Üye Güncellemesinde Biyometrik Veri Etki Değerlendirmesi

1/139

 Expediente N.º: EXP202305134

RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR

Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes

ANTECEDENTES

PRIMERO: Presentación de la primera reclamación
Con fecha 21/04/2023, tiene entrada en la Agencia Española de Protección de Datos
una primera reclamación de RECLAMANTE 1 (R1 en lo sucesivo, VER ANEXO
GENERAL). La reclamación se dirige contra FÚTBOL CLUB BARCELONA (FCB) con
NIF G08266298 (en adelante, FCB) al que pertenece como socio. Los motivos en que
basa la reclamación son los siguientes:
El FCB ha iniciado una campaña para actualizar los datos del censo de personas
asociadas, que según se indica en la página web del Club, obligatoria, de acuerdo con
los Estatutos de la entidad y debe estar realizada antes del 30/06/2023. Recibió, a tal
efecto, un correo electrónico, que contiene un enlace al que accedió para iniciar el
proceso. Relata que:
“Una vez iniciado el mismo, se señala, en cuanto a la finalidad, que el uso de datos
biométricos se realizará solo si se otorga el consentimiento para ello (de hecho hay
una casilla en la que se solicita la autorización para la grabación de la voz), sin
embargo una vez iniciado el trámite y a pesar de indicarse que se va a solicitar la
realización de una simple foto del rostro (selfie) se solicita mover la cabeza hacia
arriba y hacia abajo (y tras esto supongo que de derecha a izquierda) lo que
constituye la toma de datos biométricos relativas al rostro respecto de las cuales no se
ha solicitado consentimiento expreso y es necesario para acabar el proceso de
actualización del censo. Considero que la obtención de datos biométricos para la
actualización de un censo de un Club deportivo no responde a la finalidad para las que
se piden los datos, pero es que, además, en este caso no se permite realizar el trámite
sin proporcionar los datos biométricos del rostro con lo que, solicito, inicien las
actuaciones necesarias tendentes a que el FC Barcelona para que modifique el
procedimiento de actualización del censo sin necesidad de tener que proporcionar, sin
consentimiento expreso, datos biométricos del rostro”
Aporta:
1-Captura de pantalla del apartado de la web del Club, donde se informa; “Qué es el
censo de socios y socias: La actualización de datos es una obligación estatutaria que
hace posible regularizar el censo de socios y socias del Club
El censo es un registro de todos los socios y socias que forman parte de la entidad y
que recoge los datos personales necesarios para el Club.
Tal y como marcan los estatutos del Fútbol Club Barcelona debe:
Facilitar una dirección u otros datos para la entrega de las Comunicaciones del Club y
notificar debidamente los cambios de domicilio.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

2/139

Facilitar la cuenta corriente de una entidad de crédito, a donde puedan cargarse las
cuotas o aportaciones del socio o socia, o abonadas las entregas que les haga el
Club.
Ejecutar los tramites de actualización del censo electoral que promueva el Club, ya
sea requiriendo la presencia del socio o socia o aportando los datos requeridos”.

2-captura de pantalla: “nuevo censo socios y socias 2023 Más digital, más personal
Crea ahora tu perfil digital BARÇA, y accede a mejores servicios”, con la siguiente
información:

“Crea tu perfil digital
Es un proceso ágil, muy sencillo, 100% digital.
¿Quién puede crear su perfil?
Los socios y socias que sean mayores de edad deben realizar todo el proceso. Mas
adelante se abrirá el acceso a los socios y socias menores de edad, momento en el
que el Club informará del procedimiento que estos tendrán que seguir.
¿Qué necesitaras?
Un dispositivo electrónico como un ordenador, Tablet, o móvil con cámara y micrófono
incorporado.
Tu DNI, NIE o pasaporte a mano. Ubícate en un lugar con buena iluminación, evita
reflejos y ruidos de fondo”. “Solo tardarás unos minutos.”
Explica 8 pasos:
“1-a través de la web del Club o APP socios, hay que dirigirse a “Nuevo censo de
socios y socias” y acceder con tu clave y código personal (PIN).
2- ir al apartado de “trámites nuevo censo socios y socios”.
3- selecciona el País y el tipo de documento oficial de identidad.
4-muestra tu documento oficial de identidad a la cámara y se escaneará
automáticamente.
5- Hazte una foto selfie.
6 -Y graba tu voz durante 5 segundos.
7- por último, entrar en el formulario de datos, complétalo y verifica tu perfil Barça.
8- el proceso terminará con la certificación que se ha completado de forma correcta”.

3-Una hoja parcial del proceso, en la que se puede ver: “Ahora un selfie” para seguir
las instrucciones del movimiento de 1. “encaja la cara en el marco y espera la cuenta
atrás. 2 Mueve la cabeza lentamente en la dirección que te indiquen las flechas. 3
cuando la pantalla te indique que lo has hecho correctamente, vuelve a mirar al
centro”, y debajo la pestaña “comenzar el proceso”.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

3/139

4-Captura de pantalla de “nou cens socis I socies 2023. Bienvenidos al nuevo censo
de socios y socias del FC Barcelona”. Figura el ofrecimiento de contactos para
cualquier duda y un párrafo de “información de protección de datos” con el FCB como
responsable, y:
“Finalidades: gestión, relación e identificación con el socio o socia. Trámites y
gestiones sobre el abono. Derecho de uso del asiento, uso de datos biométricos para
contactos con el Club y para la autenticación del socio o socia e identificación para el
acceso a las instalaciones del Club en caso de consentimiento expreso del socio o
socia, envío de comunicaciones relativas al Fútbol Club Barcelona, envío electrónico
de información comercial del Fútbol Club Barcelona, y/o entidades vinculadas/ filiales,
así como de sus patrocinadores o colaboradores.
Derechos: puede oponerse al envío de comunicaciones comerciales y ejercer su
derecho de acceso, rectificación, supresión, portabilidad y limitación”, figurando un e
mail, y más información en un enlace.
Le siguen dos casillas para poner la x.
La primera, “acepto la Política de Privacidad”, con un link si se clica
La segunda “Acepto la grabación, registro y uso de mi voz como dato biométrico de
acuerdo con la Política de Privacidad que he aceptado.”
No se aporta documento alguno que contenga la visual de la “Política de privacidad”
referida.

