en alegaciones a la propuesta, el, 18/11/2024, que han
cesado en operar con el SBRF desde el final de la temporada 2023/2024. Además, según
manifestó, figura pendiente de resolución su recurso contencioso administrativo interpuesto
frente a la suspensión provisional del tratamiento impuesta en el acuerdo de inicio
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
78/128
FUNDAMENTOS DE DERECHO
I Competencia
De acuerdo con los poderes que el artículo 58.2 del RGPD, otorga a cada autoridad de
control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la LOPDGDD, es
competente para iniciar y resolver este procedimiento la Directora de la Agencia Española
de Protección de Datos.
Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados
por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el
Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos."
II Definición de datos de carácter personal y de datos biométricos
C.A.OSASUNA trata datos personales conforme a la definición que de estos realiza el
artículo 4.1 del RGPD “«datos personales»: toda información sobre una persona física
identificada o identificable («el interesado»); se considerará persona física identificable toda
persona cuya identidad pueda determinarse, directa o indirectamente, en particular
mediante un identificador, como por ejemplo un nombre, un número de identificación, datos
de localización, un identificador en línea o uno o varios elementos propios de la identidad
física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona;”
Los datos biométricos como especie dentro de los datos personales se definen en el artículo
4.14 del RGPD, que señala:
“datos biométricos»: datos personales obtenidos a partir de un tratamiento técnico
específico, relativos a las características físicas, fisiológicas o conductuales de una persona
física que permitan o confirmen la identificación única de dicha persona, como imágenes
faciales o datos dactiloscópicos;”
El ámbito de aplicación del RGPD extiende su protección, tal y como establece su artículo
1.2, a los derechos y libertades fundamentales de las personas físicas y, en particular, su
derecho a la protección de los datos personales, definidos en su artículo 4.1 del RGPD.
Como ya señaló el Dictamen 4/2007, del Grupo de Trabajo (GT) del artículo 29 WP136), de
20/06/2007 (art. 29 de la Directiva 95/46 CE, como organismo de la UE de carácter
consultivo e independiente), sobre el concepto de datos personales, los datos biométricos
pueden definirse como:
“… propiedades biológicas, características fisiológicas, rasgos de la personalidad o tics, que
son, al mismo tiempo, atribuibles a una sola persona y mensurables, incluso si los modelos
utilizados en la práctica para medirlos técnicamente implican un cierto grado de
probabilidad. Ejemplos típicos de datos biométricos son los que proporcionan las huellas
dactilares, los modelos retinales, la estructura facial, las voces, pero también la geometría
de la mano, las estructuras venosas e incluso determinada habilidad profundamente
arraigada u otra característica del comportamiento (como la caligrafía, las pulsaciones, una
manera particular de caminar o de hablar, etc.). Una particularidad de los datos biométricos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
79/128
es que se les puede considerar tanto como contenido de la información sobre una
determinada persona (Fulano tiene estas huellas dactilares), como un elemento para
vincular una información a una determinada persona (este objeto lo ha tocado alguien que
tiene estas huellas dactilares y estas huellas dactilares corresponden a Fulano; por lo tanto,
Fulano ha tocado este objeto). Como tales, pueden servir de «identificadores». En efecto, al
corresponder a una única persona, los datos biométricos pueden utilizarse para identificar a
esa persona. Este carácter dual también se da en el caso de los datos sobre el ADN, que
proporcionan información sobre el cuerpo humano y permiten la identificación inequívoca de
una, y sólo una, persona.”
Los datos biométricos cambian irrevocablemente la relación entre el cuerpo y la identidad,
ya que hacen que las características del cuerpo humano sean legibles mediante máquinas y
estén sujetas a un uso posterior.
Los datos biométricos pueden tratarse y almacenarse de diferentes formas. A veces, la
información biométrica capturada de una persona se almacena y se trata en bruto, lo que
permite reconocer la fuente de la que procede sin conocimientos especiales; por ejemplo, la
fotografía de una cara, la fotografía de una huella dactilar o una grabación de voz. Otras
veces, la información biométrica bruta capturada es tratada de manera que solo se extraen
ciertas características o rasgos y se salvan como una plantilla biométrica, aquí llamado
“vector facial”.
Los sistemas biométricos están estrechamente vinculados a una persona, dado que pueden
utilizar una determinada propiedad especifica y única de un individuo para su identificación.
Un sistema biométrico trabaja con los datos biométricos obtenidos de una persona, a partir
de los cuales un algoritmo extrae características para crear una plantilla biométrica o vector
facial.
A continuación, el sistema coteja la identidad de la persona con la base de datos biométrica.
Puede hacerlo en un segundo, mientras compara cientos de millones de datos biométricos
en la base de datos.
Se puede medir el rendimiento de un sistema biométrico a partir de tres características
principales. Estas son:
- tasa de falsos rechazos (FRR), representa la probabilidad de errores de detección por
parte de un sistema biométrico, lo que significa que no puede reconocer a un usuario cuyas
características biométricas ya están en la base de datos. En caso de rechazo, la persona
debe verificar su identidad de nuevo. Desde una perspectiva de seguridad y protección, esta
tasa no significa que sea necesariamente un resultado negativo.
-tasa de falsas aceptaciones (FAR), es la probabilidad de que un sistema falle y coincida con
las características biométricas de una persona con una plantilla incorrecta, y le dé permiso
para acceder. Esto puede suponer una amenaza potencial, ya que el sistema otorga permiso
a una persona no autorizada para acceder a una cuenta, instalación, etc., y
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
80/128
-tasa de errores iguales (ERR) que es un indicador esencial según el cual un sistema acepta
o rechaza entradas biométricas. Esta tasa es el valor de igualdad entre FRR y FAR y
representa el número ideal de errores de los dos.
Cada método biométrico, ya sea lectura de cara, de huella dactilar, huella palmar, iris, etc.,
tiene diferentes valores para diferentes tasas, en función de las cuales un sistema rechaza o
acepta las entradas. Los datos biométricos presentan la particularidad de ser producidos por
el propio cuerpo y lo caracterizan definitivamente. Por lo tanto, son únicos, permanentes o
definitivos en el tiempo y la persona no puede liberarse de ellos, no se pueden cambiar
nunca, ni con la edad, creando cuestiones de responsabilidad en caso de compromiso-
pérdida o intrusión en el sistema. A diferencia de una contraseña, en caso de pérdida no se
pueden cambiar. La definición de dato biométrico alude a “tratamiento técnico”, sin
especificar, excepto para reseñar que el propósito de dicho tratamiento debe ser identificar a
una persona.
Para considerarse datos biométricos en el sentido del RGPD, el tratamiento de datos sin
procesar, como las características físicas, fisiológicas o conductuales de una persona física
deben implicar una medición de dichas características. Así pues, del concepto, no hay que
perder de vista:
-La naturaleza de los datos: datos relativos a las características físicas, fisiológicas o
conductuales de una persona física;
- Los medios y las formas de tratamiento: datos “obtenidos a partir de un tratamiento técnico
específico”; lo que las diferencia por ejemplo de las imágenes de una persona que figuran
en un sistema de videovigilancia, que no pueden considerarse datos biométricos si no se
han tratado técnicamente de una forma específica con el fin de contribuir a la identificación
única de esa persona. El considerando 51 del RGPD, también se refiere a la no
consideración sistemáticamente como un tratamiento de categoría especial de datos, a las
fotografías, a menos que se les aplique un medio de tratamiento técnico especifico que
"permita la identificación o la autentificación unívocas de una persona física".
- La finalidad del tratamiento: los datos se deben utilizar para la finalidad de identificar de
manera unívoca a una persona física.
Las características biométricas si se someten a un tratamiento técnico se puede llegar a
reconocer a una persona, incluyendo a partir de una imagen o fotografía, suponiendo para
su puesta en práctica un proceso cronológico que se contiene en todos los tratamientos de
datos biométricos: su captura o registro de datos con su siguiente almacenamiento o
procesamiento y la fase de comparación o correspondencia.
En este caso, C.A. OSASUNA instaura como sistema adicional a las modalidades existentes
previamente de acceso a su recinto deportivo, la del control de acceso al estadio por el
socio-abonado para asistir a los partidos de fútbol. Para poder ser usado, ha de registrar
antes su identidad como usuario en el sistema por medio de la captura de una serie de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
81/128
parámetros biométricos (la cara en este caso) que se puede hacer y se hace en este caso
mediante una fotografía en una aplicación informática mediante el móvil preferentemente,
pues de lo que se trata de conseguir es de realizar un procesamiento sobre esos parámetros
del rostro para identificar a la persona cada vez que luego vuelva a entrar por el punto de
acceso.
En el denominado, proceso de registro están las fases de:
- Registro de los parámetros biométricos. Abarca todos los procesos que se llevan a cabo en
un sistema biométrico con el fin de extraer datos biométricos de una fuente biométrica y
vincular estos datos a un individuo. En este caso la cara. El motor biométrico del sistema
utilizado de reconocimiento facial dispone de un algoritmo de IA que se encarga de tal
función El software convierte estas medidas en un código numérico, vector facial lo
denomina C.A. OSASUNA.
Este código numérico, hash o vector facial, es lo que se guarda para comparar cuando se
entra o sale por el espacio donde figura el lector de reconocimiento facial, que registra la
entrada o salida por los ocho tornos de lectura biométrica usados para los accesos al
estadio en distintas puertas de acceso del mismo. Por ello, las técnicas de reconocimiento
facial requieren una cierta cooperación por parte del usuario, ya que la cámara debe ser
colocada enfrente de la cara, mientras se toma la foto en el momento del registro, y en el
momento de acceso se capta la imagen.
-Procesamiento: Creando una plantilla o vector facial con las características personales de
los parámetros capturados del usuario. Una plantilla biométrica/vector facial, es una
representación digital de las características únicas que se han extraído de una muestra
biométrica y pueden almacenarse en una base de datos biométricos que permiten o
confirman la identificación única de una persona física. Además, “se supone que su plantilla
biométrica es única y específica para cada individuo y que, en principio, es permanente a lo
largo del tiempo”. Normalmente, en un proceso de comparación destinado a identificar o
autenticar a una persona mediante el reconocimiento facial, se compara una plantilla
biométrica entrante con objetos almacenados para verificar una coincidencia o encontrar
una en una base de datos.
-Inscripción: de la plantilla o vector facial procesado, guardándose en un medio de
almacenamiento adecuado. Los sistemas de almacenamiento de la plantilla inscrita o del
vector facial pueden variar, almacenamiento en una tarjeta, en manos de la persona, por
ejemplo, en su dispositivo individual, bajo su control exclusivo, centralizado en forma cifrada
dentro de la entidad responsable, bajo su control o en la nube bajo con el control de un
tercero proveedor de servicios.
A título de ejemplo, el Dictamen 11/2024, valora las distintas formas en que se decide
implantar la forma de llevar a cabo técnicamente el tratamiento, derivando distintos efectos
en protección de datos. Por ejemplo el control de la plantilla, si la plantilla está almacenada
en un dispositivo individual bajo control del usuario (usualmente los PIN de usuario y
contraseña de uso tradicionales están en poder del usuario), si la plantilla se almacena de
forma centralizada dentro del C.A OSASUNA, o en la nube, con la clave cifrada dentro del
Club, o si a pesar de estar la plantilla inscrita y cifrada en almacenamiento centralizado
dentro del Club, se descifra por el usuario, así como el período de almacenamiento de la
inscripción del registro. La ordenación de los elementos intrínsecos que intervienen en la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
82/128
técnica del tratamiento puede derivar en la pérdida del control de datos de su titular, según
la arquitectura del almacenamiento de datos y sirve de ejemplo y baremo de análisis de
ajuste del tratamiento de reconocimiento facial biométrico a los principios de los artículos
5.1.e) f), art 25 y 32 del RGPD.
En todos los escenarios de riesgos potenciales que se examinan en el citado Dictamen, se
valora su ajuste a los principios que examina, así, se indica que “El Comité concluye que
podría considerarse que las medidas elegidas cumplen el principio de necesidad si el
responsable del tratamiento puede demostrar que no existen soluciones alternativas menos
intrusivas que puedan alcanzar el mismo objetivo de manera eficaz”, o agrega, “aplicando
garantías o salvaguardas adecuadas”. Mientras, en los que tras su análisis no estima tal
cumplimiento, como en el escenario 3 del precitado Dictamen, se indica que:
“El Comité considera que un resultado similar a la racionalización del flujo de pasajeros en
los aeropuertos puede lograrse de manera menos intrusiva y que el impacto negativo en los
derechos y libertades fundamentales de los interesados que resultaría de una violación de la
seguridad de los datos en una base de datos centralizada de datos biométricos parece ser
superior al beneficio previsto derivado del tratamiento. Por lo tanto, el tratamiento no puede
cumplir los principios de necesidad y proporcionalidad. Sobre esta base, el Comité concluye
que el tratamiento previsto en el tercer escenario no puede ser compatible con el artículo 25
del RGPD. Además, no cumpliría los artículos 5 (1) (f) y 32 del RGPD si un responsable del
tratamiento se limitara a las medidas descritas en este escenario.”
Una vez la inscripción se complete, el sistema puede empezar a ser usado.
-En la última fase, se comparará una muestra biométrica-como la cara- presentada al sensor
lector con un vector facial previamente grabado/almacenado.
Las fases se avienen con la enumeración de lo que podría ser una operación de tratamiento
de datos (recogida, almacenamiento, uso).
Así pues, la captación presencial ante el dispositivo resulta en la obtención de una imagen,
de la que se extraen las características a través del algoritmo de inteligencia artificial
integrado en el software del dispositivo que C.A. OSASUNA contrató con su
encargado/subencargado de tratamiento DAS-GATE y VERIDAS.
De acuerdo con el documento 14 aportado en investigaciones previas por la reclamada,
“Informe técnico“de VERIDAS, que explica el funcionamiento general del sistema utilizado
por C.A. OSASUNA para crear la plantilla, la extracción de características producto de la
entrada y salida del algoritmo es la que proporciona el vector facial, único para cada
personas, y precisa información para distinguir entre las caras de las diferentes personas.
Se reduce la imagen bruta de las características biométricas, en este caso las caras,
transformándose, pero conservándose información discriminada destacada, que es esencial
para el reconocimiento de la persona. Estas características extraídas se mantienen en una
plantilla biométrica o vector facial, que es una forma de representación matemática reducida
de la característica original.
Una plantilla biométrica/vector facial, es una representación digital de las características
únicas que se han extraído de una muestra biométrica y pueden almacenarse en una base
de datos biométricos que en este caso confirman la identificación única de una persona
física. Además, “se supone que su plantilla biométrica es única y específica para cada
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
83/128
individuo y que, en principio, es permanente a lo largo del tiempo”. Normalmente, en un
proceso de comparación destinado a identificar a una persona, como es el caso del SBRF
que utiliza C.A. OSASUNA mediante el reconocimiento facial, se compara una plantilla
biométrica entrante con objetos almacenados para verificar una coincidencia o encontrar
una en una base de datos.
El vector facial de referencia se almacena para su comparación, en este caso en una base
de datos centralizada en poder de C.A. OSASUNA donde se almacena la identificación y los
datos biométricos de las personas abonadas que optaron a este sistema, (…) en fecha de
alegaciones al acuerdo de inicio, (…) a 13/03/2023 y que tiene funciones de identificación
1:N, donde N son todos los vectores faciales almacenados centralizadamente por C.A.
OSASUNA en sus base de datos donde están las de todos los usuarios dados de alta en el
sistema.
En cuanto a que se podría aducir a que solo identifica al grupo de usuarios previamente
registrados, no es razón para no considerarse dato biométrico, ya que se dirige a que a las
personas físicas se las identifique con los datos generados a partir de la extracción de sus
características biométricas.
La mención que se incluye en el artículo 4.14 del RGPD como datos biométricos destinadas
a que "permitan" pueden entenderse a la identificación, la de "confirmen" a la verificación.
Para su mejor comprensión, se describen los conceptos de autenticación/verificación e
identificación, que se han ido perfilando sucesivamente y la importancia de los elementos
comunes que destacan en sus contenidos.
El Dictamen 3/2012 sobre la evolución de las tecnologías biométricas de 27/04/2012 del
Grupo de Trabajo 29, señalaba:
“-Identificación biométrica: la identificación de un individuo por un sistema biométrico es
normalmente el proceso de comparar sus datos biométricos (adquiridos en el momento de la
identificación) con una serie de plantillas biométricas almacenadas en una base de datos (es
decir, un proceso de búsqueda de correspondencias uno-a-varios).
-Verificación biométrica: la verificación de un individuo por un sistema biométrico es
normalmente el proceso de comparación entre sus datos biométricos (adquiridos en el
momento de la verificación) con una única plantilla biométrica almacenada en un dispositivo
(es decir, un proceso de búsqueda de correspondencias uno-a-uno).”
Con leves matices, los conceptos se mencionan en el “Libro blanco sobre la inteligencia
artificial de la Comisión Europea”, de 19/02/2020, referidos a la imagen facial:
“En lo que se refiere al reconocimiento facial, por «identificación» se entiende que la plantilla
de la imagen facial de una persona se compara con otras muchas plantillas almacenadas en
una base de datos para averiguar si su imagen está almacenada en ella. La «autenticación»
(o «verificación»), por su parte, se refiere habitualmente a la búsqueda de correspondencias
entre dos plantillas concretas. Permite la comparación de dos plantillas biométricas que, en
principio, se supone que pertenecen a la misma persona; así, las dos plantillas se comparan
para determinar si la persona de las dos imágenes es la misma. Este procedimiento se
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
84/128
emplea, por ejemplo, en las puertas de control automatizado de fronteras empleadas en los
controles fronterizos de los aeropuertos”.
En el reciente Reglamento UE 2024/1689 del Parlamento europeo y del Consejo, de
13/06/2024, por el que se establecen normas armonizadas en materia de inteligencia
artificial DOUE 12/07/2024, (Reglamento de IA) indica su Considerando 15 “El concepto de
«identificación biométrica» a que hace referencia el presente Reglamento debe definirse
como el reconocimiento automatizado de características humanas de tipo físico, fisiológico o
conductual, como la cara, el movimiento ocular, la forma del cuerpo, la voz, la entonación, el
modo de andar, la postura, la frecuencia cardíaca, la presión arterial, el olor o las
características de las pulsaciones de tecla, a fin de determinar la identidad de una persona
comparando sus datos biométricos con los datos biométricos de personas almacenados en
una base de datos de referencia, independientemente de que la persona haya dado o no su
consentimiento. Quedan excluidos los sistemas de IA destinados a la verificación biométrica,
que comprende la autenticación, cuyo único propósito es confirmar que una persona física
concreta es la persona que dice ser, así como la identidad de una persona física con la
finalidad exclusiva de que tenga acceso a un servicio, desbloquee un dispositivo o tenga
acceso de seguridad a un local.”