SEGUNDO: Traslado de la reclamación
De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5/12, de Protección
de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), el
21/04/2023 se dio traslado de dicha reclamación a FCB, para que procediese a su
análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a
cabo para adecuarse a los requisitos previstos en la normativa de protección de datos.
El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de
1/10, del Procedimiento Administrativo Común de las Administraciones Públicas (en
adelante, LPACAP), fue recogido en fecha 21/04/2023.
Con fecha 22/05/2023, se recibe en esta Agencia escrito de respuesta al traslado y a
la información requerida, indicando:

1-Como antecedentes, FCB refiere:
1) las particularidades del FCB,
2) el proceso de digitalización, y
3) la aplicación de la comparación facial utilizada
FCB indica que es una asociación deportiva de personas físicas, de carácter privado y
sin ánimo de lucro con personalidad jurídica propia y capacidad de obrar cuya
propiedad corresponde a sus socios/as, cuya condición es personal e intransferible.
“En el FCB, ello tiene una especial relevancia por ser las socios/as quiénes deciden
sobre el funcionamiento del Club y eligen democráticamente a la Junta Directiva y
los/las que, por medio de sus compromisarios, aceptan las propuestas de la Junta.”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

4/139

Adicionalmente, los socios pueden ostentar también la condición de abonados que les
confiere el derecho de uso temporal de determinadas localidades en el estadio
“Spotify Camp Nou”. Estos abonos son renovables de forma automática cada
temporada.
“Dada la problemática del Club de la limitación de localidades del estadio que no tiene
suficiente capacidad de localidades para satisfacer el interés de los aficionados y
socios de disponer de abonos para asistir a los partidos, el FCB conocedor de la tal
limitación, trata de adoptar medidas posibles para paliar determinadas prácticas de
cesión ilegítima de carnets de socios/as juntamente con carnets de abonado a
terceros. Como, por ejemplo:
Es práctica habitual que cuando fallece un socio/a, no se comunica al Club y así, sus
familiares pueden seguir utilizando el mencionado carnet, así como el carnet de
abonado en caso de disponer de uno, incluido el asiento asignado y disfrutando de
forma irregular de los beneficios que lleva aparejado el título de socio/a y el de carnet
de abonado.

Otra de las prácticas fraudulentas consiste en la cesión del carnet de socio y de
abonado a un tercero totalmente ajeno al FCB, de forma onerosa para que, sin tener
la condición de socios/as o ninguna vinculación con el Club, utilice ilegítimamente el
carnet del cesionario, incluso haga negocio con el mismo, conducta prohibida por los
Estatutos que rigen la entidad y tipificada como infracción.

Esas circunstancias implican que sea de vital importancia disponer de un censo
actualizado veraz y fidedigno que evite el uso fraudulento tanto de los carnets de
socios/as, como de los carnets de abono por parte de terceros que no son sus titulares
reales”.
“Teniendo en cuenta las particularidades de la condición de socios/as del FCB, y la
importancia para su buen funcionamiento, el 21/06/2022, la Junta Directiva aprobó
actualizar el censo de socios y socias al considerar que un censo renovado es crucial
para garantizar que los datos de los mismos se corresponden fehacientemente con la
realidad, pues entre otras circunstancias, son los que avalan la representatividad
democrática de los órganos de gobierno y toman las decisiones por medio de sus
compromisarios, así como quienes pueden interactuar económicamente con el FCB.
Resaltar que la veracidad de los datos y el mantenerlos actualizados es un deber de
todos las socios/as del FCB, siendo una obligación que se encuentra recogida en los
Estatutos del Club. “
“A la hora de llevar a cabo este proceso de actualización del censo, cobra especial
importancia, la elección y uso de un sistema que permita una “autenticación real del
socio o socia, con tal de verificar que efectivamente es quien dice ser. En
consecuencia, a la hora de valorar cuál era el sistema de tratamiento idóneo para
llevarlo a cabo, el FCB ha tenido que tomar en cuenta estas circunstancias y escoger
aquel mecanismo que le permitirá autenticar al interesado con mayor seguridad y
certeza. Además, se buscaba un sistema que no implicara necesariamente la
presencia física de los socios en las instalaciones del FCB teniendo en cuenta la
dispersión geográfica y no causar perjuicios de que las socios/as se tuvieran que
desplazar.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

5/139

Aprovechando la actualización del censo de socios/as, el FCB ha iniciado una apuesta
digital para, entre otras cosas, facilitar los trámites y, a su vez, dada la relevancia de
sus funciones, garantizar un mejor proceso de autenticación, que sea seguro y que
permita y ayude a evitar posibles fraudes y suplantaciones de la identidad de los
socios/as.
Para el último proceso de actualización del censo de socios/as, se optó por un sistema
online por medio de formularios solo para socios/as de fuera de la ciudad de
Barcelona, generando quejas de los socios locales por obligarles a ellos a realizar el
trámite presencial con lo que esta circunstancia se ha tenido en cuenta a la hora de
escoger el sistema de actualización, pretendiendo evitar el agravio comparativo.”
“Uno de los principales motivos y objetivos de la digitalización del proceso de
actualización del censo, es, teniendo en cuenta el volumen de socios y socias
(143.000) y su dispersión geográfica, permitir que los socios y socias que lo deseen
puedan actualizar sus datos personales sin necesidad de desplazarse a las
instalaciones del Club.
En la comunicación dirigida a los socios y socias, si bien es cierto que el FCB ha
priorizado el proceso digital por considerarlo más idóneo y cómodo, tanto para los
socios y socias como para el Club, en ningún momento se ha obligado a utilizar esta
vía de regularización, pudiendo aquellos socios y socias que lo deseen, por no
disponer de los medios o por no estar familiarizados con los entornos digitales, acudir
a las instalaciones del Club y contactar con el FCB para realizar el trámite
presencialmente en sus oficinas. De hecho, así lo han hecho algunos de ellos.

Para este proceso digital se ha optado por un sistema de comparación facial, por
medio del cual se comparan dos imágenes de una misma persona en tiempo real, una
fotografía tomada de la imagen de un documento de confianza, como puede ser la
fotografía contenida en el DNI o el pasaporte, que se compara con una fotografía en
tiempo real de la persona. Esto permite la autenticación real del individuo para
confirmar que es la misma persona que aparece en las dos imágenes y garantizar que
es la que se pone tras la cámara y se hace la fotografía en tiempo real, evitando así
que pueda ser otro individuo el que simplemente suba dos fotografías de otra
persona.“
Asimismo, a los socios y socias, “el sistema les solicita que durante el proceso la
persona mueva la cara de un lado a otro únicamente como mecanismo para dar fe de
vida y demostrar su presencia, evitando así que la imagen real sea suplantada por
otra fotografía del titular del DNI que podría adjuntar otra persona.
Una vez se ha realizado la comparación, la fotografía del DNI se elimina, y únicamente
se conserva la imagen tomada en tiempo real como fotografía actualizada del socio o
socia, pero sin ningún vector biométrico. Es decir, en ningún momento se registran
datos biométricos en las bases de datos del FCB, limitándose la comparación
estrictamente al momento del cotejo facial de ambas imágenes. De este modo, el
sistema permite autenticar y confrontar una imagen proporcionada por el socio o socia
con otra que se toma en ese mismo momento, sin la necesidad de registrar sus datos
biométricos faciales, por lo que no es posible volver a utilizar los rasgos faciales
utilizados para comparar las imágenes”.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

6/139

2-Sobre la base jurídica que legitima el tratamiento del sistema biométrico de
reconocimiento facial, SBRF, manifiesta FCB que es el artículo 6.1.b) del RGPD: “el
tratamiento es necesario para la ejecución de un contrato en el que el interesado es
parte”, derivado de la “obligación que tienen los socios/as del FCB, según el artículo
11.8 de los Estatutos del Club, les obliga a ejecutar los trámites de actualización del
censo electoral que promueva el Club” “ya sea requiriendo la presencia del socio o
aportando los datos requeridos”.
“Para concluir que los rasgos faciales obtenidos durante el proceso de comparación
facial no tienen la calificación de datos biométricos a tenor de lo estipulado en el
RGPD, se ha basado en lo establecido en los artículos 4.14, 9.1 y en el considerando
51 del RGPD, y en los distintos informes y documentos con recomendaciones
publicados por los organismos de control de Protección de Datos, en concreto:
Sobre las distinciones entre identificación unívoca y verificación, el informe del
Gabinete Jurídico de la AEPD núm. 36/2020, el Dictamen 3/2012 del GT 29 de
la evolución de las tecnologías biométricas, y el Libro Blanco sobre la
inteligencia artificial de la Comisión Europea.”

“En este sentido, nos encontramos que el sistema de comparación facial
utilizado por FCB está destinado a autenticar a sus socios/as al comparar una
imagen estática (fotografía del DNI) con otra imagen selfi que se realizan los
socios/as en tiempo real y movimiento, sin que en ningún momento ello
implique la realización de una comparación unívoca del socio o socia con una
base de datos de un grupo”.
“El sistema de comparación parcial utilizado por el FCB, al basarse en un
sistema de simple autenticación (uno a uno) que no genera una base de datos
biométrica de socios y socias del Club, considera que el tratamiento no tendría
la consideración de categoría especial de datos y no precisando el
consentimiento de los interesados. Todo ello, considerando, además, que en
ningún momento se obliga a la utilización de los sistemas de comprobación
facial, aunque por cuestiones logísticas y operativas si se haya priorizado.”

3-En cuanto a las garantías para la protección de los derechos y libertades de las
personas, respondió FCB que:
-Tiene un protocolo de cumplimiento del RGPD y de la LOPDGDD que le permite
realizar un seguimiento continuo.
-Disponen de un organigrama interno compuesto por profesionales relacionados con la
privacidad y protección de datos, un despacho externo de abogados, encargados de la
verificación continua del cumplimiento, que realiza anualmente una auditoría global de
los tratamientos realizados.
-DPD externo con más de 20 años de experiencia en privacidad y protección de datos.
-Departamento interno de IT que velan por la seguridad de los sistemas donde se
llevan a cabo los tratamientos de datos personales.
-Empresa de seguridad y ciberseguridad externa, que apoyan al departamento de IT y
auditan los sistemas.
-Los representantes de estas áreas y entidades conforman una “Comisión Operativa
de protección de Datos”, “liderada por el DPD” que se reúne regularmente para
analizar los puntos relacionados con los tratamientos de datos personales llevados a
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

7/139

cabo por el FCB, se plantean mejoras y se exponen posibles nuevos tratamientos de
datos para su posterior valoración.

Por otro lado, expone las acciones que han realizado para garantizar y cumplir con la
normativa de protección de datos:
-Registro de Actividades del Tratamiento (RAT)
-Se ha realizado una valoración de riesgos de los tratamientos de datos, y cuando se
ha precisado o detectado la necesidad en la valoración de riesgos, las
correspondientes evaluaciones de impacto de determinados tratamientos.
-Se dispone de una política de privacidad general sobre el tratamiento de protección
de datos de los distintos interesados respecto a los que el FCB puede tratar datos
personales.
-Si un proveedor trata datos personales, un servicio externo valora si cumple las
garantías para actuar como encargados, y junto con el departamento de IT, valoran las
medidas de seguridad aportadas por dichos proveedores para garantizar la seguridad
de los datos a los que puedan acceder.

-protocolo de seguridad que vela por el cumplimiento de todas las medidas de
seguridad, gestionado por el departamento de IT interno y una empresa se seguridad
informática y ciberseguridad externa.
-Se dispone de un protocolo de gestión de brechas de seguridad.
-Se han llevado a cabo procesos de formación en protección de datos para los
empleados que traten datos de carácter personal.
-Disponen de un sistema de atención de las solicitudes de ejercicio de derechos.