Las directrices 5/2022, del Comité Europeo de Protección de Datos (CEPD), sobre el uso de
reconocimiento facial en el ámbito de las fuerzas de orden público (véase Versión 2.0, de
26/04/2023), en su apartado 10, señalan:
“Como cualquier proceso biométrico, el reconocimiento facial puede cumplir dos funciones
distintas:
• La autenticación de una persona con el fin de verificar que dicha persona es quien afirma
ser. En este caso, el sistema compara una plantilla o muestra biométrica pregrabada (por
ejemplo, almacenada en una tarjeta inteligente o un pasaporte biométrico) con un único
rostro, como el de una persona que se presenta en un puesto de control, para verificar si se
trata de la misma persona. Por lo tanto, esta función se basa en la comparación de dos
plantillas. Se denomina también verificación de 1 a 1.
• La identificación de una persona con el fin de localizarla entre un grupo de individuos,
dentro de un área específica, en una imagen o en una base de datos. En este caso, el
sistema debe procesar cada rostro capturado para generar una plantilla biométrica y luego
comprobar si coincide con una persona conocida por el sistema. Así pues, esta función se
basa en la comparación de una plantilla con una base de datos de plantillas o muestras
(base de referencia). Se denomina también identificación de «uno entre muchos». Por
ejemplo, puede relacionar un registro de nombres personales (apellidos, nombre) con un
rostro, si la comparación se hace con una base de datos de fotografías asociadas a
apellidos y nombres. También puede implicar el seguimiento de una persona a través de
una multitud, sin establecer necesariamente un vínculo con la identidad civil de la persona. “
Las citadas Directrices 05/2022, en su apartado 12, señalan que el concepto de dato
biométrico abarca tanto la “autenticación” como la “identificación”, y si bien son conceptos
distintos, en ambos procedimientos se tratan datos dirigidos a identificar de manera unívoca
a una persona física, por lo que ambos se incluyen en el concepto de “tratamientos de
datos”, y más específicamente, son tratamientos de datos personales de categorías
especiales.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
85/128
También se confirmaría esa tesis en la lectura del considerando 51 del RGPD, que indica:
“El tratamiento de fotografías no debe considerarse sistemáticamente tratamiento de
categorías especiales de datos personales, pues únicamente se encuentran comprendidas
en la definición de datos biométricos cuando el hecho de ser tratadas con medios técnicos
específicos permita la identificación o la autenticación unívocas de una persona física.”
La adopción del Dictamen 11/2024 sobre el uso del reconocimiento facial para racionalizar el
flujo de pasajeros en los aeropuertos, de 23/05/2024 del CEPD, confirma la distinción entre
tales funciones, y también que ambas se corresponderían con el concepto de datos
biométricos de categoría especial. El dictamen es importante porque aclara la distinta
importancia de tales funciones en la arquitectura del uso y almacenamiento de los datos
para deducir si los fines pueden lograrse de manera menos intrusiva y el nivel de impacto en
los derechos y libertades fundamentales de los interesados.
En ambos casos, sea verificación-autenticación, o identificación las técnicas de
reconocimiento facial utilizadas se basan en una concordancia estimada entre plantillas, o
vectores: la que se compara y la(s) de referencia. Desde este punto de vista, son técnicas
probabilísticas: la comparación deduce una probabilidad mayor o menor de que la persona
sea efectivamente quien se ha de autenticar o identificar; si esta probabilidad supera un
determinado umbral en el sistema, definido por su usuario o su desarrollador, el sistema
entenderá que existe una coincidencia.
Por tanto, ambas funciones, identificación o verificación, se pueden considerar dirigidas a la
identificación unívoca que se produzca en la persona, y se han de considerar datos
biométricos de categoría especial. La identificación única por otro lado va más allá de que el
dato sea de una persona física identificada o identificable. Dato de persona física
identificada es que esa persona se la distingue o aisla de un grupo de personas. Único,
puede referirse a que los datos biométricos tienen tales particularidades que pueden
identificar sin ambigüedades a un individuo.
Además, como se ha descrito en los conceptos de identificación /verificación, cobran
destacada relevancia para la valoración de la necesidad y proporcionalidad de los
tratamientos, la arquitectura del diseño de las operaciones de tratamiento insertadas en el
funcionamiento del sistema biométrico. Recientemente el Comité Europeo de Protección de
datos, en su Dictamen 11/2024, sobre el uso del reconocimiento facial para racionalizar el
flujo de pasajeros de aeropuertos, adoptado el 23/05/2024, ha valorado su compatibilidad
con los artículos 5.1.e), 5.1 f), 25 y 32 del RGPD, que no ha hecho más que recordar lo que
ya se indicaba en el “documento de trabajo sobre biometría” adoptado el 1/08/2003 por el
GT 29, WP 80. El apartado 3.2 del documento, indica: “principio de fines y
proporcionalidad.”, se ponía de manifiesto que los riesgos para la protección de los derechos
y libertades fundamentales de las personas son diferentes, en relación, con si los datos se
“tratan de manera centralizada”, “base de datos central” de los que se almacenan en un
dispositivo móvil, y el proceso de conformidad se realiza en la tarjeta que porta el usuario, o
cuando este forma parte del dispositivo móvil. y no en el sensor, “los datos no se memorizan
en el dispositivo de control de acceso”. Sobre este aspecto se volverá en el apartado de
evaluación de la necesidad y proporcionalidad de las operaciones de tratamiento.
Alto nivel de riesgos en los tratamientos biométricos que se han encargado de reiterar en
cuanto a su concurrencia los sucesivos dictámenes y directrices sobre datos biométricos.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
86/128
De acuerdo con la información proporcionada por C.A. OSASUNA, al pasar por el espacio
que recoge la imagen de reconocimiento facial, colocado con el fin del acceso al estadio, se
ha generado un vector facial que proporciona un valor único, lo que significa que la imagen
de la cara ha sido procesada siguiendo procedimientos técnicos (inteligencia artificial entre
estos) y el resultado de ese proceso se almacena listo para su utilización. Estos patrones o
vector facial registran numéricamente las características físicas que permiten diferenciar
personas. En el espacio de recogida de imagen, el software del dispositivo compara el
patrón ofrecido cuando se le presenta, con el almacenado, en orden a franquear el acceso al
estadio.
En este caso, aunque no se guarde enteramente la imagen de la cara, sino, todos los
vectores de todos los usuarios de la solución ((…) a fecha de alegaciones 28/12/2023), cada
uno de ellos es distinto, y es capaz y eficaz para identificar unívocamente a cada usuario al
confrontar en el espacio de la toma de la imagen, al acceder al estadio con las del resto de
las existentes almacenadas. Las funciones que contiene el algoritmo permiten extraer las
características de las muestras biométricas y crea plantillas o vectores faciales, para su
posterior comparación con una base de datos CENTRALIZADA asociada al conjunto de
usuarios previamente almacenadas, siendo capaz de identificar al titular de entre todos los
vectores faciales, tratándose datos de carácter personal basados en el procesamiento del
reconocimiento facial, identificando de forma única y unívoca a dicha persona.
Técnicamente, el vector facial contra el que se coteja la muestra y que esta se almacena
junto al resto de la información biométrica registrada del resto de personas abonadas en el
sistema de C.A. OSASUNA, da lugar a que se identifica unívoca y únicamente al individuo.
Los datos biométricos de cada persona abonada, adquiridos en el momento de su captación
y registrados, para someterlos al procedimiento técnico que convierte la imagen, en vector
facial a través del algoritmo, son almacenados, con objeto de que, con las muestras
introducidas, al pasar ante el lector para conseguir acceder al estadio, identifique a través
del modelo (…), de entre todos los vectores, sin lugar a dudas, a su titular, buscando la
identificación única a dicha persona.
El uso de la cara en los sistemas biométricos de reconocimiento facial es capaz de validar la
identidad, conteniendo información única sobre las personas físicas. El algoritmo del
software, sobre la muestra biométrica, extrae las características biométricas, reduce y
transforma en etiqueta o números esa muestra, constituyendo una representación
matemática de la característica biométrica original, que es la plantilla biométrica, o vector
facial. La plantilla o vector facial se almacena para su comparación en la última fase en la
cual con la muestra biométrica- en el lector-y con la plantilla o vector previamente grabada,
está identificando unívocamente al usuario, en cada ocasión que entra poniendo su cara
ante el lector, por lo que se considera que los datos entran dentro del ámbito de los datos
especiales, por ser una identificación unívoca.
Pero no es la única tipología de datos identificativos que se pueden tratar, existe además la
posibilidad de que, mediante el análisis biométrico, se puedan inferir y recoger otras
categorías especiales de datos, y en particular, datos relativos a la salud o datos que revelen
el origen racial o étnico entre otros.
En el presente caso, desde luego, no puede hablarse de que no se trata información ligada
a datos personales de una persona identificada en cada registro de accesos, ya que,
además, se debe señalar que, si no permitieran la identificación inequívoca del usuario, no
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
87/128
se produciría acceso que tiene como fin.
Queda así, acreditado que los vectores faciales resultantes del tratamiento técnico
específico de la solución implantada por C.A. OSASUNA son datos de carácter personal
susceptibles de identificar a los abonados, usuarios del acceso a través de reconocimiento
facial en funcionamiento desde abril de 2022 en el estadio el Sadar. Por lo tanto, son datos
de carácter biométrico de categoría especial incluidos en el artículo 9.1 del RGPD.
III Normativa sobre control de entradas y de acceso a los estadios
El régimen jurídico en las instalaciones deportivas en las que se celebran competiciones
oficiales en cuanto a la venta de entradas y accesos por los espectadores se regula
principalmente en la Ley 19/2007 de 11/07 contra la violencia, el racismo, la xenofobia y la
intolerancia en el deporte, (Ley antiviolencia).
En cuanto a la relación con la venta de entradas y accesos por los espectadores a los
estadios, la Ley Antiviolencia, traslada a los organizadores de las competiciones y
espectáculos deportivos las medidas adecuadas para evitar la realización de conductas
prohibidas, así como para garantizar el cumplimiento por parte de los espectadores de las
condiciones de acceso y permanencia en el recinto mediante los oportunos instrumentos de
control en salvaguarda del orden público y la seguridad.
El artículo 3.1 de la Ley indica como principio general:
“Con carácter general, las personas organizadoras de competiciones y espectáculos
deportivos deberán adoptar medidas adecuadas para evitar la realización de las conductas
descritas en los apartados primero y segundo del artículo 2, así como para garantizar el
cumplimiento por parte de los espectadores de las condiciones de acceso y permanencia en
el recinto que se establecen en el capítulo segundo de este título.”
El artículo 6.2.a de la Ley, establece el sometimiento de los espectadores a controles
pertinentes para verificación de condiciones de acceso al recinto, y en particular su párrafo
2.b), su obligación de someterse a registros personales para poder verificar que no portan
armas u otros objetos prohibidos o no se portan símbolos o pancartas prohibidos. A tal fin,
también en particular quedan obligados a “ser grabados mediante circuitos cerrados de
televisión en los aledaños del recinto deportivo, en sus accesos y en el interior de los
mismos” (art 6.2.a).
El artículo 7 de la Ley, establece como condiciones de permanencia en el recinto de los
espectadores:
“1.g) Observar las condiciones de seguridad oportunamente previstas y las que
reglamentariamente se determinen.
En su punto 2:
“b) Ocupar las localidades de la clase y lugar que correspondan al título de acceso al recinto
de que dispongan, así como mostrar dicho título a requerimiento de los Cuerpos y Fuerzas
de Seguridad y de cualquier empleado o colaborador del organizador.
a) Cumplir los reglamentos internos del recinto deportivo.”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
88/128
Sobre la información que C.A. OSASUNA ofrece sobre el SBRF que permitiría acceder sin
portar el abono en sus distintas modalidades, como título de acceso al estadio, nada señaló.
El artículo 11: “control y gestión de accesos y de ventas de entradas”, señala:
“1. Todos los recintos deportivos en que se disputen competiciones estatales de carácter
profesional deberán incluir un sistema informatizado de control y gestión de la venta de
entradas, así como del acceso al recinto... “
Según cita C.A. OSASUNA, el sistema informatizado de acceso al recinto se instrumenta
con los tornos de acceso que comunican a los servidores de la SEFPSA el ID de ACCESO,
que no se abrirán para acceder si consta que el titular de ese ID de usuario se halla ya
registrado de acceso al estadio. Responde al sistema de control de aforos y evitar
duplicidades de varias personas en la misma localidad asignada a cada espectador.
El artículo 12 de la Ley, indica:
“1. En atención al riesgo inherente al acontecimiento deportivo en cuestión, se habilita a la
autoridad gubernativa a imponer a los organizadores las siguientes medidas:
“b) Instalar cámaras en los aledaños, en los tornos y puertas de acceso y en la totalidad del
aforo a fin de grabar el comportamiento de las personas espectadoras”
…
“d) Instalar circuitos cerrados de televisión para grabar el aforo completo del recinto a lo
largo de todo el espectáculo desde el comienzo del mismo hasta el abandono del público.”
El artículo 13 de la Ley, señala:
“1. La Comisión Estatal Contra la Violencia, el Racismo, la Xenofobia y la Intolerancia en el
Deporte podrá decidir la implantación de medidas adicionales de seguridad para el conjunto
de competiciones o espectáculos deportivos calificados de alto riesgo, o para recintos que
hayan sido objeto de sanciones de clausura con arreglo a los títulos segundo y tercero de
esta Ley, y en particular las siguientes:
a) La instalación de cámaras en los aledaños, en los tornos y puertas de acceso y en la
totalidad del aforo.
b) Promover sistemas de verificación de la identidad de las personas que traten de acceder
a los recintos deportivos.
c) La implantación de sistemas de emisión y venta de entradas que permitan controlar la
identidad de los adquirentes de entradas.
“2. En los supuestos contemplados en las letras b) y c) del apartado anterior, se insertará en
los billetes de entrada información acerca del tratamiento de los datos de carácter personal
necesarios para proceder a la identificación del espectador, así como los procedimientos a
través de los cuales se verificará dicha identidad, quedando en todo caso el tratamiento
sometido a lo dispuesto en la normativa vigente en materia de protección de datos.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
89/128
Quienes organicen un acontecimiento deportivo, procederán a la cancelación de los datos
de las personas que accedan al espectáculo una vez el mismo haya concluido, salvo que se
apreciara la realización de alguna de las conductas a las que se refieren los apartados
primero y segundo del artículo 2 de la presente Ley, en cuyo caso, conservarán únicamente
los datos necesarios para la identificación de las personas que pudieran haber tomado parte
en la realización de la conducta.”
El Real Decreto 203/2010, de 26/02, por el que se aprueba el reglamento de prevención de
la violencia, el racismo, la xenofobia y la intolerancia en el deporte, desarrolla la citada Ley
antiviolencia.
Este RD, establece en su artículo 8, además, la obligación de los organizadores
responsables de todos los recintos deportivos que deben establecer un sistema
informatizado de control y gestión de venta de entradas, así como de acceso a los recintos,
mientras que en el artículo 9, obliga a los organizadores de los recintos deportivos donde se
celebren competiciones de categoría profesional de fútbol a que dispongan de localidades
numeradas y con asientos para todos los espectadores.
Su artículo 15: “venta de billetes de entrada”, indica:
“2. Todos los billetes de entrada en recintos deportivos en los que esté instalado un sistema
informatizado de control y gestión de los mismos deberán adaptar su formato y
características a las condiciones técnicas exigibles para su compatibilidad con el sistema
instalado.
3. En los supuestos contemplados en el artículo 13.1 de la Ley 19/2007, de 11 de julio, la
comprobación y seguimiento de la identidad de quienes adquieran entradas o el control de
la distribución de localidades se realizará implantando sistemas de venta de entradas
nominativas y desarrollando procedimientos que permitan supervisar la distribución de
localidades asignadas y conocer la identidad de los poseedores de títulos de acceso a las
instalaciones deportivas.
El tratamiento de los datos obtenidos con arreglo a estos procedimientos se limitará a
proporcionar información sobre quienes accedan o pretendan acceder a los recintos
deportivos, con la finalidad de garantizar el cumplimiento de las prohibiciones existentes y,
en su caso, depurar las responsabilidades a que hubiere lugar.
Los organizadores cancelarán los datos de las personas que hubieran accedido al
espectáculo deportivo cuando concluya el mismo, conservando exclusivamente los datos
necesarios para identificar a quienes pudieran haber realizado conductas prohibidas por la
Ley 19/2007, de 11/07, que sólo podrán ser cedidos a las autoridades u órganos
competentes en materia de seguridad pública.”
Por su parte, el artículo 17 del citado RD indica: “Obligaciones de los espectadores respecto
de los billetes de entrada”:
“1. Toda persona que pretenda acceder a un recinto deportivo deberá ser portadora de un
billete de entrada expedido a título individual, de billete múltiple, de abono o de cualquier
otro título que autorice a los interesados a acceder a un espectáculo o a más de uno.
2. Los espectadores han de ocupar las localidades de la clase y lugar que se corresponda
con los billetes de entrada de que sean portadores.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
90/128
3. Cada espectador está obligado a conservar su billete de entrada hasta su salida del
recinto deportivo, debiendo presentarlo a requerimiento de cualquier empleado o
colaborador del organizador, así como a las Fuerzas y Cuerpos de Seguridad del Estado.
4. Si requerido al efecto un espectador no presentase el billete de entrada, deberá optar por
adquirir uno en la taquilla, abonando su precio si lo hubiera disponible. En caso contrario,
deberá abandonar inmediatamente el recinto deportivo.”
Por otro lado, el artículo 20, “Anverso y reverso de las entradas”, señala:
“2. Las entradas indicarán en su reverso que el recinto deportivo es una zona vídeo vigilada
para la seguridad de los asistentes y participantes en el encuentro, y especificarán las
causas que impiden el acceso al recinto deportivo o la permanencia en el mismo,
incorporando expresamente, como mínimo, las siguientes: …
…
Cuando se adopten las medidas de seguimiento y control de la identidad de adquirentes de
entradas y de poseedores de títulos de acceso a los espectáculos deportivos previstos en el
artículo 15.3 del presente reglamento, se insertará en los billetes de entrada información
acerca del tratamiento de los datos de carácter personal derivados de la adquisición y de su
control, así como de los procedimientos a través de los cuales se verificará dicha identidad.”
La Liga Nacional de fútbol Profesional, LNFP en la que se encuadran obligatoriamente los
Clubes y Sociedades deportivas aprobó como parte de su Reglamento General de la Liga
Nacional de Fútbol Profesional, el 23/12/2015 el Libro XII, “Reglamento de venta de abonos
que “pretende utilizar la venta de abonos y entradas como elemento preventivo para la lucha
contra comportamientos violentos, racistas, xenófobos e intolerantes, estableciendo criterios
uniformes en la venta de entradas y abonos para todos los clubes, elevando los niveles de
seguridad.”
El artículo XII.1 del RGLNFP, establece: “CONDICIONES PARA LA VENTA DE ABONOS DE
TEMPORADA”, prevé en su punto 1, que su venta por parte de los clubes afiliados se
realizará mediante la previa y debida identificación de los adquirentes de los mismos.
“A tal efecto, el adquirente del abono deberá suministrar al Club/SAD, en el momento de su
adquisición, al menos, los siguientes datos personales, que serán objeto de tratamiento, de
conformidad con lo dispuesto en la normativa vigente en materia de protección de datos de
carácter personal:
a) datos de filiación (nombre y apellidos y documento acreditativo de la identidad)
b) datos de contacto (domicilio a efectos de notificaciones, teléfono de contacto y dirección
de correo electrónico).