4- Sobre la EIPD realizada o motivos por los que no se ha realizado, FCB respondió
que: “Una vez tomada la decisión de optar por el sistema de comparación facial, al
demostrase, a nuestro entender, que era el más eficiente, seguro y cómodo para
nuestros socios y socias, antes de poner en marcha el servicio se ha realizado un
doble análisis.
Por un lado, se ha realizado una VALORACIÓN DE RIESGOS para determinar, en
base a sus conclusiones, si se debe realizar una EVALUACIÓN DE IMPACTO (EIPD)
o no, y valorar los riesgos del tratamiento y, al concluir que no era necesaria, se ha
estimado necesario realizar un análisis para determinar si el sistema es
PROPORCIONAL.”
Manifiesta FCB, que para valorar la necesidad o no de realizar la EIPD, ha realizado
un triple análisis.
“En un primer nivel, el tratamiento “objeto de la valoración”, no está incluido en
la lista del RGPD, artículo 35.4 y 35.5 del RGPD.
En un segundo, tampoco tiene entre su finalidad la monitorización o evaluación
sistemática de aspectos personales, ni tratamiento a gran escala.
En un tercer nivel, de lo que prevé en el artículo 35, indica que “se ha
verificado”:
la naturaleza del tratamiento.
el alcance del tratamiento.
Su contexto.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

8/139

Finalidades del tratamiento.
Tecnologías empleadas para el tratamiento.
Cesiones de datos y transferencias internacionales.
Percepción de la existencia de un riesgo elevado por parte del responsable de
la actividad del tratamiento.
Terceros intervinientes-proveedores-
Sistemas utilizados en el tratamiento.”

Respecto al análisis de la VALORACIÓN DE RIESGOS, los principales riesgos que se
han tenido en cuenta para realizar la valoración enumeran hasta 19.
Añade FCB que: “Se ha analizado el ciclo de vida de los datos y se han valorado los
riesgos en base a:
 Tipología de riesgos:
Riesgos asociados a la protección de la información
Riesgos asociados al cumplimiento normativo
Legitimación de los tratamientos y cesiones
Transferencias internacionales
Calidad de los datos
Derechos arco
Seguridad

 Riesgos derivados
 Probabilidad de que sucedan y su impacto en una escala del 1 al 4:
 Grado del riesgo
Despreciable
Limitado
Significativo
Alto/Crítico
 Medidas de control para mitigar o anular el riesgo “
“En base a este análisis de riesgos, se ha concluido que el proceso de actualización
del censo de socios y socias del FCB por medio del sistema de comparación facial
descrito no presenta riesgos significativos, puesto que, de las 17 tipologías de riesgos
analizadas, 14 han dado un resultado de “Poco Riesgo” y en 3 de ellas se desprende
un riesgo “Despreciable”. En consecuencia, se observa que el riesgo del proceso de
tratamiento de datos analizado es mínimo y, el poco riesgo detectado queda
ampliamente compensado con las medidas de control propuestas.”
“En cuanto a la PROPORCIONALIDAD, se concluye que el tratamiento y el sistema
utilizado para el mismo es proporcional, en cuanto se ha ponderado la legitimación
con la posible vulneración de derechos y libertades de los interesados. En especial, se
determina que los derechos y libertades de los interesados no corren el riesgo de ser
vulnerados debido al bajo impacto que se deriva del tratamiento de los datos, por
tratarse únicamente rasgos biométricos de manera temporal, de forma casi
instantánea, y sólo para una comparación facial (autenticación uno a uno).

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

9/139

En consecuencia, esta parte entiende que hay un correcto equilibrio entre el
tratamiento y los derechos y libertades de las personas, al no haber una intrusión
significativa en su privacidad.
Estas conclusiones derivan del análisis de los siguientes aspectos y consideraciones:
o Necesidad: Se ha analizado si optar por el uso de este sistema es ineludible para
responder a la finalidad identificada, que es la obligación estatutaria de actualizar el
censo de socios y socias del FCB. Es decir, si el presente sistema es esencial para
satisfacer la finalidad perseguida o si únicamente se ha escogido por su agilidad o
rentabilidad.
A estos efectos, se concluye que efectivamente este sistema es proporcional, al ser
necesario para responder a la obligación exigida en los Estatutos del FCB de
mantener el censo de socios y socias del Club actualizado y por no tratarse
simplemente del sistema más ágil o económico, sino del sistema más idóneo al tener
en cuenta varios aspectos como son: la resiliencia del sistema, la cantidad de socios y
socias (143.000) que deben actualizar su ficha y la posibilidad de que todos los socios
y socias, independientemente de su ubicación geográfica, puedan utilizarlo sin tener
que trasladarse a las oficinas centrales del FCB en Barcelona, así como las garantías
de seguridad y autenticidad que ofrece. Por lo tanto, es imperativo contar con un
sistema que permita actualizar el censo desde distintas ubicaciones con las máximas
garantías de fiabilidad, algo que solamente se puede llevar a cabo, sin que los datos
puedan ser manipulables, con un sistema de este tipo.
En este informe se ha concluido que, aunque existan otros sistemas y alternativas
posibles, estas no son igualmente válidas, pues no ofrecen el mismo grado de
protección y veracidad. Por lo que estos mecanismos alternativos podrían suponer un
incumplimiento de la finalidad que la actualización del censo pretende cumplir y por
ello han sido descartados, determinando así la necesidad del sistema escogido.
o Eficacia: Como segundo factor, se ha tenido en cuenta la eficacia del sistema para
responder a la necesidad con relación a las características y al uso de tecnología
biométrica.
Se ha comprobado que este sistema es eficaz, por tratarse de un sistema que no se
puede manipular y al que el usuario/a no puede engañar, de manera que ningún
tercero o los propios socios y socias no podrán suplantarse entre sí.
Se concluye, por tanto, que la elección de cualquier otro sistema conlleva aparejados
riesgos de suplantación (sea mediante carnets, códigos, formularios en papel,
formularios online...), por lo que no serían eficaces para el cumplimiento de la finalidad
perseguida.
En este sentido, se determina que no existe pérdida de intimidad alguna, ya que,
aunque el sistema toma datos biométricos, se trata simplemente de una comparación
facial entre la imagen del DNI y un selfi en tiempo real. Una vez hecha la comparación
se elimina cualquier rasgo biométrico, conservándose únicamente la fotografía en
tiempo real como imagen actualizada del socio o socia y sin que sea factible la
recuperación de los rasgos biométricos utilizados para la comparación facial.
Además, se ha analizado la pérdida de intimidad que supondría el uso de otros
sistemas (carnés, códigos, formularios...) y se ha concluido que los beneficios
obtenidos con el presente sistema superan con creces la pérdida de intimidad, si es