Cuando, según la política del Club/SAD no se permita la cesión de abonos, se recomienda
solicitar e incluir en el abono fotografía de su titular.”
El artículo XII.2 del RGLNFP establece las condiciones para la venta de abonos en gradas
de animación en el que se solicita al abonado dato biométricos, si bien por no disponer C.A.
OSASUNA de este tipo de entradas, no se hará más que esta referencia
3.7.- Conclusión
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
91/128
La normativa de régimen jurídico de entradas y acceso a los estadios, de momento, no
prevé que las personas que accedan a los estadios y porten su título habilitante de acceso
hayan de someterse a algún proceso de identificación previo para dicho acceso que pueda
implicar añadir al ya existente tratamiento de datos por el hecho de acceder con dicho título
a través de los tornos obligatorios de acceso. Cuestión diferente es que la venta sea
nominativa, pero tampoco se deduce de lo examinado que haya de confirmarse por el Club
la identidad al acceder al recinto deportivo. En todo caso, con independencia de que se
estaría utilizando un medio para tal acceso que podría resultar no necesario o proporcional
que se analizará en otro punto.
Por otro lado, estimando que la compra de entradas para acceder a los estadios de fútbol
para ver el espectáculo deportivo se rige por las condiciones generales que rigen la venta de
las entradas, cuyo marco se ha dibujado, se llega a las siguientes conclusiones:
Se refleja que, con carácter general, el artículo XII.1 del RGNLFP prevé para la venta de
abonos de temporada que el adquirente debe suministrar:
a) Datos de filiación, nombre y apellidos y documento acreditativo de la identidad,
b) Datos de contacto (domicilio a efectos de notificaciones, teléfono de contacto y dirección
de correo electrónico).
C.A. OSASUNA disponía antes de la implantación del reconocimiento facial en abril 2022 de
un sistema nominativo de entradas para el acceso al estadio en forma de tarjeta de abono,
bien podía ser con carnet físico, bien de un código QR o en el móvil para los que se han de
proporcionar datos personales de filiación y de contacto. Además, de acuerdo con la
normativa que regula la venta de entradas y accesos a los recintos deportivos, enmarcada
por la Ley antiviolencia, su Reglamento de desarrollo y el RGLNFP, como regla general, no
se establece como obligatorio la recogida de datos que sirven para identificar a las personas
abonadas en los accesos a los recintos deportivos por medios o sistemas biométricos.
Finalmente, sobre la alegación de que el sistema de venta de abonos y entradas del
RGLNFP no aplica a C.A. OSASUNA, cabe indicar que, como Club asociado
obligatoriamente a la LNFP, al menos configura el marco general establecido para venta de
entradas y abonos y sirve de referencia del mínimo contenido exigido para el régimen de
acceso a los estadios.
IV Diferencias en los tratamientos de datos para acceso al estadio.
C.A. OSASUNA dispone para los mismos fines, acceso al estadio de fútbol El Sadar, una
modalidad que claramente resulta menos intrusiva para los derechos de las personas que
acceden al estadio: con la tarjeta física o con el abono en el móvil (chip NFC) o lectura del
código QR de la tarjeta de abonado, sistema que ya venía funcionando antes de la
implantación del SBRF.
A este sistema, pueden acudir las personas abonadas del C.A. OSASUNA si deciden dejar
de utilizar el sistema de SBRF, según la información de C.A. OSASUNA que insiste siempre
que no solo es voluntario, sino que puede alternar las formas o retirar el consentimiento para
el reconocimiento facial. Las modalidades preexistentes al SBRF figuran siempre como un
“acceso” al que se puede volver.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
92/128
El acceso al estadio El Sadar con las modalidades preexistentes al SBRF, solo deja en el
registro de los tornos de acceso el log de la id de acceso. El acceso con SBRF deja como
rastro, los logs de identificación exitosa: fecha y hora, identificador del terminal biométrico,
identificador de acceso del abonado más parecido al que se está tratando de identificar, y
puntuación de similitud biométrica obtenida o denegación (identificación no exitosa). En caso
de identificación exitosa, los logs se conservan hasta el comienzo de la temporada posterior
a aquella a la que se refiere cada acceso almacenado, pasando luego durante tres años a
situación de bloqueo. Los títulos de abono, forma que adoptan los títulos de acceso al
estadio, contienen datos personales que C.A. OSASUNA exigió por estimar necesarios para
el cumplimiento y mantenimiento de dicha relación contractual de adquisición de abono. En
estos títulos figuran: (nombre, DNI etc.), facultad que le otorga y se le estima por poder
decidir los medios y fines para el cumplimiento de los mismos, como responsable del
tratamiento de datos y ser el organizador del evento al que también le corresponden
derechos y deberes.
Son también estos mismos datos de partida que contienen la tarjeta de abono en sus
diversas modalidades (QR/móvil) los que sirven de base para instrumentar en abril 2022 el
registro y uso del SBRF, que C.A. OSASUNA decide implantar como voluntario y
complementario al anterior, con objeto de agilizar la entrada y según indica sin necesidad de
portar la tarjeta de abono ( obligación la de portar título habilitante exigible por Ley 11/2007).
Por otro lado, el SBRF necesita varios documentos y datos personales adicionales para
crear y registrar el vector facial. Un grupo de datos que se aprovechan para el SBRF y de
los que se parte, son los procedentes de la tarjeta de abono, de los que ya disponían los
socios abonados, y que serían los únicos usados para los accesos al estadio por defecto en
la modalidad preexistente antes de la implantación por C.A. OSASUNA del SBRF.
Los Estatutos Sociales de la LNFP prevén en su artículo 3.2.l) entre sus competencias, la de
determinar las condiciones que deben reunir las instalaciones deportivas de los estadios
para la celebración de las competiciones profesionales, así como las normas de seguridad y
de control de acceso que pudieran establecerse. Este régimen esta influenciado por la lucha
contra los comportamientos que promuevan la violencia, el racismo, la xenofobia y la
intolerancia en el fútbol profesional. El RGLNFP establece como objetivos criterios uniformes
en la venta de entadas y abonos para todos los Clubs/SAD afiliados y elevar los niveles de
seguridad de todos los aficionados y participantes en los partidos.
Los datos de las tarjetas de abonado como título habilitante de acceso a los estadios, según
el RGLNFP, el título XII que regula la venta de entradas, materia ligada intrínsecamente al
acceso que proporcionan las mismas, prevé:
-la previa y debida identificación de los adquirentes de los abonos por parte de los Clubes
/SAD afiliados, debiendo suministrar: datos de filiación, nombre y apellidos, DNI, datos de
domicilio a efectos de notificaciones, teléfonos de contacto u dirección de correo electrónico
(art XII.1)
-“En el momento de formalización del abono, se incluirá una cláusula de respeto las normas
de régimen interno del recinto deportivo.
0
Los otros datos personales adicionales que no figuran ligados per se a la tarjeta de
abonado, distintos a ellos, y que C.A. OSASUNA estimó necesarios para el proceso del
SBRF se obtienen de otros documentos para la puesta en marcha del citado SBRF y serían
el anverso y el reverso de un documento público como el DNI que sirve para cotejar la foto
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
93/128
actualizada que se realiza con la aplicación y generar por cotejo con la imagen del DNI el
vector facial. Anverso y reverso que no consta, se tenga que aportar en modalidades
preexistentes de acceso al estadio, y que conserva en sus archivos internos tras la
inscripción y almacenamiento de la plantilla.
Finalmente, pero no menos importante, es la conservación de los datos personales del
vector facial una vez solicitada la supresión por el usuario, que manifiesta C.A. OSASUNA
que permanecen bloqueados en tanto no transcurra el plazo de una eventual infracción del
RGPD.
V Examen de la necesidad y proporcionalidad
5.1.- Tratamiento de alto riesgo
El tratamiento de SBRF a través de herramientas biométricas de lectura y registro presenta
altos riesgos para los derechos y libertades fundamentales de los interesados a los que se
suman los de la inteligencia artificial como sistema de reconocimiento automatizado de
rasgos humanos.
De esta consideración como tratamiento de alto riesgo se informa ya en 2003 en el
“documento de trabajo sobre biometría” adoptado el 1/08/2003 por el GT 29:
“3.2 Principios de fines y proporcionalidad” “Con arreglo al artículo 6 de la Directiva
95/46/CE, los datos personales serán recogidos con fines determinados, explícitos y
legítimos, y no serán tratados posteriormente de manera incompatible con dichos fines.
Además, los datos personales serán adecuados, pertinentes y no excesivos con relación a
los fines para los que se recaben y para los que se traten posteriormente (principio de fines).
El cumplimiento de este principio implica en primer lugar una determinación clara de los
fines para los que se recogen y tratan los datos biométricos… Por otra parte, hace falta
evaluar el cumplimiento de la proporcionalidad y de la legitimidad, teniendo en cuenta los
riesgos para la protección de los derechos y libertades fundamentales de las personas y
especialmente si los fines perseguidos pueden alcanzarse o no de una manera menos
intrusiva. La proporcionalidad ha sido el criterio principal en casi todas las decisiones
adoptadas hasta ahora por las autoridades encargadas de la protección de datos sobre el
tratamiento de datos biométricos.”
Antes de implantar un proyecto de tratamiento de datos basado en esta tecnología que
representa una probabilidad de alto riesgo muy significativo para los derechos y libertades
de las personas, que puede producir impactos en los derechos y libertades de las personas
en diferentes grados de probabilidad es preciso auditar su funcionamiento, no de forma
aislada sino en el marco del tratamiento concreto en que se va a emplear. La evaluación de
impacto en la protección de datos personales, EIPD, es la herramienta que en el RGPD se
ocupa de la garantía de cumplimiento de esta vertiente del tratamiento.
El RGPD establece las obligaciones relativas a la evaluación de impacto relativa a la
Protección de Datos fundamentalmente en los artículos 35 y 36.
Establece el artículo 35 que: “1. Cuando sea probable que un tipo de tratamiento, en
particular si utiliza nuevas tecnologías, por su naturaleza, alcance, contexto o fines, entrañe
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
94/128
un alto riesgo para los derechos y libertades de las personas físicas, el responsable del
tratamiento realizará, antes del tratamiento, una evaluación del impacto de las operaciones
de tratamiento en la protección de datos personales…”
Las EIPD están orientadas a asegurar preventivamente que, cuando las operaciones de
tratamiento que se están planteando, potencialmente puedan entrañar riesgos
especialmente relevantes para los derechos y libertades de las personas, se tomen medidas
para minimizar tales riesgos.
El artículo 28 de la LOPDGDD, establece que “Los responsables y encargados, teniendo en
cuenta los elementos enumerados en los artículos 24 y 25 del Reglamento (UE) 2016/679,
determinarán las medidas técnicas y organizativas apropiadas que deben aplicar a fin de
garantizar y acreditar que el tratamiento es conforme con el citado reglamento, con la
presente ley orgánica, sus normas de desarrollo y la legislación sectorial aplicable. En
particular valorarán si procede la realización de la evaluación de impacto en la protección de
datos y la consulta previa a que se refiere la Sección 3 del Capítulo IV del citado
reglamento”
El contenido de la EIPD se relaciona en el artículo 35.7 del RGPD, que ha de incluir como
mínimo:
“a) una descripción sistemática de las operaciones de tratamiento previstas y de
los fines del tratamiento, inclusive, cuando proceda, el interés legítimo perseguido
por el responsable del tratamiento;
b) una evaluación de la necesidad y la proporcionalidad de las operaciones de
tratamiento con respecto a su finalidad;
c) una evaluación de los riesgos para los derechos y libertades de los interesados
a que se refiere el apartado 1, y
d) las medidas previstas para afrontar los riesgos, incluidas garantías, medidas de
seguridad y mecanismos que garanticen la protección de datos personales, y a
demostrar la conformidad con el presente Reglamento, teniendo en cuenta los
derechos e intereses legítimos de los interesados y de otras personas afectadas”.
Esta evaluación requiere exhaustividad, partiendo en este caso, de la necesidad del
tratamiento en el sentido del RGPD, y no solo de la prohibición de tratamiento de estos
datos, prevista en el artículo 9 del RGPD, considerando los riesgos entre otros, de usar una
tecnología intrusiva, los sesgos o la probabilidad de un error en la identificación, su
interoperabilidad, la suplantación de la identidad y el tipo de identidad única, permanente e
invariable que se tratan, su impacto en la privacidad de las personas, las implicaciones en
cuestión de derechos fundamentales de tales sistemas y las medidas técnicas y
organizativas de todo tipo que deban implementarse, incluidas las de seguridad.
El sistema de responsabilidad proactiva implantado por el RGPD, enfocado a la gestión
continua de los riesgos asociados al tratamiento con la protección de datos desde el diseño
y por defecto refuerza la protección de los interesados en relación con sus datos personales
al imponer a los responsables del tratamiento que analicen qué datos tratan, con qué
finalidades y qué tipo de tratamientos llevan a cabo, relacionando los potenciales riesgos
que entraña el tratamiento para los derechos y libertades de las personas físicas, y a partir
de ahí, decidir qué medidas técnicas y organizativas de todo tipo adoptan y aplican, para
asegurar su cumplimiento en función de los riesgos detectados.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
95/128
El RGPD establece la obligación de gestionar el riesgo que para los derechos y libertades
de las personas supone un tratamiento de datos de carácter personal. Estos derechos y
libertades de los interesados no sólo protegen a las personas físicas respecto del derecho
fundamental a la protección de datos, sino que pueden implicar otros derechos,
fundamentales o no, como por ejemplo la prohibición de discriminación, la libertad de
circulación, o conservar el anonimato en espacios de uso público. Estos riesgos surgen
tanto por la propia existencia del tratamiento, como por las dimensiones técnicas y
organizativas del mismo. El riesgo surge por los fines del tratamiento y su naturaleza, y
también por su alcance y el contexto en el que se desenvuelve el tratamiento.
Una EIPD es un proceso concebido para describir el tratamiento de datos de carácter
personal, evaluar su necesidad y proporcionalidad y ayudar a gestionar los riesgos para los
derechos y libertades de las personas físicas derivados de tal tratamiento, identificándolos,
evaluándolos y determinando las medidas para mitigarlos. Las EIPD son instrumentos
importantes para la rendición de cuentas, ya que ayudan a los responsables no solo a
cumplir los requisitos del RGPD, sino también a demostrar que se han tomado medidas
adecuadas para garantizar el cumplimiento del Reglamento.
Es fundamental que el recurso a esas tecnologías se haga respetando debidamente los
principios de legalidad, necesidad, proporcionalidad y minimización de los datos
establecidos en el RGPD. Si bien el uso de estas tecnologías puede percibirse como
particularmente eficaz, los responsables deben, en primer lugar, evaluar el impacto en los
derechos y libertades fundamentales y considerar medios menos intrusivos para lograr su
objetivo legítimo del tratamiento.
De acuerdo con el artículo 35 del RGPD:
“3. La evaluación de impacto relativa a la protección de los datos a que se refiere
el apartado 1 se requerirá en particular en caso de:
a) evaluación sistemática y exhaustiva de aspectos personales de personas
físicas que se base en un tratamiento automatizado, como la elaboración de
perfiles, y sobre cuya base se tomen decisiones que produzcan efectos jurídicos
para las personas físicas o que les afecten significativamente de modo similar;
b) tratamiento a gran escala de las categorías especiales de datos a que se
refiere el artículo 9, apartado 1, o de los datos personales relativos a condenas e
infracciones penales a que se refiere el artículo 10, o
c) observación sistemática a gran escala de una zona de acceso público.
4. La autoridad de control establecerá y publicará una lista de los tipos de
operaciones de tratamiento que requieran una evaluación de impacto relativa a la
protección de datos de conformidad con el apartado 1. La autoridad de control
comunicará esas listas al Comité a que se refiere el artículo 68.
5. …
6. Antes de adoptar las listas a que se refieren los apartados 4 y 5, la autoridad de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
96/128
control competente aplicará el mecanismo de coherencia contemplado en el
artículo 63 si esas listas incluyen actividades de tratamiento que Guarden relación
con la oferta de bienes o servicios a interesados o con la observación del
comportamiento de estos en varios Estados miembros, o actividades de
tratamiento que puedan afectar sustancialmente a la libre circulación de datos
personales en la Unión.
…
11. En caso necesario, el responsable examinará si el tratamiento es conforme
con la evaluación de impacto relativa a la protección de datos, al menos cuando
exista un cambio del riesgo que representen las operaciones de tratamiento.”
En desarrollo del párrafo 4, la Directora de la AEPD aprobó un listado no exhaustivo,
orientativo de los tipos de tratamiento que requieren una evaluación de impacto relativa a la
protección de datos, indicándose: “En el momento de analizar tratamientos de datos será
necesario realizar una EIPD en la mayoría de los casos en los que dicho tratamiento cumpla
con dos o más criterios de la lista expuesta a continuación, salvo que el tratamiento se
encuentre en la lista de tratamientos que no requieren EIPD a la que se refiere en artículo
35.5 del RGPD. La lista se basa en los criterios establecidos por las “Directrices sobre la
evaluación de impacto relativa a la protección de datos (EIPD) y para determinar si el
tratamiento «entraña probablemente un alto riesgo» a efectos del RGPD”, revisadas por
última vez y adoptadas el 4/10/2017, WP 248 rev.01 del GT 29 que los complementa, y debe
entenderse como una lista no exhaustiva:
“4. Tratamientos que impliquen el uso de categorías especiales de datos a las que
se refiere el artículo 9.1 del RGPD… o deducir información sobre las personas
relacionada con categorías especiales de datos.
5. Tratamientos que impliquen el uso de datos biométricos con el propósito de
identificar de manera única a una persona física.”
9. Tratamientos de datos de sujetos vulnerables…”
El considerando 39 del RGPD, añade que
“Los datos personales solo deben tratarse si la finalidad del tratamiento no
pudiera lograrse razonablemente por otros medios.”
Como se deduce del citado considerando, este requisito de la necesidad no se cumple
cuando el objetivo perseguido puede alcanzarse razonablemente de manera tan eficaz por
otros medios menos con menos riesgo en relación con los derechos y libertades de los
interesados, en particular respecto de los derechos al respeto de la vida privada y de
protección de los datos personales, garantizados por los artículos 7 y 8 de la Carta, puesto
que las excepciones y restricciones al derecho de protección de dichos datos deben
establecerse sin sobrepasar los límites de lo estrictamente necesario (véase, en este
sentido, la sentencia de 11 de diciembre de 2019, Asociaţia de Proprietari bloc M5A-ScaraA,
C-708/18, EU:C:2019:1064, apartados 46 y 47).
El Grupo de Trabajo del artículo 29, en su Dictamen 3/2012, sobre la evolución de las
tecnologías biométricas, indica que “Al analizar la proporcionalidad de un sistema biométrico
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
97/128
propuesto, es preciso considerar previamente si el sistema es necesario para responder a la
necesidad identificada, es decir, si es esencial para satisfacer esa necesidad, y no solo el
más adecuado o rentable. Un segundo factor que debe tenerse en cuenta es la probabilidad
de que el sistema sea eficaz para responder a la necesidad en cuestión a la luz de las
características específicas de la tecnología biométrica que se va a utilizar. Un tercer aspecto
para ponderar es si la pérdida de intimidad resultante es proporcional a los beneficios
esperados. Si el beneficio es relativamente menor, como una mayor comodidad o un ligero
ahorro, entonces la pérdida de intimidad no es apropiada. El cuarto aspecto para evaluar la
adecuación de un sistema biométrico es considerar si un medio menos invasivo de la
intimidad alcanzaría el fin deseado”.