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

10/139

que puede llegar a considerarse que ésta existe e, incluso, que dicha pérdida es
menor que con la implantación de otros sistemas alternativos.
o Existencia de medios menos invasivos: Como cuarto aspecto para evaluar la
adecuación del sistema biométrico analizado y su proporcionalidad, se ha tomado en
consideración si existen otros medios menos invasivos para la intimidad que permitan
alcanzar el mismo fin deseado.
Después de analizar las alternativas, se ha comprobado que éstas no pueden obtener
el mismo fin, por los siguientes motivos:
En primer lugar, porque todos los sistemas alternativos analizados carecen de
mecanismos de defensa ante la suplantación, dado que es más fácil suplantar a otra
persona si tienes sus credenciales de acceso, carnés, etc.
Además, estos mecanismos conllevan la posibilidad de pérdida o robo de dichas
credenciales (carnés, códigos, etc..), suponiendo, por tanto, un mayor riesgo de
suplantación y, como se ha apuntado en el punto anterior, de pérdida de intimidad de
los interesados.
Por último, también se ha valorado la opción de realizar registros manuales u online,
algo muy difícil de gestionar cuando el número de interesados es elevado, siendo
estas alternativas que, además, supondrían un mayor riesgo y serían más peligrosas
por el escaso control que conllevan dichas modalidades sobre la veracidad de los
registros realizados por escrito u online, sin ningún mecanismo adicional que permita
contrastar la veracidad de la identidad de la persona que realiza dicho registro.
Como conclusiones generales, destaca entre otras,
“Sobre el contexto del tratamiento, a pesar de utilizarse nuevas tecnologías, dada la
seguridad de estas, la tipología de datos biométricos tratados, y la comparación facial
realizada para autenticar al socio o socia, no se considera que el tratamiento entrañe
riesgo para los socios y socias del FCB.“

“el software utilizado está contrastado y se ha determinado que es totalmente seguro.
Además, VERIDAS DIGITAL AUTHENTICATION SOLUTIONS S.L., titular del
software, en adelante VERIDAS, dispone de las más reconocidas certificaciones, por
lo que consideramos que su uso no entraña riesgos para los socios y socias del FCB.“

No se percibe por parte del responsable que la actividad principal del tratamiento
implique un riesgo elevado, por lo que en base a los tres niveles de análisis y de las
respuestas del cuestionario, se concluye que el tratamiento de datos biométricos de
comparación facial para el proceso de actualización del censo de socios y socias del
FCB, no implican la necesidad de realizar una evaluación de impacto.”

5-Sobre las categorías de interesados e información que se les proporciona, FCB
aporta en DOCUMENTO 1, copia de la información “especifica facilitada a los socios y
socias del FCB sobre el tratamiento de sus datos personales, basada en una primera
y segunda capa de información “.
En lo que denomina primera capa, figura una captura de pantalla informativa “nuevo
censo socios y socias 2023”, que inicia con “bienvenidos al nuevo censo de socios”,

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

11/139

resulta coincidente con la copia del documento que aporta reclamante 1 y consta así
referido en el HECHO PRIMERO, aporta 4, dando por reproducido su contenido.

Lo que denomina segunda capa de la “política de privacidad”, se contiene en un
documento que se titula con dicho nombre, y no se contiene solo la referencia al
tratamiento de actualización del censo, sino de todos los tratamientos que lleva a cabo
el FCB con los datos de los socios/as (seis hojas). Indica que puede sufrir
modificación, siendo esta la versión de 14/02/2023.
Figura como más destacable:

En “finalidades, legitimación y conservación de los tratamientos de datos realizados o
enviados a través de”: figuran hasta DIEZ diferenciados:

En una de ellas, “a. SOLICITUD DE ALTA DE SOCIO Y GESTIÓN DE TRÁMITES
DERIVADOS:

otra: “b. ACTUALIZACIÓN CENSO SOCIOS”.

Constan otros tratamientos de datos realizados o enviados a través de:

-Autorización, cesión de uso puntual de su carnet de abonado a tercero cesionario.
-Gestión de abonos.
-Pago y financiación de cuotas socios
-Contacto y opinión de socios/Presentación de alegaciones.
-Activación de pasaporte de menores, pasaporte infantil.
-Inscripción y en su caso, pago. Participación, eventos y actividades para socios
-Solicitud de invitaciones/Entradas para familiares de socios
-Inscripciones, sesiones informativas, asamblea compromisarios

6-Manifiesta FCB. sobre la decisión adoptada a propósito de esta reclamación, que a
pesar de que la convocatoria de la actualización del censo de socios y socias se ha
enviado a 143.000 personas, “hasta la fecha solamente se han recibido un total de
cinco reclamaciones, y las otras cuatro por escrito, por el bien y para garantizar la
transparencia del proceso y para priorizar la protección de los socios y las socias,
desde el Club se optó por desactivar el servicio, el 5/04/2023 a pesar de los perjuicios
que ello podía suponer para el FCB, mientras se volvía a analizar de nuevo todo el
proceso con la ayuda del Delegado de protección de datos del Club, los abogados
externos y el proveedor del software, y reafirmar así su legalidad y la adecuación del
sistema a la normativa de protección de datos, reactivándose el 4/05/2023.”
7-Manifiesta FCB sobre las causas que han motivado la incidencia que ha originado la
reclamación, que desconoce la motivación del socio
8-Manifiesta FCB sobre las medidas adoptadas para evitar que se produzcan
incidencias similares, fechas de implantación y controles efectuados para comprobar
su eficacia que “tras volver a efectuar un análisis de la legalidad y seguridad del
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

12/139

sistema, se ha reactivado el servicio pero, esta vez se ha decidido incluir un apartado
adicional de información específica dónde se explique de forma clara y transparente
cómo funciona el servicio de comparación facial, la tipología de datos que trata,
incluyendo una breve definición sobre el sistema de autenticación, para reforzar que el
socio o socia conozca el proceso y la seguridad del mismo.
Paralelamente, se han redactado unos breves protocolos informativos para que los
socios y socias que lo deseen puedan dirigirse a nuestros canales oficiales de
atención al socio y socia y así poder informarles y proporcionarles información
adicional aún más detallada sobre todo el proceso.
Asimismo, se ha redactado una nueva carta destinada a los socios y socias,
anunciando la reactivación del servicio que incluye una nueva explicación del proceso
de actualización y, en concreto del sistema de comparación facial. Como ya se ha
señalado, también se ha realizado una revisión exhaustiva, tanto desde el punto de
vista legal como técnico de todo el procedimiento. Respecto a las fechas de
implantación, todas las medidas relacionadas con la información a los socios y socias
del FCB se pondrán en práctica en paralelo con la reactivación del servicio.”
9-Manifiesta el FCB, en cuanto a las medidas de seguridad adoptadas para el
tratamiento de datos, que teniendo en cuenta que el tratamiento de los datos en todo
el proceso de actualización del censo se realiza por medio de los sistemas
informáticos del FCB en combinación con el software “das-face” “de comparación
facial puesto a disposición por el proveedor de servicios VERIDAS DIGITAL
AUTHENTICATION SOLUTIONS S.L, (VERIDAS), se ha considerado importante
describir tanto las medidas de seguridad de la aplicación utilizada, como las medidas
de seguridad y ciberseguridad aplicadas por el FCB y VERIDAS.
I. SOFTWARE DAS-FACE: Es un software de comparación facial de VERIDAS,
empresa de reconocido prestigio y que certifica de las máximas garantías de fiabilidad.
La solución, captura los rasgos y características únicas de un rostro, generando un
descriptor biométrico facial que caracteriza de forma única a la persona. El descriptor
biométrico facial es una representación matemática obtenida a partir del conjunto
específico de rasgos que se encuentran en la cara de una persona. La conversión de
la imagen de la cara en un descriptor biométrico es técnicamente irreversible, por lo
que no es posible recuperar la cara de una persona a partir del descriptor resultante.
El rendimiento del algoritmo se muestra en el documento face biometry performance
report das-face calcula la similitud entre caras registradas en imágenes entre otras
operaciones. Las principales operaciones implementadas en este producto son del
tipo “Verificación 1:1 matching”, que compara dos imágenes de caras para averiguar si
pertenecen al mismo individuo. Esta solución permite realizar todo el procedimiento de
verificación de identidad a distancia, sin necesidad de desplazamiento y con un gran
ahorro en los recursos personales y materiales necesarios para llevarla a cabo.
Durante el proceso de alta, tanto a través de una app como de una web, se toma una
fotografía o vídeo del usuario y de un documento que le permita demostrar su
identidad. Todos los datos contenidos tanto en el documento como en la imagen del
rostro se mandarán a los sistemas de validación desarrollados por VERIDAS
Esta tecnología funciona, a grandes rasgos, del siguiente modo:
“Se recaban los datos que van a ser procesados por el motor biométrico.
En este motor se procesarán los datos, generando lo que se conoce como “vector
biométrico”, que no es más que una forma de representar las facciones de las
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

13/139

personas. A simple vista, es una cadena numérica muy larga, que tiene las siguientes
ventajas en relación con la seguridad de los datos:

-Es irreversible: no es posible reconstruir la cara o voz a partir del vector. A diferencia
de lo que ocurría con otros métodos usados en el pasado, que creaban por ejemplo un
“mapa” de la cara de la persona y luego lo encriptaban, estos números no representan
distancias entre puntos característicos de tu cara, sino que es una interpretación única
que el motor biométrico hace de ella y que sólo él entenderá.

-No es interoperable: no es posible utilizar este vector en otros sistemas, ya sean
motores biométricos distintos, u otras versiones del mismo motor que lo creó. Esto
también implica que, simplemente actualizando la versión del motor biométrico, los
vectores creados por la versión anterior no servirían para nada. Por tanto, en caso de
sustracción o acceso no autorizado, estos datos serían totalmente inservibles y sólo
se tendría una ristra de números a la que no se podría dar sentido.”

“VERIDAS no conserva ni los datos personales del usuario ni los vectores biométricos
que se han creado y una vez realizado el proceso para el que se nos ha contratado el
servicio y enviada la información relevante al FCB, el proveedor borra toda la
información que haya estado en sus servidores de forma automática. En esta fase se
realizará el análisis de la veracidad del documento (con el tratamiento de los datos en
él contenidos) y de la identidad de la persona, para lo que se crearán dos vectores
biométricos: uno a partir de la foto que contiene el documento, y otro con el de la foto
selfi que se toma el usuario en ese momento; al compararlos entre sí (en un proceso
de los conocidos como 1:1 o uno-a-uno), se permite comprobar que una persona es
quien dice ser. Tras realizar la comprobación, estos datos se envían al FCB y se
eliminan los sistemas de VERIDAS al instante.“

Certificaciones acreditadas por VERIDAS
-“ National Institute of Standards and Technology (NIST): VERIDAS es la
única compañía del mundo presente en las evaluaciones del NIST 1:1 y 1:N en facial,
y en reconocimiento de voz (1:1).
-ISO 30107-3 iBeta que aprueba que la tecnología de prueba de vida y de
verificación de identidad biométrica facial.
-Adherido al Pacto Digital de la Agencia Española de Protección de
Datos.
-ISO 27001 de Seguridad de la Información.
-Certificada en el Esquema Nacional de Seguridad (ENS).
-ISO 9001 de gestión de calidad.

Certificaciones de FC BARCELONA
-Gestión de fotos de los socios en los trámites de Alta Online, Alta
Presencial y Censo 2023:
-Las imágenes derivadas del proceso de actualización de los socios y
socias del FCB se guardan en ***SERVICIO.5 vinculada a cada uno de los socios y
socias, junto a los documentos vinculados al contacto y a los trámites.
-Paralelamente, las imágenes se guardan como imagen en la ficha de
contacto del (…) ***SERVICIO.2.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

14/139

-Las fotos se guardan en baja resolución en tamaño foto carnet, y
únicamente se guarda la última foto.