Idea que se reitera en el apartado 72, de las Directrices 3/2019 sobre el tratamiento de datos
personales mediante dispositivos de vídeo, de 29/01/2020, del CEPD, que indica: “El uso de
datos biométricos y, en particular, del reconocimiento facial conllevan elevados riesgos para
los derechos de los interesados. Es fundamental que el recurso a dichas tecnologías tenga
lugar respetando debidamente los principios de licitud, necesidad, proporcionalidad y
minimización de datos tal y como establece el RGPD. Aunque la utilización de estas
tecnologías se pueda percibir como particularmente eficaz, los responsables del tratamiento
deben en primer lugar evaluar el impacto en los derechos y libertades fundamentales y
considerar medios menos intrusivos de lograr su fin legítimo del tratamiento. Es decir, habría
que responder la cuestión de si esta aplicación biométrica es algo que realmente es
imprescindible y necesaria, o es solo “conveniente”.
Estos son requisitos cumulativos que suponen una garantía adicional en el tratamiento de
datos de su titular, que tiene en cuenta que, si la consecución de los fines previstos puede
realizarse sin tratamiento de datos personales, o con menos extensión e intensidad de uso
de esos datos, será preferible esta vía y supondrá que no es necesario llevar a cabo
tratamiento alguno de datos, y subsidiariamente, que la recogida de datos sea necesaria
para la finalidad establecida o pretendida y si lo fuera, que sea proporcional.
5.2.- Evaluación de la necesidad y la proporcionalidad del tratamiento
Los responsables del tratamiento de datos de carácter personal deben garantizar que la
evaluación de la necesidad y la proporcionalidad considere una evaluación exhaustiva de las
opciones alternativas menos intrusivas disponibles. Por consiguiente, se han de documentar
la viabilidad de otras posibles opciones alternativas disponibles que no requieran el uso de
datos especiales, comparar todas las opciones y documentar las conclusiones. Todo ello,
considerado con referencia a la naturaleza, el alcance, el contexto y los fines del tratamiento
que se prevé. El marco de referencia de normativa mínima vigente referida al régimen de
venta de entradas y acceso a los estadios es La Ley 11/2007, su reglamento de desarrollo y
el “Reglamento de venta de abonos y entradas” libro XII, aprobado el 23/12/2015, por la
LNFP.
Para valorar la necesidad del tratamiento, la medida propuesta debe estar respaldada por
pruebas que describan el problema que se va a abordar con las medidas, cómo este se
abordará con la medida, y porqué las medidas existentes o menos intrusivas no pueden
abordarlo de forma suficiente.
La necesidad del tratamiento implica que se requiere una evaluación combinada, basada en
hechos, sobre la eficacia de la medida para el objetivo perseguido y sobre si resulta menos
intrusiva en comparación con otras opciones para lograr el mismo objetivo en el sentido de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
98/128
que no haya otro medio igual de eficaz y menos intrusivo antes de la implantación de
cualquier sistema. Ello debe ser evaluado desde el principio de protección de datos desde el
diseño focalizando el análisis en los riesgos en los derechos y libertades de las personas
cuyos datos se van a tratar.
En tanto se están tratando por C.A.OSASUNA los datos personales de los usuarios que
acceden al estadio a través de la técnica del SBRF, (que comprenderían el tratamiento de
los datos utilizados para acceder con la modalidad preexistente al SBRF -se recogen los
datos de la tarjeta de abono como punto de partida del registro-) y se añaden para su
tratamiento más datos personales como el escaneado del DNI, los biométricos o la imagen,
obtenidos de documentos, se estaría aumentando la extensión de la restricción en los
derechos y libertades de los abonados que usan este sistema, en comparación con los que
no utilizan esa forma de acceso. Se lleva a cabo un proceso de gestión de acceso con
reconocimiento facial identificando a las personas abonadas durante en principio el tiempo
que desee la persona, que puede retirar el consentimiento, pero finalizada una temporada,
se conservan para la siguiente.
Por tanto, con el tratamiento de datos biométricos, SBRF, se estaría restringiendo el derecho
fundamental de protección de datos de sus titulares al ser manifiestamente intrusivo para los
derechos y libertades de los interesados, y para constatar si esta medida restrictiva del
derecho fundamental supera el juicio de proporcionalidad, es necesario constatar si
cumpliría los tres requisitos o condiciones que el Tribunal Constitucional ha venido
denominando como el triple juicio de proporcionalidad, consistente en:
1-Si la medida es susceptible de conseguir el objetivo propuesto (juicio de idoneidad).
Para establecer la idoneidad del tratamiento biométrico hay que evaluar que exista un
vínculo lógico y directo entre el tratamiento y el objetivo perseguido, y determinar la eficacia
real del tratamiento, es decir, determinar mediante prueba objetiva que éste es capaz de
alcanzar un nivel mínimo de efectividad en resolver la necesidad planteada.
Se trata de determinar si el tratamiento es adecuado para el fin que persigue, puede
conseguir el objetivo propuesto. Para este caso, se parte de la base de que se implanta un
SBRF a través de identificación unívoca de las personas abonadas que acceden,
identificación que como proceso no es usado ni requerido por C.A. OSASUNA para facilitar
los accesos a los que usan el otro sistema de tarjeta física.
En principio el acceso creado con medios biométricos impulsado por C.A. OSASUNA es
adicional a los existentes, y voluntario, alternativo en el uso a los ya existentes, y no
responde a una exigencia obligatoria. Es una modalidad que facilitaría la agilidad en el
acceso. En la noticia de prensa relatada en el hecho 1, se publicitaba como el primer Club
que implantaba este sistema. El resultado con uno u otro medio es el mismo, el acceso al
recinto. Sin embargo, las operaciones de tratamiento y la tecnología empleada en uno y
otro, a nivel de riesgos inherentes y derivados de cada una de las operaciones de
tratamiento que las forman hacen a las biométricas de más riesgo, más frecuente y más
reiterado por el propio uso y tiempo de utilización, que pueden producir más impactos
negativos en los derechos y libertades de los derechos de los afectados.
C.A. OSASUNA basa la aceptación del SBRF como tal, porque se produce la “plena
identificación del abonado”, con otros efectos beneficiosos como la dificultad de suplantación
de la identidad, y seguridad que da saber que es así, su posible uso en caso de que sea
sustraída la tarjeta, que permite el acceso con este medio o la comodidad que supone no
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
99/128
tener que presentar la tarjeta de abonado física. En los factores alegados, suplantación,
extravío, o hurto no se aportan indicios que acrediten que ello pueda ser un problema para
los abonados a tratar ni un estudio de que el acceso biométrico con reconocimiento facial
pueda ser la solución, pues los casos excepcionales no justificarían acudir a un medio tan
desproporcionado por los riesgos elevados que conlleva el SBRF.
Los resultados intrínsecos de los dos medios de los tratamientos para el acceso al recinto
deportivo no son equivalentes en riesgos ni en impactos a los derechos y libertades de los
usuarios, pues el titular del abono físico no ha de acceder al recinto mediante ningún medio
de identificación y menos unívoca de tratamiento de sus datos al pasar por los tornos en los
accesos. En paralelo, las personas abonadas que usen el SBRF si son sometidas a dicho
proceso de identificación, no solo antes de su acceso con el debido registro en el sistema,
sino también después con la conservación de sus datos y logs que quedan de su paso. Ni
siquiera son equivalentes en los medios ni en los resultados, pues se generan más registros
y operaciones de tratamiento con el SBRF, obteniendo solo de común el acceso al recinto.
Se puede achacar a esta tesis que voluntariamente los abonados desean al consentir en
estas operaciones de tratamiento, lo que no es óbice para considerar que no es un sistema
necesario dicho tratamiento ni equivalente en los riesgos que suponen sus operaciones de
tratamiento.
Si el uso del SBRF como identificativo es un medio para conseguir evitar la suplantación,
aparte de que no se justifica que este sea un problema, ni se afirma que sea la principal
finalidad, se aprecia que en la relación jurídica que traban los usuarios de los abonos ya
constan suficientemente identificados con la tarjeta de abono emitida por el Club en sus
variados formatos (además de poder solicitar el DNI, tal y como aseveran en sus
alegaciones a la propuesta de resolución). Por otro lado, la agilidad del SBRF implantado,
frente al modo preexistente de acceso, por sí sola no puede formar parte decisiva en la
idoneidad para instalar el sistema, y en todo caso, por sí sola no puede justificar la
necesidad de este sistema. También se ha de tener en cuenta que la Ley Antiviolencia en su
artículo 7 “condiciones de permanencia en el recinto”, expresa en su punto 2 b), la de
“Ocupar las localidades de la clase y lugar que correspondan al título de acceso al recinto
de que dispongan, así como mostrar dicho título a requerimiento de los cuerpos y fuerzas de
seguridad y de cualquier empleado o colaborador del organizador”, por lo que se desconoce
como cumplen en este caso, que C.A.OSASUNA ofrece como ventaja del sistema, el no
tener que portar en modo alguno la tarjeta de abonado si se utiliza el SBRF.
Evidentemente, se puede conseguir identificar al abonado que accede, pero no se acredita
tal necesidad o porque no se emplea un sistema de verificación, pero se omite la
adecuación y pertinencia para la finalidad para la que se requiere.
La EIPD no hace valoración alguna del problema que intenta abordar, porque no lo explica,
solo ofrece este modo de acceso como voluntario y alternativo al que ya existe y al que se
puede volver en cualquier momento.
2-Si, además, es necesaria, en el sentido de que no exista otra medida más moderada para
la consecución de tal propósito con igual eficacia (juicio de necesidad).
Se trata de que hay que determinar si la finalidad perseguida no puede alcanzarse de otro
modo menos lesivo o invasivo, es decir si no si no existe un tratamiento alternativo que sea
igualmente eficaz para el logro de la finalidad perseguida.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
100/128
El Tribunal de Justicia de la Unión Europea (en adelante TJUE), ha examinado en diversas
sentencias la necesidad y proporcionalidad de los tratamientos de datos personales,
estableciendo que partiendo de la base de que el tratamiento de datos personales implica en
sí mismo una limitación al derecho a la protección de datos, debe comprobarse si esa
limitación es proporcionada con respecto a los objetivos y a los fines, y que por tanto, debe
examinarse si las operaciones de tratamiento permiten alcanzar los objetivos y fines, sin ir
más allá de lo necesario para alcanzarlos.
La necesidad no debe confundirse con utilidad del sistema. Puede que se facilite el no tener
que llevar una tarjeta, que se tarde unos segundos menos en su acceso, que sea
automático e instantáneo y no excesivamente costoso. Obviamente, un SBRF puede ser útil,
pero no tiene por qué ser objetivamente necesario (siendo esto último lo que realmente debe
estar presente). Como establece el Dictamen 3/2012, sobre la evolución de las tecnologías
biométricas- del GT 29-, debe examinarse “si es esencial para satisfacer esa necesidad, y
no solo el más adecuado o rentable”. Se han de analizar las opciones y alternativas antes de
instaurar un sistema nuevo que supone una exagerada limitación del derecho de cada
usuario, cuando pueden existir medios menos invasivos de la intimidad, y no optar por lo
práctico o ágil y cómodo, cuando están en juego derechos de sus titulares.
En cuanto a superar el análisis de estricta necesidad, hay que demostrar que resuelve un
problema que debe ser real, presente o inminente, y crítico para el funcionamiento del
tratamiento. En ese sentido, el TEDH estableció que “necesario” “…no era sinónimo de
indispensable…y tampoco tiene la flexibilidad de expresiones como 'admisible', 'ordinario',
útil', 'razonable' o 'deseable'». No basta la mera conveniencia o rentabilidad. Además, hay
que evaluar el alcance, la extensión y la intensidad de las interferencias en términos de
impacto sobre los derechos fundamentales, explicando con pruebas por qué otras
alternativas posibles no son suficientes para satisfacer esta necesidad de forma suficiente.
Incluso, a la hora de evaluar las opciones, hay que tener en cuenta la posibilidad de emplear
una combinación de medidas, tanto automatizadas como no automatizadas, organizativas,
legales o técnicas.
C.A. OSASUNA basa esta necesidad en facilitar a los abonados el acceso por ser más ágil
y sencillo, reconociendo que existen como medios menos intrusivos “los tradicionales como
el lector del código QR incorporado al abono”, prosiguiendo, indicando que “No obstante, la
implementación del tratamiento analizado en esta DPIA no impide el uso de esta opción. Es
decir, el interesado puede decidir libremente y sin que ello le produzca ningún tipo de
afección a sus derechos como abonado, optar por uno u otro tratamiento para el acceso al
estadio. De este modo, la necesidad se vincularía en este caso con la voluntad del abonado,
que no puede ser satisfecha utilizando un medio menos intrusivo de acceso.”, y a la vez se
contradice como se aprecia al final del párrafo, al señalar que la necesidad no se puede
satisfacer utilizando un medio menos intrusivo, cuando este, además, es el que la mayoría
de los abonados utiliza.
Sobre la necesidad, se debe señalar:
a) Que la necesidad no puede depender de lo que decida el afectado. El concepto de
necesidad, de acuerdo con la jurisprudencia del TJUE, es el de una estricta necesidad, de
carácter transversal y existiendo un medio menos intrusivo, C.A. OSASUNA huye de
cualquier análisis dejando en manos de los afectados la valoración de la necesidad porque
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
101/128
es una opción y el interesado la ha elegido, siendo la voluntad del abonado.
Sin embargo, es el responsable del tratamiento quién debe evaluar la necesidad del
tratamiento, así como cumplir, en su caso si supera la evaluación de necesidad y
proporcionalidad, con la gestión del cumplimiento normativo del RGPD.
b) El sistema informatizado de control y gestión de venta de entradas así como del acceso a
estadios de fútbol previsto legalmente, puede alcanzar a que las entradas hayan de ser
nominativas, que es un tipo de acceso común y normalizado, y existiendo otra modalidad del
mismo menos intrusiva que la EIPD reconoce, pero aleja, al considerar que existe libertad
del usuario, es sin duda una medida que afecta al derecho con menos extensión e
intensidad en el tratamiento de datos personales, y que debe prevalecer por ser preferible al
reconocimiento facial.
3- Finalmente, si la misma es ponderada o equilibrada, por derivarse de ella más beneficios
o ventajas para el interés general que perjuicios sobre otros bienes o valores en conflicto
(juicio de proporcionalidad en sentido estricto; “STC 66/1995, de 8 de 5, F. 5; STC 55/1996,
de 28 de marzo, FF. 7, 8 y 9; STC 270/1996, de 16 de diciembre, F. 4.e; STC 37/1998, de 17
de febrero, F. 8; STC 186/2000, de 10 de julio, F. 6).”
En este aspecto, la gravedad del riesgo para los derechos y libertades del tratamiento, y su
intromisión en el derecho fundamental a la Protección de Datos de carácter personal ha de
ser adecuada al objetivo perseguido y proporcionada a la urgencia y gravedad de esta. Hay
que ponderar el beneficio que el tratamiento desde el punto de vista de la Protección de
Datos proporciona la sociedad, manteniendo un equilibrio con el impacto que representa
sobre otros derechos fundamentales. Sin embargo, aunque pueda ceder parcialmente, en
ningún caso se puede asumir la negación absoluta del derecho a la Protección de Datos y
vaciarle de su contenido esencial.
En cuanto a los medios adicionales de seguridad no se relacionan con la proporcionalidad
del tratamiento ni suplirían su evaluación, y la existencia de medios alternativos en el acceso
tampoco puede presuponer por tal motivo que el tratamiento sea proporcional, sin que tales
elementos puedan validar tal proporcionalidad.
En general, el principio de proporcionalidad ha de contemplar que para alcanzar los
objetivos previstos se realicen a través de acciones que no excedan de lo necesario,
introduciendo aquí el concepto de adecuación de la medida. Debe existir un vínculo lógico
entre la medida y el objetivo legítimo perseguido. Para que se respete el principio de
proporcionalidad, las ventajas resultantes de la medida no deben ser superadas por las
desventajas que la medida provoca con respecto al ejercicio de derechos fundamentales.
Uno de los factores que juegan en la proporcionalidad es la eficacia de las medidas
existentes, por encima de la propuesta. Sí en el mismo contexto ya existieran medidas para
un propósito similar o idéntico, deben considerarse, si no, la evaluación de la
proporcionalidad no se ha realizado debidamente.
El principio de proporcionalidad ha de evaluar si el impacto negativo en los derechos y
libertades fundamentales de los interesados es proporcional a cualquier beneficio previsto.
Si el beneficio es relativamente menos, tal impacto podría no ser proporcional.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
102/128
Por otro lado, ninguna valoración hace C.A. OSASUNA sobre la necesidad para la seguridad
en los accesos al estadio, que derivaría de la Ley 11/2007 Antiviolencia, y que expresamente
se menciona en el preámbulo del RGLNFP, “condiciones de la venta de entradas y abonos”.
A este respecto, dicho reglamento no alcanza a instaurar como regla general ni la
identificación de la persona que accede al estadio con su entrada o título ni como medio, el
biométrico para controlar la identidad en el control de accesos. A tal efecto, se ha de partir
de que en el interior de los estadios existen sistemas de videovigilancia, pueden colocarse
en los accesos y aledaños del estadio, y cada asiento está asignado a la persona que
adquiere la entrada. Se deduce que el sistema de accesos con reconocimiento facial frente
al tradicional de venta de entradas nominativas no supone un plus claro y diferenciado en la
seguridad pues si así fuera, se debería haber implementado en su caso por una norma
aplicable al supuesto con carácter general, no voluntario, y no parece que esta sea la
finalidad última del acceso con el SBRF.
Tampoco C.A. OSASUNA ha acreditado índices de los que se derive que los espectadores
se suplantan o intenten suplantar la identidad para acceder con abonos que no son de su
titularidad, o como realizan tales suplantaciones con los abonos, de modo que esto
constituya un problema para acometer, y que en su caso quizás, al afectar a todos, no
parecería serio acometerlo solo para los que consientan el tratamiento con sus datos
biométricos.
El sistema de SBRF, en ratio coste-beneficio, no se aprecia que se relacione con el interés
general que marca los objetivos de la ley antiviolencia, cuando la mayoría de estadios de
fútbol no tienen instaurado el citado sistema, y las razones de seguridad por entrar con los
accesos biométricos además de ser voluntaria, excede del fin de los accesos a los estadios
el de la plena identificación con un muy alto nivel de probabilidad de identidad pues no está
prevista en norma alguna y se instaura en el ámbito de un espectáculo público de ocio, que
debe contar con otras medidas como la videovigilancia y los circuitos cerrados de televisión,
siendo en todo caso desproporcionado su uso para este fin por los sacrificios que suponen
para la protección de datos, intimidad y otros derechos relacionados.
En el presente caso conviene recordar además, lo que señala C.A. OSASUNA de esta parte
en la EIPD, apartado 6.4.3, encuadrado en el “análisis del cumplimiento del tratamiento del
principio de minimización de datos”, y más concretamente, de los “criterios en relación con
la aplicación del principio de minimización en el tratamiento de datos biométricos” (6.4.2), en
el que expresa que estima que se han de valorar para la necesidad y proporcionalidad del
tratamiento una serie de aspectos (punto1.3 del HECHO TERCERO) con siete puntos
diferenciados, y que actúan a su juicio como premisas. Sobre estos aspectos, se ha de
indicar:
El influjo en la necesidad y proporcionalidad de las operaciones de tratamiento de acuerdo
con su finalidad que es lo que procedería analizar, nada tiene que ver con las aseveraciones
de que el tratamiento se aplica sobre vectores y no directamente sobre imágenes. Ello
puede atender a la seguridad, o que el sistema no se aplique más que a los (…) personas, y
no a todo el estadio, o no se realicen reconocimientos a distancia que se entiende un
requisito de cumplimiento normativo. ni que los afectados se hayan sumado libremente al
uso del tratamiento con este dispositivo biométrico, ni mucho menos con las exigencias de la
Ley antiviolencia que tan solo estiman como obligatorio contar con un sistema informatizado
de control y gestión de venta de entradas, así como de acceso al recinto, lo que no quiere
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
103/128
significar que se controle para el citado acceso con tales entradas u otras, la identidad del
portador del título a nivel de identificación unívoca con el SBRF también un sistema de
control de acceso, lo que nada añade a tal necesidad. Ninguno de los elementos avanza un
análisis de la coyuntura de la necesidad y proporcionalidad del tratamiento referido a un
balance entre fines (darse de alta en el servicio, y garantizar el acceso al estadio) y medios,
e intromisión de la herramienta del SBRF.
Como consecuencia, se desprende que C.A. OSASUNA no ha examinado correctamente la
necesidad y proporcionalidad de las operaciones de tratamiento del SBRF de acuerdo con
los objetivos de su finalidad y en qué medida cumple ese objetivo con una evaluación del
alcance, extensión e intensidad de la interferencia en términos de impacto sobre los
derechos fundamentales.
En ningún caso se recomienda continuar con la EIPD cuando el tratamiento no supere la
evaluación de necesidad y, o, la de proporcionalidad. Téngase en cuenta que se trata de
requisitos de cumplimiento que exige el RGPD, requisitos que no pueden abordarse con
medidas alternativas al propio cumplimiento como por ejemplo medidas técnicas y
organizativas.
Amén de poder valorar diversos aspectos de la EIPD, tan solo la no superación del juicio de
necesidad y proporcionalidad del tratamiento de datos personales llevado a cabo,
consistente como el sistema adicional instaurado para el reconocimiento facial para acceder
al estadio el Sadar, ya supondría la ilicitud del mismo.
5.3.- Conclusión
En resumen, C.A. OSASUNA tenía un sistema de acceso al estadio y venta de entradas que
antes de implantarse el SBRF, cubría las necesidades para la identificación de los usuarios,
y que podía reflejar los fines y necesidades que prevén la LEY ANTIVIOLENCIA y el Real
Decreto que la desarrolla, 203/2010. El acceso se producía con la tarjeta de abonado, o en
su versión de tarjeta de abonado con código QR o tarjeta de abonado en el móvil, que
necesitaron para su expedición exclusivamente de datos básicos, de filiación y de contacto.
Esos datos son los mismos datos personales que se hallan en la base del proceso para
iniciar el registro del SBRF, añadiendo anverso y reverso del DNI y fotografía, por lo que la
instauración de este nuevo sistema es una opción técnica en una situación, la del acceso al
estadio, que no refleja un problema a abordar a través de un tratamiento nuevo, al estar
cubierto con una modalidad preexistente, y se puede derivar una carencia de justificación en
su idoneidad, necesidad y proporcionalidad.
Estas razones eximen de realizar algún examen adicional contenido en la citada EIPD, al no
superar los mínimos de necesidad y proporcionalidad en la instauración del sistema.
Por otro lado, se aprecia claramente que existen medios menos intrusivos ya establecidos y
en funcionamiento que cumplen los requisitos para los accesos al estadio y que el SBRF no
es estrictamente necesario pues se acredita que los objetivos concretos perseguidos
pueden lograrse con medidas que constituyen menor nivel de injerencia y menos graves en
los derechos y libertades de los usuarios, teniendo como finalidad que los datos personales
solo deberían ser objeto de tratamiento si la finalidad del tratamiento no puede lograrse
razonablemente por otros medios.
Si bien en la práctica no suele existir una única forma de conseguir los fines a los que está
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
104/128
orientado un tratamiento de datos, sí que se puede apreciar que en función de cómo se
implemente, se pueden plantear diferentes escenarios de riesgo. A la hora de considerar
esos otros posibles tratamientos alternativos, hay que identificar aquellos que empleando
menos medios o medios menos intrusivos alcancen al menos igual eficacia, es decir se debe
evaluar si la finalidad perseguida se puede conseguir por otros medios como por ejemplo
utilizando otros datos (de otra naturaleza o extensión) o con tecnologías menos invasivas.
Nuevamente, se señala que debe realizarse y separarse un análisis previo sobre la
necesidad y proporcionalidad de dicho tratamiento para la consecución de la finalidad
pretendida por el responsable del tratamiento, en el sentido de que no haya otro medio igual
de eficaz y menos intrusivo, antes de la implantación de cualquier sistema, y en el presente
caso tal sistema existía.
Es importante señalar que, aunque las personas abonadas aceptaran explícitamente el uso
de sus datos biométricos con el fin de acceder al estadio, los principios de tratamiento
contenidos en el artículo 5 del RGPD, en relación con la necesidad y proporcionalidad
siguen siendo aplicables y deben cumplirse.
Siendo en el presente caso, la finalidad pretendida la del acceso al estadio del C.A.
OSASUNA, responsable del tratamiento, y considerando el principio de minimización de
datos que propugna que los datos que se traten han de ser limitados a lo necesario para
conseguir esos fines, para los que ya existía una modalidad de acceso menos intrusiva, y no
se acredita la evaluación de la necesidad y proporcionalidad en el SBRF para acceso al
estadio, se considera que C.A.OSASUNA ha infringido el artículo 5.1.c) que indica:
“1. Los datos personales serán:
c) adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que
son tratados («minimización de datos»)”.
VI Tratamiento de datos biométricos: excepción del artículo 9 del RGPD, y base legitimadora
del artículo 6 del RGPD
En el presente supuesto, se estima que mediante la instauración del sistema biométrico de
acceso al estadio por C.A. OSASUNA para las personas abonadas, se están tratando datos
de carácter personal de categoría especial desempeñando C.A.OSASUNA el papel de
responsable del tratamiento.
El RGPD señala en sus definiciones:
4.2«tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre datos
personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no,
como la recogida, registro, organización, estructuración, conservación, adaptación o
modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o
cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o
destrucción;”
“4.7 «responsable del tratamiento» o «responsable»: la persona física o jurídica, autoridad
pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
105/128
del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y
medios del tratamiento, el responsable del tratamiento o los criterios específicos para su
nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros;”
Los datos biométricos, catalogados como de “categoría especial”, en el artículo 9, tanto del
RGPD, como de la LOPDGDD, son datos personales de cuyo uso pueden desprenderse
riesgos significativos para los derechos y las libertades fundamentales, y por ello, en
principio su tratamiento está prohibido, como señala el considerando 51, cuando tras su
especificación indica que: “Tales datos personales no deben ser tratados a menos que se
permita su tratamiento en situaciones específicas contempladas en el presente
Reglamento”.
C.A. OSASUNA en su EIPD fechada en 4/02/2022, y así lo ha afirmado en el procedimiento,
basa el levantamiento de la prohibición de tratamiento para los datos del SBRF, y con el fin
de acceder al estadio con este medio, con el consentimiento explícito prestado
voluntariamente, según el artículo 9.2.a) del RGPD, y según indica, ese mismo
consentimiento explícito “se subsume igualmente en el contenido en esta última norma”,
“por lo que además, el tratamiento contará con la base jurídica establecida del artículo
6.1.a), cumpliendo así el principio de licitud”.
El artículo 9.1 ) del RGPD, indica:
“Quedan prohibidos el tratamiento de datos personales que revelen el origen étnico o racial,
las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical, y el
tratamiento de datos genéticos, datos biométricos dirigidos a identificar de manera unívoca a
una persona física, datos relativos a la salud o datos relativos a la vida sexual o la
orientación sexual de una persona física.
Únicamente cabe excepcionar la prohibición de tratamiento de los datos de categoría
especial cuando concurra alguna de las circunstancias que se especifican en el apartado 2
del art. 9 del RGPD, cuya letra a), señala:
“2. El apartado 1 no será de aplicación cuando concurra una de las circunstancias
siguientes:
a) el interesado dio su consentimiento explícito para el tratamiento de dichos datos
personales con uno o más de los fines especificados, excepto cuando el Derecho de la
Unión o de los Estados miembros establezca que la prohibición mencionada en el apartado
1 no puede ser levantada por el interesado;”
El responsable tiene la obligación de valorar muy seriamente y con diligencia si tiene una
razón sólida para tratar categorías especiales que aparezca enumeradas en dicho art. 9.2
del RGPD.
Tratándose de datos biométricos, además de levantar la prohibición sobre su tratamiento,
debe contener una de las bases jurídicas legitimadoras del tratamiento contenidas en el
artículo 6.1 del RGPD. Este artículo parte también de la declarada excepción que supone el
tratamiento de datos, al señalar que “1. El tratamiento solo será lícito si se cumple al menos
una de las siguientes condiciones” …, entendiendo que se parte de que cualquier
tratamiento de esos datos personales restringe derechos de su titular por el mero hecho de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
106/128
sufrir dicho tratamiento, momento a partir del cual, cada vez va a ser identificado con este
mecanismo.
La lista de las bases es:
“a) el interesado dio su consentimiento para el tratamiento de sus datos personales para uno
o varios fines específicos;
b) el tratamiento es necesario para la ejecución de un contrato en el que el interesado es
parte o para la aplicación a petición de este de medidas precontractuales;
c) el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al
responsable del tratamiento;
d) el tratamiento es necesario para proteger intereses vitales del interesado o de otra
persona física;
e) el tratamiento es necesario para el cumplimiento de una misión realizada en interés
público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
f) el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el
responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no
prevalezcan los intereses o los derechos y libertades fundamentales del interesado que
requieran la protección de datos personales, en particular cuando el interesado sea un niño.
Lo dispuesto en la letra f) del párrafo primero no será de aplicación al tratamiento realizado
por las autoridades públicas en el ejercicio de sus funciones.
Estos son requisitos acumulativos que suponen una garantía adicional en el tratamiento de
datos de su titular, que tiene en cuenta que, si la consecución de los fines previstos pueden
realizarse sin tratamiento de datos personales, sin que dicha finalidad sea alterada o
perjudicada, debería optarse por esa última actividad, y será preferible esta vía y supondrá
que no es necesario llevar a cabo tratamiento alguno de datos, y subsidiariamente, si se
precisan datos, que la recogida de datos sea necesaria y proporcional para la finalidad
establecida o pretendida. Obsérvese que lo que C.A. OSASUNA implanta es una modalidad
adicional preexistente a la que ya tiene para como es en este caso, con el uso de datos
biométricos de reconocimiento facial con, la misma finalidad que con la modalidad
preexistente, acceder al estadio, y así es reconocido por C.A. OSASUNA que en finalidad
del tratamiento lo expresa con “garantizar el acceso”. Para el tratamiento con los mismos
fines que los que ya habría cumplido, por tratarse de datos especiales como los biométricos,
C.A. OSASUNA, ha de disponer de una circunstancia que levante la prohibición del
tratamiento en cuanto a los datos biométricos.
Recordando que el régimen instaurado sobre el acceso y las entradas derivado de la Ley
11/2017, se define por:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
107/128
-Un ”sistema informatizado de control y gestión de la venta de entradas, así como del
acceso al recinto”,
-adicionales medidas ( por motivos de seguridad) como “promover sistemas de
verificación de la identidad de las personas que traten de acceder a los recintos deportivos”,
o “implantación de sistemas de emisión y venta de entradas que permitan controlar la
identidad de los adquirentes de entradas.”, para conocer la identidad de los poseedores de
los títulos de acceso a las instalaciones deportivas, adicionales medidas que solo aparecen
implantadas en relación con las gradas de animación, y que de acuerdo con la limitación que
supone por haberse así determinado con la CEVRXID en virtud del artículo 13.1 de la Ley
19/2007, “se realizarán implantando sistemas de venta de ENTRADAS NOMINATIVAS”,
modo imperativo (artículo 15.3 del RD 203/2010).
Este régimen que usa C.A.OSASUNA, es un plus que no es el aprobado por la LNFP en su
RGLNFP sobre venta de entradas y abonos, además, se sale de lo señalado en la normativa
que obliga a que los títulos de acceso a instalaciones deportivas sean nominativos solo en
casos en caso de que se hubieran acordado “adicionales medidas”, en base al artículo 13.1
de la Ley 11/2007 y el artículo 15.3 de su reglamento de desarrollo, y no consta que para la
generalidad de los espectadores se hubieran establecido no ya las entradas nominativas,
sino para acceso a los recintos deportivos en los que se celebran competiciones deportivas
el uso de dato biométrico identificativo de la personas abonadas, que figuran identificadas
en su propio título de abono. Tal sistema de identificación unívoca por los medios
tecnológicos que emplean inteligencia artificial para su tratamiento respondería a un grado
muy superior del necesario.
Imputada una primera y previa infracción por la analizada ausencia de necesidad del
tratamiento llevado a efecto, existiendo la misma finalidad con medios y datos personales
utilizados con apreciable menor intrusión en el derecho fundamental de protección de datos
de las personas abonadas, cabe referirse a la obtención del consentimiento explícito y sus
efectos por los que inicialmente se imputó a C.A. OSASUNA esta infracción.
La consideración de la prestación del consentimiento explícito por las personas abonadas,
en este caso, para un tratamiento de alto riesgo que supone la categoría de datos
especiales biométricos, forma parte de la legalidad del tratamiento. En este caso, carece de
virtualidad entrar a valorar cualquier legitimación que pueda referirse a una base jurídica que
tenga como objeto el tratamiento analizado, toda vez que, de acuerdo con lo analizado, se
considera que es un tratamiento cuya necesidad y proporcionalidad no es acorde con las
operaciones de tratamiento de acuerdo con su finalidad.
En definitiva, sobre el tratamiento propuesto, al no superar el juicio de necesidad y
proporcionalidad la medida limitativa que supone la restricción del derecho fundamental que
supone este tratamiento, no es preciso consentir algo que no es necesario por lo que la
infracción del artículo 9 ha de ser archivada.
VII Respuesta a las alegaciones de C.A. OSASUNA
Sobre la alegación de C.A. OSASUNA de que la consideración del acuerdo de
inicio como de alto riesgo para entender que no se cumple el principio de necesidad del
tratamiento, se ha de indicar en respuesta a la misma, que la valoración de la citada
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
108/128
necesidad va ligada indefectiblemente a la idoneidad y a la proporcionalidad en sentido
estricto en las operaciones de tratamiento, con respecto finalidad del tratamiento, y no
exclusivamente a que nos encontremos ante un tratamiento de alto riesgo.
En todo tratamiento de datos personales que el responsable del tratamiento pretenda llevar
a cabo ha de valorarse la necesidad del tratamiento, en los términos del RGPD, realizando y
superando el triple juicio de proporcionalidad para que dicho tratamiento pueda llevarse a
término. Si bien los riesgos en los derechos y libertades de los interesados derivados del
tratamiento han de ser considerados, es uno de los elementos a tener en cuenta para dicha
ponderación, pero no el único.
Lo que sí que resulta cierto es que el uso de sistemas biométricos es catalogado como de
alto riesgo, sin adjetivar que el riesgo esté relacionado exclusivamente con la seguridad del
tratamiento.
Los sucesivos dictámenes, directrices y documentos referidos a estos tratamientos de datos
personales emitidos por el CEPD o por la AEPD han determinado tal carácter de alto riesgo,
tal y como se ha explicitado a lo largo del procedimiento, máxime también con la
implantación de sistemas que contienen inteligencia artificial en espacios de uso público, por
la dificultad y falta de transparencia de los modelos puestos en marcha, con independencia
de que no se comprenda o no reúna los requisitos de inteligencia artificial de alto riesgo en
la regulación del Reglamento (UE) 2024/1689 del Parlamento Europeo y del Consejo, de 13
de junio de 2024, por el que se establecen normas armonizadas en materia de inteligencia
artificial y por el que se modifican los Reglamentos (CE) nº 300/2008, (UE) nº 167/2013,
(UE) nº 168/2013, (UE) 2018/858, (UE) 2018/1139 y (UE) 2019/2144 y las Directivas
2014/90/UE, (UE) 2016/797 y (UE) 2020/1828 (Reglamento de Inteligencia Artificial).
Sin embargo, en el acuerdo de inicio el factor de necesidad se relaciona más con la
existencia de otros medios menos intrusivos para la obtención del mismo fin, teniendo en
consideración como hemos indicado la necesidad en relación con la finalidad en
consideración la naturaleza, alcance y contexto del tratamiento y la alternativa ya existente,
siendo un medio que incidía en el derecho a la protección datos personales con menor
intensidad y generando menos riesgos.
Respecto de la alegación formulada por la parte reclamada de que el riesgo se
minimiza por la tecnología empleada, porque el vector no es reversible, se ha de convenir en
que, en el análisis de riesgos para los derechos y libertades fundamentales de las personas
derivados del tratamiento de datos personales, la tecnología es solo un factor a considerar.
En primer término porque la correcta comprensión del RGPD determina que dentro de la
gestión del cumplimiento del RGPD -el cumplimiento de todas las obligaciones del RGPD
dentro del concepto de “strong accountability”, esto es, cumplimiento no meramente formal
sino de fondo, con la finalidad primera y última de proteger a las personas físicas en todos
sus derechos y libertades (artículo 1 del RGPD)-, se encuentra una parte que es la gestión
del riesgo, siendo a su vez una parte de la gestión de riego las medidas de seguridad.
Convertir una parte (las medidas de seguridad) en el todo (la gestión del riesgo) es una
defectuosa comprensión de la norma.
Apostar la gestión del cumplimiento normativo al establecimiento e implementación de
medidas estrictamente de seguridad, por muy “seguras” que fueran estas, es vaciar a la
normativa de contenido. Sería tanto como decir que sería correcto tratar datos personales si
existen medidas de seguridad que minimicen los riesgos, aun cuando un tratamiento de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
109/128
datos personales, por ejemplo, estuviera prohibido por el ordenamiento jurídico o no
superase el juicio de necesidad. Esta posibilidad ni es lógica ni es legal.
Además, y en segundo término, porque el RGPD no se centra sólo en medidas técnicas y
organizativas de seguridad, sino que el responsable del tratamiento ha de implementar otros
tipos de medidas, técnicas y organizativas apropiadas, de todo tipo, y no solo de seguridad.
El RGPD está jalonado de preceptos que lo imponen, desde varios considerandos del
RGPD, pasando por los artículos 24, 25, 28 o 35 del RGPD entre otros.