Medidas de seguridad de las tecnologías involucradas:
-Se evalúa anualmente el nivel de madurez de la organización en
Ciberseguridad desde un proveedor externo especialista (...).
-4 capas de protección independientes de seguridad (protección a (…)).
-La infraestructura de las aplicaciones se encuentra en un ***SERVICIO.1
de acceso privado con diferentes medidas de protección (…).
-Asignación clara de responsabilidades y permisos de acceso sobre la
información asegurando el acceso lógico (basado en el mínimo privilegio necesario).
-Gestión de usuarios, permisos y roles sobre los activos de información.
Se realiza un mantenimiento periódico de los usuarios.
-Mecanismos de (…) para el acceso a los recursos.
-Se mantiene un registro de acciones por los usuarios sobre los activos
de información.
-Procedimiento seguro para generar, asignar y distribuir las contraseñas.
-Se dispone de entorno de pruebas para los nuevos evolutivos.
-Se dispone de una política y procedimientos para la gestión del cambio.
-Se mantienen conexiones remotas seguras a través de VPN.
-Se dispone de controles transversales en la organización para evitar y
mitigar los intentos de fuga de información (correo electrónico, usb, sharepoint…).
-Se dispone de (…) con el fin de evitar su pérdida en caso de destrucción
accidental o intencionada, (…).
-La periodicidad, el alcance, el lugar de conservación y el proceso de
restauración de las copias de seguridad se describen en un procedimiento específico.
-Se dispone de un procedimiento (…), que impide el acceso a la
información por cualquier persona no autorizada, así como el tratamiento de datos
personales (…).
-Se realizan formaciones y campañas de concienciación de forma
periódica a todos los empleados del FCB.
-Se ha desarrollado tecnología para poder inventariar y clasificar los
activos de información, de cara a proteger de forma adecuada en función del nivel de
confidencialidad.
-Periódicamente se realizan revisiones (…) (***SERVICIO.1) del Club.
-Se han desarrollado iniciativas y proyectos para securizar de forma
adecuada el correo electrónico y el entorno O365 del Club.
- (…) y se realizan tareas de remediación.
-Se dispone de un servicio contra incidentes de ciberseguridad (...).

TERCERO: Admisión a trámite 5/07/2023
Con fecha 5/07/2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a
trámite la reclamación presentada por R1.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

15/139

CUARTO: Actuaciones previas de investigación
La Subdirección General de Inspección de Datos procedió a la realización de
actuaciones previas de investigación para el esclarecimiento de los hechos en
cuestión, en virtud de las funciones asignadas a las autoridades de control en el
artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE)
2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de
conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la
LOPDGDD, teniendo conocimiento de los siguientes extremos:
Al objeto de investigar la ocurrencia de los hechos descritos, en fecha 30/10/2023, se
realiza una solicitud de información a FCB, en concreto:
1- Fecha desde la cual los socios del FÚTBOL CLUB BARCELONA (FCB) pueden
actualizar sus datos vía digital. Número aproximado de socios que han actualizado sus
datos vía digital.
Con fecha 29/11/2023, tiene entrada el escrito de respuesta.
Manifiesta el FCB que la campaña de actualización se inició el 21/03/2023, y que, tras
recibir el escrito del traslado de la AEPD, paralizaron el proceso para verificar que el
procedimiento se ajusta a las exigidas normativas y corroborar su legalidad. El número
de socios/as que han actualizado sus datos vía digital es de 96.343, y vía presencial:
10.138.
2- Explicación y acreditación documental de si se informa a los socios de que también
pueden realizar presencialmente el trámite de actualización del censo.
Manifiesta FCB, que la mayor evidencia es que 10.138 lo hicieron por esta vía.
Señala FCB, que a los socios/as, se les ha facilitado la opción de realizar el proceso
presencialmente en oficinas del Club a través de distintos medios:

A-En el “primer envío postal a todos los socios el 20/03/2023: “Se ofrece la
posibilidad de realizar el proceso digitalmente, explicando las ventajas del
sistema, pero sin obligatoriedad de hacerlo online, ya que ofrece la posibilidad
de contactar con el Club por distintos canales”, y aporta a título ilustrativo el
DOCUMENTO 1.
En el mismo, fechado a 20/03/2023, se informa del acuerdo de la Junta
Directiva (adoptado el 21/06/2022) de iniciar “el nuevo censo de socios y
socias, renovación que tiene el objetivo de regularizar la masa social y mejorar
la seguridad, la comunicación y los servicios entre el Club y sus socios y
socias”.
También se indica la forma:
“mediante un proceso digital y desde un dispositivo electrónico que disponga de
cámara y micrófono de voz, los socios y socias podrán actualizar sus datos
personales sin necesidad de desplazarse a las instalaciones del Club. Este
trámite permitirá tener identificados a todos los socios y socias de la Entidad y
se convierte en un proceso estrictamente necesario de cara a la modernización
del Club y a la gestión del funcionamiento del Espai Barça.”
Se informa que la actualización de los datos es un deber de los socios/as
recogido en los Estatutos.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