Así, el considerando 78 del RGPD deja claro que,
“78. La protección de los derechos y libertades de las personas físicas con
respecto al tratamiento de datos personales exige la adopción de medidas
técnicas y organizativas apropiadas con el fin de garantizar el cumplimiento de los
requisitos del presente Reglamento. A fin de poder demostrar la conformidad con
el presente Reglamento, el responsable del tratamiento debe adoptar políticas
internas y aplicar medidas que cumplan en particular los principios de protección
de datos desde el diseño y por defecto”. (el subrayado es nuestro)
El artículo 24 del RGPD menciona expresamente que,
“1. Teniendo en cuenta la naturaleza, el ámbito, el contexto y los fines del
tratamiento, así como los riesgos de diversa probabilidad y gravedad para los
derechos y libertades de las personas físicas, el responsable del tratamiento
aplicará medidas técnicas y organizativas apropiadas a fin de garantizar y poder
demostrar que el tratamiento es conforme con el presente Reglamento. Dichas
medidas se revisarán y actualizarán cuando sea necesario”. (el subrayado es
nuestro)
En artículo 35 del RGPD y ya específicamente respecto del contenido mínimo de una EIPD
se determina que,
“d) las medidas previstas para afrontar los riesgos, incluidas garantías, medidas
de seguridad y mecanismos que garanticen la protección de datos personales, y a
demostrar la conformidad con el presente Reglamento, teniendo en cuenta los
derechos e intereses legítimos de los interesados y de otras personas afectadas”
(el subrayado es nuestro)
En idéntico sentido, el considerando 90 del RGPD vincula el contenido de la EIPD a
medidas de todo tipo, sin el apellido de “seguridad”, para lograr la mitigación del riesgo, en
su caso,
“ 90. En tales casos, el responsable debe llevar a cabo, antes del tratamiento, una
evaluación de impacto relativa a la protección de datos con el fin de valorar la
particular gravedad y probabilidad del alto riesgo, teniendo en cuenta la
naturaleza, ámbito, contexto y fines del tratamiento y los orígenes del riesgo.
Dicha evaluación de impacto debe incluir, en particular, las medidas, garantías y
mecanismos previstos para mitigar el riesgo, garantizar la protección de los datos
personales y demostrar la conformidad con el presente Reglamento”. (el
subrayado es nuestro)
Todas las medidas de todo tipo que debe de determinar y establecer el responsable del
tratamiento para ver si puede mitigar el riesgo durante el tratamiento de datos personales se
obtienen de una correcta visión del riesgo, pues donde no se mira no se ve. A pesar de que
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
110/128
la AEPD ha puesto de manifiesto la existencia de un alto riesgo en el presente tratamiento
de datos personales, la parte reclamada niega la mayor, considerando en sus alegaciones
que el tratamiento no conlleva un alto riesgo, pues estos son “minimizados” por la tecnología
empleada y las medidas adoptadas. Se ha de recordar que el alto riesgo del tratamiento de
datos personales no deja de serlo durante todo el ciclo del tratamiento porque se
establezcan medidas apropiadas, del tipo que sean, mitigadoras del mismo sobre su
probabilidad e impacto, amén de medidas para reaccionar si se materializa. Un tratamiento
de alto riesgo no se convierte en un tratamiento de riesgo medio o bajo por establecer e
implementar medidas.
En tercer término, se ha de significar que los riesgos en los derechos y libertades de los
interesados, en este caso de las personas abonadas, derivados del tratamiento tampoco no
son una foto fija al inicio del tratamiento material de los datos personales que se mantiene a
lo largo del mismo. Los riesgos son cambiantes en el contexto tecnológico actual.
Diversos hash, como el M5, que inicialmente no eran reversibles, ahora cuentan en
buscadores con páginas web específicas para procurar la reversibilidad de estos y obtener
los datos originales.
Continuas son las brechas de datos personales que se notifican a la AEPD respecto de
tratamientos muy similares o prácticamente idénticos a los efectuados por la parte
reclamante en las que se ha accedido al servidor del responsable del tratamiento y hurtado
la base de datos que contenía las plantillas biométricas. Recordemos que los datos
biométricos están ligados indefectiblemente al individuo. Que si se le hurtan los mismos
puede perder su identidad y que es un riesgo actual, real y tangible.
En este caso, no se estimó que no existía proporcionalidad ni necesidad en el tratamiento
derivado de los altos riesgos que suponen este tipo de tratamiento, sino por su análisis del
contenido derivado de la EIPD y del análisis de la naturaleza, el ámbito, el contexto y la
finalidad del tratamiento descrito, y así figura expuesto en el fundamento de derecho V. En
este sentido, aun siendo convertida la imagen en un código o vector, el tratamiento continúa
siendo de datos biométricos y con ello de categoría especial y de alto riesgo.
Sobre la afirmación en el acuerdo de inicio de que la actividad de tratamiento de SBRF para
el acceso de personas abonadas que emprendió C.A. OSASUNA genera riesgo adicional
debido a su carácter probabilístico, el acuerdo de inicio señala de contrario otra afirmación,
sin concluir la que expresa C.A. OSASUNA. Se ha de partir de la base de que la biometría
descansa sobre principios probabilísticos en el sentido de que son, al mismo tiempo que
atribuibles a una persona, mensurables y en la práctica, para medirlos se utilizan medios
técnicos que implican probabilidades.
El reconocimiento facial es una tecnología probabilística que puede reconocer
automáticamente a las personas por su rostro para verificación o identificarlas. Tanto en el
sistema de identificación como de verificación, las técnicas de reconocimiento facial
utilizadas se basan en una concordancia estimada entre plantillas/(vectores): la que se
compara y la(s) de referencia. Desde este punto de vista, son técnicas probabilísticas: la
comparación deduce una probabilidad mayor o menor de que la persona sea efectivamente
quien se ha de verificar o identificar; si esta probabilidad supera un determinado umbral en
el sistema, definido por su usuario o su desarrollador, el sistema entenderá que existe una
coincidencia.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
111/128
El CEPD considera importante recordar que la Técnica de Reconocimiento Facial, tanto si se
utiliza con fines de verificación como de identificación, no proporciona un resultado definitivo,
sino que se basa en probabilidades de que dos rostros, o imágenes de rostros,
correspondan a la misma persona.
Es por ello por lo que la explicación tajante suministrada por la parte reclamada ahora en
sus alegaciones a la propuesta de la resolución de la necesidad del tratamiento atendiendo
a su finalidad (añade ahora que pretende garantizar que el abonado que accede es quien
realmente ostenta el derecho para efectuar ese acceso, sin precisar un proceso de
identificación a través de medios convencionales evitando la suplantación en el acceso
como consecuencia de una sustracción de documentos acreditativos de la condición de
abonado), en concreto que la finalidad del tratamiento es para garantizar de que el abonado
que accede es quien realmente ostenta el derecho a acceder, simplemente decae. El
sistema biométrico también tiene fallos, no es cien por cien definitivo. Y ello amén de no
saber muy bien qué añade este sistema respecto de la identificación y cotejo con métodos
tradicionales, como la exhibición del DNI, máxime si no se ha puesto de manifiesto su
ineficiencia.
Sobre la alegación del equívoco de indicar en el acuerdo de inicio, a título de ejemplo, no
referido al caso concreto, que el sistema realizaba mediciones relativas entre puntos
nodales de distancia de la imagen de cada individuo, y no significar que utiliza un sistema de
inteligencia artificial para generar el vector facial, era un ejemplo de funcionamiento a rasgos
generales de la forma de extracción de caracteres biométricos para crear una plantilla, que
C.A. OSASUNA denomina igualmente vector facial, que es un fin que no varía con uno u
otro sistema de extracción.
Por otro lado, sobre la alegación asociada a la anterior de que cada versión del motor
biométrico es distinta para significar que los vectores derivados del servicio no pueden ser
empleados por otros motores y no es reversible el vector facial, no incide en el hecho de que
se utiliza este sistema biométrico de identificación unívoca creando vectores faciales que
son datos personales biométricos únicos que identifican unívocamente a la persona
abonada, por cuanto identifican plenamente a las personas abonadas con el fin de acceder
al recinto deportivo para presenciar el espectáculo deportivo.
El acuerdo sí indica que la imagen de la cara se procesa con procedimiento técnico,
inteligencia artificial y que en lo esencial los algoritmos crean un vector facial susceptible de
cumplir los fines, por ser datos biométricos de carácter especial al identificar unívocamente a
la persona, circunstancia que no es negada por C.A. OSASUNA. Se ha de añadir que, a
efectos del Reglamento de inteligencia artificial, el considerando 19 determina:
“A los efectos del presente Reglamento, debe entenderse que el concepto de
«espacio de acceso público» se refiere a cualquier espacio físico al que pueda
acceder un número indeterminado de personas físicas y con independencia de si
es de propiedad privada o pública y de la actividad para la que pueda utilizarse el
espacio, ya sean actividades comerciales, por ejemplo, tiendas, restaurantes,
cafeterías; de prestación de servicios, por ejemplo, bancos, actividades
profesionales, hostelería; deportivas, por ejemplo, piscinas, gimnasios, estadios;
de transporte, por ejemplo, estaciones…”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
112/128
A dicho Reglamento, el CEPD y el SEPD emitieron un Dictamen conjunto 5/2021, sobre
dicha propuesta de Reglamento, el 18/06/2021, en el que, piden una prohibición general
del uso de la IA para el reconocimiento automatizado de rasgos humanos en espacios
de acceso público, como los rostros, pero también las huellas dactilares, por los efectos
en las expectativas de la población de conservar el anonimato en dichos espacios públicos.
Indica en sus alegaciones que la consideración como de alto riesgo de los sistemas
biométricos para imputar las dos infracciones no se corresponde con el sistema implantado
por C.A. OSASUNA. Añadió que con el documento 14, aportado en actuaciones previas y el
1, confirman la fortaleza de la seguridad del tratamiento llevado a cabo por su encargado
DAS-GATE con la tecnología de VERIDAS. A este respecto, se ha de indicar que las
infracciones imputadas se deducen del funcionamiento del sistema, la naturaleza y
descripción del tratamiento y del contexto sectorial, así como de la evaluación de la
necesidad y proporcionalidad de las operaciones de tratamiento con respecto a su finalidad.
Finalidad del tratamiento que no puede ser la herramienta o instrumento con la que
conseguir el objetivo, de modo que no se han de confundir los fines reales del tratamiento
con las medidas que se podrían adoptar para conseguir dichos propósitos. Y todo ello
además de lo ya señalado respecto de que la adopción de medidas de seguridad, en este
caso, no es lo que determina la legalidad de un tratamiento.
De acuerdo con la Guía de la AEPD de “gestión del riesgo y evaluación de impacto en
tratamiento de datos personales, de junio 2021”, en su punto III “proceso de gestión del
riesgo para los derechos y libertades”, se indica que la finalidad del tratamiento o sus fines,
han de estar fijados antes de iniciar la gestión del riesgo y para tener garantías de que los
fines del tratamiento han sido correctamente identificados, estos han de cumplir con las
siguientes propiedades:
“-Últimos: Han de determinarse cuál es el fin último del tratamiento y no
confundirlo con objetivos intermedios, medios instrumentales u operaciones de
tratamiento que tengan lugar en alguna fase del tratamiento o que pueden ser
dependientes con la forma de implementar el tratamiento,
-Específicos: suficientemente precisos y concretos, especificando las carencias,
demandas, exigencias, obligaciones u oportunidades objetivas y finales que en el
fin del tratamiento viene a resolver o dar respuesta,
--Medibles: Han de definir un estado futuro que deseable en términos cualitativos.
-Alcanzables y realistas: se determinan garantías para conseguir los fines del
tratamiento en la medida que es posible demostrar que el fin último se va a
conseguir.
-Acotados: en un período de tiempo y en el marco de una determinada etapa del
ciclo de vida del tratamiento”
En este caso C.A. OSASUNA ha significado en su EIPD, que la finalidad era “garantizar el
acceso, a través del reconocimiento facial, al estadio El Sadar por parte de los abonados de
OSASUNA” y en su RAT “ Fines: registro y gestión de los accesos a las instalaciones
mediante sistema de reconocimiento facial.”, o afirmaciones añadidas, como “proporcionar
al abonado un nuevo medio de acceso al recinto más adecuado y eficaz a la vista del estado
actual de la técnica, que minimice incluso los riesgos derivados de los restantes sistemas de
acceso al estadio”, “ya que el control de acceso al estadio no puede indicarse que deba
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
113/128
llevarse a cabo a través de un único sistema” “deja en manos del propio afectado la
posibilidad de determinar si considera o no el tratamiento necesario para el logro de una
finalidad que se pone a su disposición y que libremente autoriza”.
Sin embargo, se puede añadir que se recopilan datos en modo de sistema biométrico para
un determinado objetivo, razón de ser de las operaciones de tratamiento. Siendo las
operaciones de tratamiento, recogida-almacenamiento-uso, el instrumento de acceso al
recinto, no parece que esto mismo pueda ser el fin, la finalidad o el objetivo del tratamiento.
La finalidad explicita, clara y especifica juega un papel importante en la transparencia e
información al usuario. Se ha de recordar, que la especificación de la finalidad es un
requisito previo para aplicar otros incluidos la adecuación, pertinencia, proporcionalidad de
los datos recopilados. La especificación de la finalidad del tratamiento establece límites a los
fines para los que los responsables pueden utilizar los datos personales recogidos, y
también ayuda a establecer las salvaguardas de protección de datos necesarias.
Sin embargo, entre el contenido que de modo obligatorio ha de contener una EIPD, y de la
superación de la misma, que en este caso no se consigue, se ha fundamentado porque no
se ajusta a derecho, figurando acreditada la citada ausencia de necesidad, proporcionalidad
con arreglo a la finalidad del tratamiento instaurado con el SBRF.
Sobre la alegación de la vulneración del principio de confianza legitima que C.A. OSASUNA
ha esgrimido derivada de diversos informes de la AEPD y del EDPB que prescriben que se
puede efectuar tratamiento de datos de categorías especiales contando con el
consentimiento explícito de los afectados, porque considera que a pesar de proponerse el
archivo de la infracción del artículo 9, afecta también al artículo 5.1.c del RGPD imputado, se
ha de considerar que, el principio de confianza legítima, junto con el de buena fe y lealtad
institucional, aparecen reconocidos en el artículo 3.1.e) de la Ley 40/2015, de 1/10, de
Régimen Jurídico del Sector Público.
La STS de 18 de julio de 2017 (Rec. 4576/2016) recuerda " que la jurisprudencia de esta
Sala, recogida en las sentencias de 10 de mayo de 1999 (RCA 594/1995 ); de 17 de junio
de 2003 (RCA 492/1999 ) 6 de julio de 2012 (RCA 288/2011 ), 22 de enero de 2013 (RCA
470/2011 ), y 21 de septiembre de 2015 (RCA 721/2013 ), sostiene que el principio de
protección de la confianza legítima, relacionado con los más tradicionales en nuestro
ordenamiento de la seguridad jurídica y la buena fe en las relaciones entre la Administración
y los particulares, comporta "el que la autoridad pública no pueda adoptar medidas que
resulten contrarias a la esperanza inducida por la razonable estabilidad en las decisiones de
aquélla, y en función de las cuales los particulares han adoptado determinadas decisiones".
Este principio de confianza legítima encuentra su fundamento último, de acuerdo con la
sentencia de esta Sala de 24 de marzo de 2003 (recurso 100/1998 ) y de 20 de septiembre
de 2012 (recurso 5511/2009 ), "en la protección que objetivamente requiere la confianza que
fundadamente se puede haber depositado en el comportamiento ajeno y el deber de
coherencia de dicho comportamiento", y en el principio de buena fe que rige la actuación
administrativa, pues como afirma la sentencia de 15 de abril de 2005 (recurso 2900/2002 ) y
nuevamente la ya referenciada de 20 de septiembre de 2012, "si la Administración
desarrolla una actividad de tal naturaleza que pueda inducir razonablemente a los
ciudadanos a esperar determinada conducta por su parte, su ulterior decisión adversa
supondría quebrantar la buena fe en que ha de inspirarse la actuación de la misma y
defraudar las legítimas expectativas que su conducta hubiese generado en el administrado".
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
114/128
Ahora bien, la protección de la confianza legítima no abarca cualquier tipo de convicción
psicológica subjetiva en el particular, sino que como indican las sentencias de esta Sala de
30 de octubre de 2012 (recurso 1657/2010 ) y 16 de junio de 2014 (recurso 4588/2011 ), se
refiere a "la creencia racional y fundada de que por actos anteriores, la Administración
adoptará una determinada decisión", y como indican las sentencias de 2 de enero de 2012
(recurso 178/2011 ) y 3 de marzo de 2016 (recurso 3012/2014 ), tan solo es susceptible de
protección aquella confianza sobre aspectos concretos, "que se base en signos o hechos
externos producidos por la Administración suficientemente concluyentes".
La AEPD no ha mudado su criterio sobre la obligación de realizar y superar en una EIPD la
evaluación de la necesidad y proporcionalidad del tratamiento en la EIPD. La exigencia de la
realización y superación de la evaluación de la necesidad y proporcionalidad del tratamiento
no es algo nuevo, y no sólo porque se cite expresamente por el RGPD como una obligación,
sino porque ya lo señaló el Grupo de Trabajo del artículo 29 en sus Directrices sobre la
evaluación de impacto relativa a la protección de datos (EIPD) y para determinar si el
tratamiento «entraña probablemente un alto riesgo» a efectos del RGPD, de 4/04/2017,
revisadas por última vez y adoptadas el 4/10/2017.
Siguiendo esta estela, podemos citar también todos los documentos elaborados por la
AEPD, en este caso sobre realización de EIPD, que pretenden ser un medio dispuesto para
la ciudadanía en general para la concienciación y el conocimiento de las cuestiones
relacionadas con la protección de datos, sirviendo al responsable y al encargado del
tratamiento, pues muchas de ellas van dirigidas a estos, intentando facilitarles el
cumplimento de la gestión del cumplimiento normativo, lo que no obsta para que el
responsable del tratamiento examine en el caso concreto el tratamiento de datos personales
específico que está llevando a cabo cuáles son sus obligaciones en materia de protección
de datos.
Así, destacaremos la Guía de gestión del riesgo y evaluación de impacto en tratamientos de
datos personales de la AEPD de junio de 2021 que cuenta con un apartado específico XIII
sobre la evaluación de la necesidad y proporcionalidad del tratamiento; también en la
relación de tablas de la guía de Gestión del riesgo y evaluación de impacto en formato
editable se cuenta con la tabla 48 relativa al “Juicio de idoneidad, necesidad y
proporcionalidad en sentido estricto” y la tabla 49 a la “información mínima requerida en la
evaluación de la necesidad y proporcionalidad del tratamiento”; en el modelo informe de
EIPD en el sector privado también se contiene lo relativo al análisis de necesidad y
proporcionalidad, examinando el juicio de idoneidad, de necesidad y de proporcionalidad en
sentido estricto; nada nuevo, por tanto, en la Guía sobre tratamientos de control de
presencia mediante sistemas biométricos de la AEPD de noviembre de 2023, que
comprende un apartado específico sobre la superación del análisis de idoneidad, necesidad
y proporcionalidad.
Obviamente, a ninguna de estas guías o documentos se le puede dotar de fuente del
derecho, ni de facto ni de derecho, pues, sin perjuicio de lo que indica al respecto el Código
Civil, el artículo 35 del RGPD se basta para ello por sí mismo, recogiendo estas guías a lo
que el citado artículo obliga.
En cuanto a la cita de contrario del Dictamen del CEPD sobre el uso de tecnologías de
reconocimiento facial por parte de los operadores aeroportuarios y las compañías aéreas
para racionalizar el flujo de pasajeros en los aeropuertos, amén de la limitación de lo que
constituye el objeto del mismo (examen del artículo 5.1.f), 25 y 32 del RGDP en relación con
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
115/128
las soluciones de almacenamiento de los datos personales y en el ámbito aeroportuario) que
no es coincidente con el examinado en el presente procedimiento sancionador, se ha de
significar que el propio CEPD determina en su nota de prensa que “En la solicitud, se
supone que el tratamiento se basaría en el consentimiento de cada pasajero. Sin embargo,
sobre la base del alcance limitado de la solicitud, el dictamen no examina la base jurídica y,
en particular, la validez del consentimiento para dicho tratamiento”. (el subrayado es
nuestro)
https://www.edpb.europa.eu/news/news/2024/facial-recognition-airports-individuals-should-
have-maximum-control-over-biometric_es#:~:text=Bruselas%2C%2024%20de%20mayo
%20-%20Durante%20su%20%C3%BAltimo,racionalizar%20el%20flujo%20de%20pasajeros
%20en%20los%20aeropuertos%2A.
Por otro lado, es sabido además que todo tratamiento de datos como limitación de derechos
que supone para su titular, para poder ser legítimo y licito, debe ser conforme, por una parte,
con los principios relativos al tratamiento de datos enunciados en el artículo 5 del RGPD y,
por otra, con alguno de los principios relativos a la licitud del tratamiento enumerados en el
artículo 6 de dicho Reglamento (véase, en este sentido, la sentencia de 16/01/2019,
Deutsche Post, C-496/17, EU:C:2019:26, apartado 57 y jurisprudencia citada), así como
contar con una excepción de las del artículo 9.2 del RGPD si se trata de categorías
especiales de datos personales.
Se ha de llamar la atención de que en este momento no se está discutiendo sobre si
concurre una excepción del art. 9.2 del RGPD y si esta pudiera o no ser el consentimiento,
sino si en la EIPD se ha realizado y superado la evaluación de necesidad y proporcionalidad
en los términos previstos en el RGPD, cuestión a la que se circunscribe la contestación de
las alegaciones.
Puede que los dictámenes e informes que cita C. A OSASUNA no hayan variado las
referencias a tal posibilidad de tratamiento mediante el consentimiento en que se limitan a
citar sin más, pero lo cierto es que, en cualquier valoración de cualquier tipo de tratamiento
de datos, se indica expresamente que al ser una intromisión en el derecho del que es titular
la persona física, cualquier uso de los mismos constituye una limitación del derecho del que
es titular dicha persona, exigiéndose por tanto una serie de garantías y salvaguardas que
limiten y mitiguen las eventuales consecuencias que pueden afectar a derechos y libertades.
Junto a ello, la finalidad del tratamiento postula que, si la misma finalidad puede conseguirse
sin el tratamiento de datos, con menos datos, o menos uso, con similar eficacia, ha de
respetarse dicho principio, oponiéndose las conductas que contienen acciones que implican
su tratamiento a tal principio, vulnerándose el artículo 5.1.c) del RGPD.
Y ello independientemente de que exista excepción que levante la prohibición del
tratamiento de categorías especiales de datos personales, en su caso, y de base jurídica
que permita el tratamiento de datos personales, pues extrapolando lo antedicho respecto de
las medidas de seguridad, si un tratamiento no es necesario, resulta indiferente que exista
base jurídica que pudiera legitimarlo, excepción del artículo 9.2 del RGPD que pudiera
concurrir, o presencia de medidas de seguridad. Basta con que no sea necesario el
tratamiento de datos personales (tienen que concurrir todos los elementos dispuestos por el
RGPD para que pueda llevarse a término).
En este caso, tampoco se ha aportado alguna resolución en la que la AEPD hubiera
valorado un supuesto similar, que tratándose de datos de categoría especial con base de
legitimación basada en el consentimiento explicito, y se analizase la superación del juicio de
necesidad y proporcionalidad de las operaciones de tratamiento de acuerdo con la finalidad
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
116/128
prescritas en el artículo 35 del RGPD. Por tanto, no se puede resolver que previamente
hubiera alguna interpretación de caso que ofreciera una confianza previsible.
Nótese, además, que la necesidad y proporcionalidad se refiere al tratamiento mismo,
relacionado con sus operaciones de tratamiento y sus fines, pero que se aplicaría también a
cualquier principio de tratamiento, y que constituye un elemento base del diseño del
tratamiento, antes del tratamiento, y también de forma continuada en el momento del
tratamiento. Su objetivo es integrar las garantías necesarias en el tratamiento a fin de
cumplir los requisitos y proteger los derechos y libertades de los interesados.
Por todo lo expuesto, esta alegación no puede ser estimada.
Alega en la propuesta el C.A. OSASUNA que no se ha analizado el riesgo que
concurre y no se puede calificar de alto riesgo el tratamiento de datos que comporta el
SBRF para los accesos a su estadio. Para ello se apoya en que utiliza un sistema de
inteligencia artificial que le proporciona su encargado DAS-GATE, consistente en la
tecnología de VERIDAS. Añade que cumple medidas de seguridad, todas ellas referidas al
vector facial, como la irreversibilidad, no interoperable y no reutilizable, e inmediatamente
revocable en caso de compromiso, quedando limitado exclusivamente al sistema y versión
que los creó y que el riesgo de acceso no autorizado al vector facial es inexistente o mínimo.
Achaca que en el expediente se valoran los riesgos de un sistema que no es el que ellos
vienen utilizando y que la propuesta explica que utilizan otro basado en mapas de puntos,
sistema que es el que aporta un riesgo alto, y que adoptó medidas adicionales en el
tratamiento y en el ciclo de vida, como la realización de una foto como prueba de vida o
cumplir requisitos para comprobar que el abonado es mayor de 14 años.
Con respecto a estas manifestaciones, se reitera que los riesgos son solo un aspecto que se
tiene en cuenta en la EIPD, y que, en este caso, no se analizaron los riesgos en el acuerdo
de inicio ni en la propuesta. La infracción imputada no tiene que ver con los riesgos.
No obstante, por haberse sacado a colación, cabe indicar sobre el análisis de riesgos que se
aporta junto con la EIPD:
El análisis de riesgos se divide en Riesgos legales, Medidas organizativas y Riesgos de
seguridad. Dentro de este último incluye la gestión de incidentes de seguridad de los datos
(brechas de datos personales), que es una obligación normativa impuesta por el artículo 33
y 34 del RGPD, no referida ni se ha de contener en la parte del análisis de riesgos de una
EIPD.
Además, se ha de partir de que los riesgos son para los derechos y libertades de los
abonados derivados del tratamiento, no para la gestión de un riesgo para la organización
derivado de un riesgo normativo. Difícilmente se adoptarán medidas adecuadas si el
enfoque de riesgos no es el previsto en el RGPD.
Las tablas se limitan a describir un riesgo y las medidas adoptadas, no entran a valorar los
potenciales escenarios de riesgos que se pueden dar, limitando en el apartado de
cumplimento a un SI que sirve para todas las medidas adoptadas. En otras, el sí, va
precedido de que la entidad dispone de una certificación. Como ejemplo, en “medidas
organizativas”, se indica que, DAS-GATE cuenta con el sistema de certificación ISO/IEC
27001 y de gestión de calidad ISO/IEC 9001. En “Medidas adoptadas” en los riesgos de
seguridad, de tabla III, reitera el ISO 27001 y que se han realizado auditorias en el mismo.
Sólo mencionar, a los meros efectos ilustrativos que las certificaciones citadas no son
certificaciones de protección de datos en el sentido del art. 42 del RGPD, sino que son
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
117/128
certificaciones de seguridad de la información o en relación con otras cuestiones u
obligaciones que tienen que cumplirse por el responsable del tratamiento en base a otra
normativa distinta de la de protección de datos. En este sentido, el informe del Gabinete
Jurídico 170/2018 de la AEPD, establece la diferencia entre la seguridad de la información y
la protección de datos de carácter personal: “Por lo tanto, no cabe duda de que la garantía
de la seguridad de los datos personales adquiere una especial trascendencia en cuanto a su
protección, pero sin que ésta se limite exclusivamente al ámbito de la seguridad de dicha
información, en cuanto que la protección de datos personales tiene un ámbito mucho más
extenso que abarca, como decíamos, a un conjunto de principios, derechos y obligaciones
mucho más amplio”.
Al respecto, se ha de indicar que estas certificaciones, además de que deberían ser, en los
términos del artículo 42 del RGPD, una certificación en materia de protección de datos y no
de seguridad de la información, no prueba de manera absoluta que las garantías suficientes
en materia de protección de datos hayan sido implementadas y estén actuando de manera
efectiva durante todo el ciclo del tratamiento.
No se expresa cuál es el riesgo en los derechos y libertades de las personas físicas, ni su
descripción y causas; no consta la probabilidad de que se produzcan y cuál es el riesgo
residual con las medidas que se pretendan implantar.
En algunas medidas de seguridad listadas en la EIPD, consta como tras describir muy
someramente el riesgo (por ejemplo, se limitan a indicar “Riesgos de seguridad”,“ Pérdida
de datos personales”), figurando que en medidas adoptadas “El diseño inteligente de la
solución provoca que sea poco propensa a este tipo de escenarios, en cuanto a que no hay
una gran base de datos centralizada”. En las mismas medidas indica también que “se puede
sufrir perdida de credenciales para el acceso físico”, pero se otorga un si en el cumplimiento,
sin detallar aspecto alguno respecto del cumplimiento.
También se indica que se realiza un (…) anual sobre la solución y en actuaciones previas
que no se aportó.
Asimismo, en ninguno de los casos se establecen medidas de reacción y contención para si
se materializa el riesgo, abordarlos, que sirva para que se ataje el mismo y se mitiguen sus
efectos.
Las medidas que adoptan las basan en el art. 32 del RGPD. Ya hemos dicho que las
medidas de protección de datos no son sólo de seguridad.
Por último, de las conclusiones en la EIPD, se indica:
“Sobre la base de las conclusiones alcanzadas en los análisis realizados a lo largo del
presente documento en relación con los distintos riesgos legales que pueden afectar a la
actividad del tratamiento examinada, así como las medidas de índole legal implementadas
por parte de OSASUNA para disminuir o mitigar dicho riesgo, se puede considerar que el
tratamiento evaluado no implicaría un alto riesgo para los derechos y libertades de los
interesados”.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
118/128
Parece desprenderse que el riesgo alto deje de serlo en aplicación de medidas legales y de
seguridad, tal y como expresan en sus alegaciones a la propuesta de resolución. Ya hemos
indicado la incorrección de esta forma de comprensión del RGPD.
De cualquier modo, hecha la EIPD, para lo cual uno de los elementos por los que se efectúa
es porque el tratamiento puede suponer un alto riesgo para los derechos y libertades de las
personas, determina con posterioridad C.A. OSASUNA en alegaciones que su tratamiento
no es de alto riesgo, tras haber realizado la misma, en cuyo contenido además no figura tal
conclusión expresa ni los motivos que ahora ha expresado.
La EIPD por su contenido y finalidad es más que el análisis de las medidas de seguridad
que inciden en la técnica de los dispositivos o en la forma en que se efectúan las distintas
operaciones de tratamiento. Y en concreto, en este caso, lo que se imputa es una infracción
por el artículo 5.1.c) que no deriva directamente de los riesgos, con independencia de que
considere C.A. OSASUNA que pueda derivarse de la valoración de los riesgos la citada
imputación.
La alegación pues, no pude ser estimada.
VIII Calificación y Tipificación de las infracciones
El artículo 83.5 RGPD señala: “Las infracciones de las disposiciones siguientes se
sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR
como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como
máximo del volumen de negocio total anual global del ejercicio financiero anterior,
optándose por la de mayor cuantía:
“a) los principios básicos para el tratamiento, incluidas las condiciones para el
consentimiento a tenor de los artículos 5, 6, 7 y 9;”
La LOPDGDD establece en su artículo 72:
“1.En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se
consideran muy graves y prescribirán a los tres años las infracciones que supongan una
vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
“a) El tratamiento de datos personales vulnerando los principios y garantías establecidos en
el artículo 5 del Reglamento (UE) 2016/679”
“e) El tratamiento de datos personales de las categorías a las que se refiere el artículo 9 del
Reglamento (UE) 2016/679, sin que concurra alguna de las circunstancias previstas en
dicho precepto y en el artículo 9 de esta ley orgánica.”
IX Determinación de las sanciones
El artículo 58.2 del RGPD, dispone lo siguiente: “Cada autoridad de control dispondrá de
todos los siguientes poderes correctivos indicados a continuación:
i) imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
119/128
medidas mencionadas en el presente apartado, según las circunstancias de cada caso
particular;”
La determinación de las sanciones que procede imponer en el presente caso exige observar
las previsiones de los artículos 83.1 y.2 del RGPD, preceptos que, respectivamente,
disponen lo siguiente:
“1. Cada autoridad de control garantizará que la imposición de las multas administrativas
con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en
los apartados 4, 9 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias.”
“2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso
individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58,
apartado 2, letras a) a h) y j). Al decidir la imposición de una multa administrativa y su
cuantía en cada caso individual se tendrá debidamente en cuenta:
a) la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza,
alcance o propósito de la operación de tratamiento de que se trate, así como el número de
interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
b) la intencionalidad o negligencia en la infracción;
c) cualquier medida tomada por el responsable o encargado del tratamiento para paliar los
daños y perjuicios sufridos por los interesados;
d) el grado de responsabilidad del responsable o del encargado del tratamiento, habida
cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos
25 y 32;
e) toda infracción anterior cometida por el responsable o el encargado del tratamiento;
f) el grado de cooperación con la autoridad de control con el fin de poner remedio a la
infracción y mitigar los posibles efectos adversos de la infracción;
g) las categorías de los datos de carácter personal afectados por la infracción;
h) la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si
el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
i) cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas
previamente contra el responsable o el encargado de que se trate en relación con el mismo
asunto, el cumplimiento de dichas medidas;
j) la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de
certificación aprobados con arreglo al artículo 42, y
k) cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como
los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a
través de la infracción.”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
120/128
Dentro de este apartado, la LOPDGDD contempla en su artículo 76, titulado “Sanciones y
medidas correctivas”:
“1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE)
2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos en el
apartado 2 del citado artículo.
2. De acuerdo a lo previsto en el artículo 83.2.k) del Reglamento (UE) 2016/679 también
podrán tenerse en cuenta:
a) El carácter continuado de la infracción.
b) La vinculación de la actividad del infractor con la realización de tratamientos de datos
personales.
c) Los beneficios obtenidos como consecuencia de la comisión de la infracción.
d) La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la
infracción.
e) La existencia de un proceso de fusión por absorción posterior a la comisión de la
infracción, que no puede imputarse a la entidad absorbente.
f) La afectación a los derechos de los menores.
g) Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
h) El sometimiento por parte del responsable o encargado, con carácter voluntario, a
mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que
existan controversias entre aquellos y cualquier interesado.
3. Será posible, complementaria o alternativamente, la adopción, cuando proceda, de las
restantes medidas correctivas a las que se refiere el artículo 83.2 del Reglamento (UE)
2016/679.”
Dado que en la propuesta se proponía a la Directora de la AEPD el archivo de la infracción
del artículo 9 del RGPD, en lo que respecta a la vulneración del principio de minimización de
datos del artículo 5.1.c) del RGPD, se acordó en el acuerdo de inicio una sanción de
200.000 euros, contemplando:
a) “La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza,
alcance o el propósito de la operación de tratamiento”. No se contempló acertadamente la
especifica finalidad del tratamiento de datos personales en relación con las necesidades a
cubrir, que constituye la naturaleza de la infracción y que abría el ámbito de afectados a
cualquier abonado de C.A. OSASUNA, estimando que el propósito del tratamiento es una
actividad básica del responsable del tratamiento, lo que supone agravante. (83.2.a RGPD).
b) Se incluye una falta grave de diligencia, dado que se disponía y así constaba
documentado que existía otro medio de tratamiento menos intrusivo y se dejó a voluntad de
los usuarios el uso de la solución, y no previó el impacto del mismo, por lo que este factor
operaría como agravante (art 83.2.b RGPD).
c) La afectación a una de las categorías especiales de datos, biométricos de identificación
unívoca, cuya necesidad de protección es en esa medida superior a la de otros datos
personales, de acuerdo con lo señalado por el Tribunal Constitucional en la sentencia
76/2019, de 22/05/2019, recurso 1405/2019, lo cual supone una agravante, de acuerdo con
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
121/128
el artículo 83.2.g) del RGPD “las categorías de los datos de carácter personal afectados por
la infracción”.
C.A. OSASUNA expresó en alegaciones al acuerdo:
- vulneración del principio de proporcionalidad de la cuantía de las sanciones, porque
se hacen menciones en los agravantes que son elementos de la propia conducta que se
pretende sancionar.
-No concurre negligencia pues el parecer de la AEPD en modo alguno resultaba
contrario al tratamiento de datos efectuado sobre la base jurídica del consentimiento de los
interesados, siendo el mismo criterio sostenido por el EDPB.
- que la conducta que conforma la infracción del artículo 5.1.c) del RGPD, solo
afectaría a los que se sumaron al sistema, no a todos los abonados, y que han pasado de
(…) en 13/03/2023, al momento en que efectúa las alegaciones, el 28/12/2023, contando
con (…) personas de alta.
- En la falta de diligencia del artículo 5.1.c) del RGPD, según el acuerdo de inicio “se
disponía y así constaba documentado que existía otro medio de tratamiento menos intrusivo
y se dejó a voluntad de los usuarios el uso de la solución, y no previó el impacto del mismo,
por lo que este factor operaría como agravante”, estima que “ dichos argumentos, negados
en todo caso por OSASUNA fueron los que, a juicio de la AEPD justifican la imposición de la
sanción, por lo que no puede ser tomado igualmente en consideración para agravarla.”
En alegaciones a la propuesta, añade:
-el tratamiento de datos de categoría especial, se debe subsumir en el agravante de la
categoría de los datos en el artículo 83.2.a) del RGPD, al entender que forma parte de las
circunstancias del tratamiento, considerando que el artículo 83.2.g) del RGPD no se
aplicaría cuando la agravante se desprende del tratamiento en su conjunto.
- relacionada con la naturaleza, gravedad y duración de la infracción del art 83.2.a) del
RGPD que menciona, ocasiona indefensión por ser incomprensible la mención a: “Si lo que
se pretende indicar es que la infracción es la de haber llevado a cabo un tratamiento que no
resultaba necesario para las finalidades que pretendían cubrirse con el mismo”, aparte de
negar esa afirmación, tal agravante consistiría en un supuesto incumplimiento del principio
de necesidad, conducta que se incluye en el propio tipo, contrario a los principios del
derecho sancionador
- Sobre la referencia a que el potencial impacto del tratamiento sobre la totalidad de
abonados de OSASUNA, contenida en la propuesta, en la explicación del 83.2.a) del RGPD
de “si no se para puede afectar a más abonados”, carece de sentido, es imposible, ya que
desde la temporada 2024/2025 no está tratando los datos con el SBRF.
- Sobre el agravante del artículo 83.2.b) del RGPD, señala OSASUNA que se contestó en
la propuesta de manera incompresible, y que se si se trata de considerar negligencia grave
el hecho de permitir que el tratamiento se llevase a cabo sobre la base del consentimiento y
la libre decisión de los interesados, dicha interpretación no sería negligente ni artificiosa,
pues estima que no se siguen los criterios derivados de los documentos del EDPB y del GT
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
122/128
29. Considera que dichos hechos no pueden agravar la responsabilidad de OSASUNA, sino
que debería excluirla.
Según el artículo 83.1 del RGPD, se garantizará que la imposición de las multas
administrativas, sean en cada caso “individual, efectivas, proporcionadas y disuasorias”, y a
tenor del apartado 2 del mismo artículo 83, “se impondrán en función de las circunstancias
de cada caso individual” y al decidir su cuantía se tendrán en cuenta las circunstancias que
en dicho precepto se señalan, así como también, de acuerdo con lo previsto en el artículo
83.2.k) del RGPD, las establecidas en el artículo 76.2 de la LOPDGD.
Como señalan las SSTS, Sala 3ª, de 3/12/2008 (Rec. 6602/2004) y 12/04/2012 (Rec.
5149/2009) el principio de proporcionalidad es el fundamental que late y preside el proceso
de graduación de las sanciones e implica, en términos legales, que debe de existir una
" debida adecuación entre la gravedad del hecho constitutivo de la infracción y la sanción
aplicada ", como dispone el artículo 29.3 de la Ley 40/2015, de Régimen Jurídico del Sector
Público. Se trata de la debida ponderación entre las circunstancias concurrentes al objeto de
alcanzar la necesaria y debida proporción entre los hechos imputados y la responsabilidad
exigida, dado que toda sanción debe determinar en congruencia con la entidad de la
infracción cometida y según un criterio de proporcionalidad en relación con las
circunstancias del hecho. De modo que la proporcionalidad constituye un principio normativo
que se impone a la Administración y que reduce el ámbito de sus potestades sancionadoras.
En cuanto a las consideraciones de la agravante del artículo 83.2.a) del RGPD, el propósito
de la operación de tratamiento en relación con el alcance de potenciales afectados cubría el
total de socios abonados de la entidad, cifrado en unos 19.000 socios abonados del C.A.
OSASUNA, según datos públicos por su web, a fecha de las segundas alegaciones el
número de personas registrados en el SBRF había ascendió hasta (…), momento en que
continuaba efectuando el citado tratamiento, dado que la cifra dada anteriormente era de
(…) personas abonadas. El propósito estaba relacionado con los accesos a un espectáculo
público. Este tratamiento incluye variadas operaciones de tratamiento o un conjunto de
operaciones en diversas fases con tratamientos periódicos durante toda la temporada v y
guardándose para su uso en la siguiente.
Aunque no alcanzara al potencial máximo de personas abonadas, en unos dos años desde
su implantación, ha ascendido a casi un 10% de las personas abonadas, lo cual es una cifra
significativa que se ha de relacionar con la especial naturaleza que representa el tratamiento
de estos datos.
Sobre la subsunción de la circunstancia contemplada en el artículo 83.2 g) que según C.A.
OSASUNA, estos datos de categoría especial abarcan al tratamiento en su conjunto para
considerar que se ha de integrar en el artículo 83.2.a) del RGPD, por formar parte de las
circunstancias del tratamiento. Al efecto, se ha de indicar, que este sentido amplio de los
elementos que contempla el artículo 83, permitiría si se aceptara tal tesis, que se integrasen
en dicho artículo otros elementos diferenciados. No obstante, se estima que esta categoría
de datos incide específicamente en la conducta, de manera concreta y diferenciada a como
lo hacen los elementos que se contienen en el artículo 83.2.a), y son de distinto carácter, por
lo que no se puede integrar en el artículo 83.2.a) del RGPD. Además, teniendo en
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
123/128
consideración que, una vez archivado el artículo 9.1 del RGPD, los datos de categoría
especial no se pueden considerar que están incluidos en el tipo del artículo 5.1.c) del RGPD
en ningún caso (antes tampoco). Y ello, teniendo asimismo en consideración que no toda
EIPD está ligada al tratamiento de categorías especiales de datos personales, que no toda
falta de superación de la evaluación de la necesidad y proporcionalidad del tratamiento está
ligado al tratamiento de datos biométricos. En el supuesto examinado, al estar dichos datos
directamente relacionados con falta de superación de la evaluación de la necesidad y
proporcionalidad del tratamiento tienen que ser considerados necesariamente en los
términos del art. 83 del RGPD.
Sobre la falta de diligencia que se indica en el artículo 83.2 b) del RGPD por las causas que
se han señalado, son elementos distintos la base legitimadora del principio de minimización
de datos, por cuanto se puede contar con base jurídica legitimadora y con excepción que
levante la prohibición del art. 9.2 del RGPD, pero carecer de necesidad para tratar los
citados datos. Igualmente, aunque resulte que se niegue el hecho de la infracción, no por
ello se puede dejar de contemplar la concurrencia de esta circunstancia en la conducta
señalada, siendo un hecho que en la documentación de la EIPD se reconocía que había
medios menos intrusivos para el tratamiento, que contribuyen a remarcar la citada falta de
diligencia.
En cuanto a la falta de culpabilidad y derivado de ella, de las circunstancias que se anotan
en el artículo 83.2.b), ya se respondió en el correspondiente apartado que no concurre tal
quebrantamiento de la confianza, por la diferenciación entre el cumplimiento de los
requisitos de la licitud para el tratamiento de datos y el cumplimiento de los principios del
tratamiento, que aunque son acumulativos, han de cumplirse en su justa medida cada uno,
contando con circunstancias cada uno suficientemente diferenciadas jurídicamente.
Sobre la referencia respecto al artículo 83.2.b) del RGPD, a que concurre una falta grave de
diligencia, dado que se disponía y así constaba documentado que existía otro medio de
tratamiento menos intrusivo y se dejó a voluntad de los usuarios el uso de la solución, y no
previó el impacto del mismo, por lo que este factor operaría como agravante (art 83.2.b
RGPD), se entiende que aunque no sea intencional la acción es muestra de una grave falta
de diligencia, sin alcanzar a valorar lo que en el fondo venía a significar que era que el juicio
de necesidad del tratamiento se trasladaba a libre disposición de los usuarios.
Se debe señalar además que la conducta que propicia la infracción consta de diversos
análisis desde la EIPD con una consciente fundamentación jurídica puesta de manifiesto a
título de ejemplo, que reconocía no solo los riesgos de todo tratamiento de este tipo, sino
que la identificación univoca de las personas abonadas era más invasiva y reiterando en
varias ocasiones que el uso era voluntario y complementario, siendo alternativo, como bases
que contribuían a la necesidad.
Sobre este mismo artículo, la alegación de que existía confianza en que el tratamiento podía
acometerse con la base legitimadora del consentimiento, estimando razonable esta
interpretación, ya se ha señalado la diferenciación de niveles y requisitos acumulativos de
principios y base legitimadora sin que uno pueda suplir al otro, siendo distintas sus
formulaciones jurídicas de cumplimiento. En tal sentido, el conjunto de tales elementos
revelaría una falta de diligencia en el cumplimiento del análisis de intrusión del tratamiento
llevado a cabo.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
124/128
Como consecuencia con los elementos que se disponen, se cuantifica la sanción en 200.000
euros.
X Poderes correctivos
El artículo 58.2 del RGPD dispone lo siguiente: “Cada autoridad de control dispondrá de
todos los siguientes poderes correctivos indicados a continuación:
“d) ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento
se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una
determinada manera y dentro de un plazo especificado;”
f) imponer una limitación temporal o definitiva del tratamiento, incluida su prohibición;
[…]”
i) imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las
medidas mencionadas en el presente apartado, según las circunstancias de cada caso
particular;”
La imposición de estas medidas es compatible entre sí y con la sanción consistente en multa
administrativa, según lo dispuesto en el art. 83.2 del RGPD.
C.A. OSASUNA dejará de utilizar el sistema de reconocimiento facial para accesos al
estadio basado en el consentimiento de los usuarios, y que se impuso como medida cautelar
en la parte dispositiva del acuerdo de inicio.
El artículo 69 de la LOPDGDD, señala:
“1. Durante la realización de las actuaciones previas de investigación o iniciado un
procedimiento para el ejercicio de la potestad sancionadora, la Agencia Española de
Protección de Datos podrá acordar motivadamente las medidas provisionales necesarias y
proporcionadas para salvaguardar el derecho fundamental a la protección de datos y, en
especial, las previstas en el artículo 66.1 del Reglamento (UE) 2016/679, el bloqueo cautelar
de los datos y la obligación inmediata de atender el derecho solicitado.
2. En los casos en que la Agencia Española de Protección de Datos considere que la
continuación del tratamiento de los datos personales, su comunicación o transferencia
internacional comportará un menoscabo grave del derecho a la protección de datos
personales podrá ordenar a los responsables o encargados de los tratamientos el bloqueo
de los datos y la cesación de su tratamiento y, en caso de incumplirse por estos dichos
mandatos, proceder a su inmovilización.”
El Preámbulo de la LOPDGDD señala: “La protección de las personas físicas en relación
con el tratamiento de datos personales es un derecho fundamental protegido por el artículo
18.4 de la Constitución española. De esta manera, nuestra Constitución fue pionera en el
reconocimiento del derecho fundamental a la protección de datos personales cuando
dispuso que «la ley limitará el uso de la informática para garantizar el honor y la intimidad
personal y familiar de los ciudadanos y el pleno ejercicio de sus derechos». Se hacía así eco
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
125/128
de los trabajos desarrollados desde finales de la década de 1960 en el Consejo de Europa y
de las pocas disposiciones legales adoptadas en países de nuestro entorno. El Tribunal
Constitucional señaló en su Sentencia 94/1998, de 4 de 5, que nos encontramos ante un
derecho fundamental a la protección de datos por el que se garantiza a la persona el control
sobre sus datos, cualesquiera datos personales, y sobre su uso y destino, para evitar el
tráfico ilícito de los mismos o lesivo para la dignidad y los derechos de los afectados; de esta
forma, el derecho a la protección de datos se configura como una facultad del ciudadano
para oponerse a que determinados datos personales sean usados para fines distintos a
aquel que justificó su obtención. Por su parte, en la Sentencia 292/2000, de 30 de
noviembre, lo considera como un derecho autónomo e independiente que consiste en un
poder de disposición y de control sobre los datos personales que faculta a la persona para
decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o
cuáles puede este tercero recabar, y que también permite al individuo saber quién posee
esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. (…). Por otra
parte, también se recoge en el artículo 8 de la Carta de los Derechos Fundamentales de la
Unión Europea y en el artículo 16.1 del Tratado de Funcionamiento de la Unión Europea.
Anteriormente, a nivel europeo, se había adoptado la Directiva 95/46/CE citada, cuyo objeto
era procurar que la garantía del derecho a la protección de datos personales no supusiese
un obstáculo a la libre circulación de los datos en el seno de la Unión, estableciendo así un
espacio común de garantía del derecho que, al propio tiempo, asegurase que en caso de
transferencia internacional de los datos, su tratamiento en el país de destino estuviese
protegido por salvaguardas adecuadas a las previstas en la propia directiva”.
El artículo 56 de la LPACAP, en cuanto resulte de aplicación, señala lo siguiente:
“1. Iniciado el procedimiento, el órgano administrativo competente para resolver, podrá
adoptar, de oficio o a instancia de parte y de forma motivada, las medidas provisionales que
estime oportunas para asegurar la eficacia de la resolución que pudiera recaer, si existiesen
elementos de juicio suficientes para ello, de acuerdo con los principios de proporcionalidad,
efectividad y menor onerosidad.
…
3. De acuerdo con lo previsto en los dos apartados anteriores, podrán acordarse las
siguientes medidas provisionales, en los términos previstos en la Ley 1/2000, de 7/01, de
Enjuiciamiento Civil:
a) Suspensión temporal de actividades.
b) Prestación de fianzas.
c) Retirada o intervención de bienes productivos o suspensión temporal de servicios por
razones de sanidad, higiene o seguridad, el cierre temporal del establecimiento por estas u
otras causas previstas en la normativa reguladora aplicable.
d) Embargo preventivo de bienes, rentas y cosas fungibles computables en metálico por
aplicación de precios ciertos.
e) El depósito, retención o inmovilización de cosa mueble.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
126/128
f) La intervención y depósito de ingresos obtenidos mediante una actividad que se
considere ilícita y cuya prohibición o cesación se pretenda.
g) Consignación o constitución de depósito de las cantidades que se reclamen.
h) La retención de ingresos a cuenta que deban abonar las Administraciones Públicas.
i) Aquellas otras medidas que, para la protección de los derechos de los interesados,
prevean expresamente las leyes, o que se estimen necesarias para asegurar la efectividad
de la resolución.
4. No se podrán adoptar medidas provisionales que puedan causar perjuicio de difícil o
imposible reparación a los interesados o que impliquen violación de derechos amparados
por las leyes.
5. Las medidas provisionales podrán ser alzadas o modificadas durante la tramitación del
procedimiento, de oficio o a instancia de parte, en virtud de circunstancias sobrevenidas o
que no pudieron ser tenidas en cuenta en el momento de su adopción. En todo caso, se
extinguirán cuando surta efectos la resolución administrativa que ponga fin al procedimiento
correspondiente”.
En el tratamiento de datos analizado, se apreció al momento de iniciar el procedimiento que
de forma indubitada representaba un alto riesgo para para los derechos y libertades de un
alto número de los afectados, como la pérdida de control y disposición de sus datos
personales o el uso de los datos personales que no resultan evidentemente necesarios para
acceder al estadio. Aunque se englobe a mayores de 14 años, que pueden consentir el
tratamiento, no es probable que comprendan las implicaciones que conllevan el uso y los
riesgos de uso de un sistema que utiliza el propio cuerpo como identificador. Junto a ello,
había indicios y evidencias constatadas que recomendaron no continuar con el citado
tratamiento que implica a categorías especiales de datos personales.
La continuación del tratamiento, del que existen evidencias de que no ha superado el triple
juicio de proporcionalidad y por ende la no superación de la EIPD podría comportar un
menoscabo muy grave e irreparable para los derechos de esos usuarios. La suspensión
temporal del tratamiento era la única medida susceptible de ser adoptada para salvaguardar
el Derecho Fundamental a la Protección de Datos, resultando ser, además, la menos lesiva,
onerosa, proporcional y efectiva, para C.A. OSASUNA.
Desde estas premisas y a fin de garantizar los derechos y libertades de los afectados, se
estima procedente elevar a definitiva aquella suspensión temporal que evite la continuación
del tratamiento de los datos personales a través del sistema de reconocimiento facial para el
acceso al estadio El Sadar, instando su prohibición.
Esta medida no impediría al C.A. OSASUNA seguir controlando la entrada de forma correcta
y legal con los otros sistemas que está utilizando, ni a los aficionados les supondría la
pérdida del servicio, ya que se puede seguir accediendo al estadio con normalidad pues es
un sistema “complementario” o “alternativo” al del SBRF, tal y como afirma continuamente
C.A. OSASUNA.
Conforme dispone el art 83.2 del RGPD y el artículo 76.3 de la LOPDGDD arriba transcritos,
se considera necesario, proporcional, y efectivo para garantizar los derechos y libertades en
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
127/128
liza de los afectados y de menor onerosidad para C.A.OSASUNA, imponer a título adicional,
la elevación a definitiva de la suspensión, de acuerdo con lo dispuesto en el art. 69 de la
LOPDGDD.
Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación
de las sanciones cuya existencia ha quedado acreditada,
la Directora de la Agencia Española de Protección de Datos
RESUELVE:
PRIMERO: ARCHIVAR la infracción del artículo 9 del RGPD, imputada a CLUB ATLÉTICO
OSASUNA con NIF G31080179, de conformidad con el artículo 83.5 a) del RGPD, y
calificada como muy grave a los solos efectos de la prescripción de dicha infracción, en el
artículo 72.1.e) de la LOPDGDD.
SEGUNDO: IMPONER a CLUB ATLÉTICO OSASUNA, con NIF G31080179, por una
infracción del artículo 5.1.c) del RGPD, de conformidad con el artículo 83.5 a) del RGPD, y
calificada como muy grave a los solos efectos de la prescripción de dicha infracción, en el
artículo 72.1.a) de la LOPDGDD, una sanción de multa de 200.000 euros,
TERCERO: Sobre la suspensión temporal incluida como medida provisional en el acuerdo
de inicio, en virtud del artículo 58.2.f) del RGPD, se eleva a definitiva, instando la prohibición
del tratamiento para el acceso al estadio El Sadar con el SBRF y la supresión de los
registros utilizados para el funcionamiento del mismo desde que la resolución sea ejecutiva,
para salvaguardar el derecho fundamental de las (…) personas abonadas de alta en el
sistema a 28/12/2023, y en tal sentido lo certifique el C.A. OSASUNA.
CUARTO: NOTIFICAR la presente resolución a CLUB ATLÉTICO OSASUNA.
QUINTO: Esta resolución será ejecutiva una vez finalice el plazo para interponer el recurso
potestativo de reposición (un mes a contar desde el día siguiente a la notificación de esta
resolución) sin que el interesado haya hecho uso de esta facultad. Se advierte al sancionado
que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea
ejecutiva, de conformidad con lo dispuesto en el art. 98.1.b) de la LPACAP en el plazo de
pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado
por Real Decreto 939/2005, de 29/07, en relación con el art. 62 de la Ley 58/2003, de 17/12,
mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que
figura en el encabezamiento de este documento, en la cuenta restringida nº IBAN: ES00-
0000-0000-0000-0000-0000 (BIC/Código SWIFT: CAIXESBBXXX), abierta a nombre de la
Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En
caso contrario, se procederá a su recaudación en período ejecutivo.
Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los
días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será
hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días
16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo
mes siguiente o inmediato hábil posterior.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
128/128
De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución
se hará pública una vez haya sido notificada a los interesados.
Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la
LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los
interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de
la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día
siguiente a la notificación de esta resolución o directamente recurso contencioso
administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con
arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta
de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa,
en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto,
según lo previsto en el artículo 46.1 de la referida Ley.
Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la LPACAP, se podrá
suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta
su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el
interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia
Española de Protección de Datos, presentándolo a través del Registro Electrónico de la
Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los
restantes registros previstos en el art. 16.4 de la citada LPACAP. También deberá trasladar a
la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-
administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso
contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación
de la presente resolución, daría por finalizada la suspensión cautelar.
938-16012024
Mar España Martí
Directora de la Agencia Española de Protección de Datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es