16/139

Prosigue con: “El nuevo censo también estará orientado en la apuesta digital
del Club para conocer las preferencias de todos los socios y socias, y dirigir la
información de forma más individualizada y enfocada en función de sus
preferencias. Asimismo, nos permitirá un mejor proceso de identificación,
actualizar las posibles bajas que no se hayan comunicado y poder recuperar
aquellos abonos que han quedado en desuso. Esta regularización de la masa
social también ayudará a efectuar cualquier tramitación, acceder a las
instalaciones deportivas, formar parte de actividades del Club, y participar en
procesos consultivos o gestiones electorales.”
A través del código QR que encontrará al final de este escrito, podrá acceder a
la página web del Club y consultar toda la información relativa a esta campaña
de regularización del censo. Una vez haya accedido a la plataforma de
Trámites Online con su Clave y Pin Personal, deberá dirigirse a la pestaña
“NUEVO CENSO DE SOCIOS Y SOCIAS”, para posteriormente efectuar la
identificación digital, por la que habrá que fotografiar el DNI por las dos caras,
llevar a cabo una foto de la cara del socio o socia y realizar una pequeña
grabación de voz.
En cualquier caso, para cualquier duda o consulta que pueda tener al respecto,
puede ponerse en contacto con el Club mediante el teléfono…, el correo
electrónico [email protected] o presencialmente en la Oficina de
Atención al Barcelonista en horario de lunes a viernes de 9 a 20 h.”
B-Otro medio, según indica FCB, es que se produjo un segundo envío postal a
los socios/as “prórroga del censo” que aporta como DOCUMENTO 2, sin
precisar la fecha de su envío, “en el que informa que se alarga el plazo para
realizar el censo hasta el 30/11/2023”, y se añade que: “Los socios y socias que
todavía no hayan actualizado sus datos pueden hacerlo de forma digital, a
través de la web del Club y la App Socis, o bien de forma presencial, solicitando
cita previa en la Oficina de Atención al Barcelonista de lunes a viernes de 9 a
18h.”
C-El tercer medio, indica FCB, que fue el envío por correo electrónico y SMS
del comunicado de prórroga del censo, “hasta el próximo 30/11”, en el que se
especifica la opción de realizar el trámite, además de por la web del Club, la
App Socis o de forma presencial en la oficina de atención al barcelonista.
Aporta DOCUMENTO 3, que es el mismo literal que el DOCUMENTO 2 en
forma de boletín oficial del Club, información de servicio para los socios.
D-Otros medios: Señala envíos por correo electrónico y SMS. Adjunta
DOCUMENTO 4, escrito informativo recordando que tiene pendiente el proceso
de actualización del Censo, aunque el aviso informativo se refiere en este caso,
a que el proceso finaliza el 31/10/2023.
E-Comunicados a través de la página web del Club y mensajes en pantalla y
megafonía en los días de partido.
Añade FCB como “evidencias de la explicación de cómo realizar el trámite
presencialmente durante el proceso”, indicando que “Para el inicio del proceso
de actualización del censo, el socio/a debe acceder al área de “censo de socios
y socias”, de la web del Club, donde tiene diversa información, explicando los
epígrafes que lo componen, constando el de “más información”, donde se
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

17/139

encuentran las FAQS, con un punto específico en el que se detalla cómo puede
realizar el trámite presencialmente, con el literal “¿Puedo hacer el censo
presencialmente? El proceso es digital y fácil de realizar, pero si algún socio
quiere que le ayuden presencialmente, puede venir a la OAB con cita previa”.
Así figura en DOCUMENTO 5 que aporta.

Añade FCB que al inicio del proceso de actualización del censo y antes de
aceptar la Política de Privacidad, se vuelven a ofrecer al socio varias opciones
para contactar con el Club, en especial con la oficina de OAB y remarca que en
caso de duda o si así lo desean pueden solicitar cita previa para realizar la
actualización del censo presencialmente. Aporta DOCUMENTO 6, que es la
misma captura de pantalla que figura aportada como DOCUMENTO 1 en el
punto 5, del HECHO SEGUNDO traslado y respuesta, y que inicia la política de
privacidad, primera capa o el apartado por R1 en el hecho primero punto 4.

3- Explicación de cómo se usa la voz del socio que acepta su grabación, registro y
uso. Finalidad del tratamiento.
Manifiesta FCB, que la voz es un dato personal que, en caso de aceptación, se está
registrando durante el proceso de actualización del censo, pero no está previsto su
uso para este trámite, sino que se utilizará una vez finalizado el mismo, tal como se
explica a continuación:
“A. El proceso de captación y custodia es el siguiente:
a-El socio/a graba su voz y se toman unos determinados vectores biométricos
que permitan su autenticación
b-Los datos de la voz se custodian (…).
c-Cuando el socio/a contacte con el Club vía telefónica y se identifique, si su
voz está registrada, permitirá compararla con los rasgos de voz custodiados e
identificarlos, y esto le permitirá realizar determinados tramites
telefónicamente.”

“Cabe decir que al igual que en el proceso de comparación facial, el proceso de
registro de la voz y su tratamiento podría no tener la calificación de datos
biométricos, a tenor de lo estipulado en el propio informe jurídico 0036/2020 de
la AEPD, y el Dictamen 3/2012 del GT 29. Todo ello por tratarse de un proceso
de comparación de sus datos biométricos con una única plantilla biométrica
almacenada en un dispositivo, es decir, un proceso de búsqueda de
correspondencias uno-a-uno.
B. Finalidades del tratamiento
la única finalidad es poder autentificar al socio/socia mediante su voz para
poder facilitarle la realización de cualquier trámite, por ejemplo, compra de
entradas, uso del asiento libre, que se pueda realizar por medio del teléfono y
evitar así la suplantación del socio/a que se viene produciendo.”

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

18/139

4- Explicación y acreditación documental de lo que ocurre cuando el socio “acepta la
política de privacidad y no acepta la grabación, registro y uso de su voz como dato
biométrico” que se muestran en la pantalla de bienvenida del “nuevo censo de socios
y socias de 2023”.
Respondió FCB que antes del inicio del proceso de actualización del censo, el socio/a
puede consentir o no el tratamiento de datos de su voz.
“Sí no marca la casilla de consentimiento: Automáticamente se salta la pantalla de
grabación de la voz y pasa directamente a la pantalla en la que el socio/a tiene que
validar y, en su caso, actualizar sus datos personales.
Sí si marca la casilla de consentimiento: Se accede a la pantalla de registro de la voz,
en la que el socio/a debe confirmar el registro de su voz, apareciendo el literal
“Confirmo realizar esta operación de biometría mediante el uso de mi propia voz
Empezar grabación”, según captura de DOCUMENTO 7 que aporta.

5- Explicación y acreditación documental de dónde se ha incluido el apartado adicional
de información específica donde se explique de forma clara y transparente, cómo
funciona el servicio de comparación facial, la tipología de datos que trata, incluyendo
una breve definición sobre el sistema de autenticación, para reforzar que el socio o
socia conozca el proceso y la seguridad de este que se indica en el punto 8 de su
escrito de respuesta al traslado que figura en el hecho segundo.
Respondió FCB que se ha proporcionado a través de:
a) En las FAQs del proceso del censo,
https://www.fcbarcelona.es/esficha/3052201/faqs): (adjunta DOCUMENTO 8)
“¿En qué cosiste la comparación biométrica facial?
Para poder autentificar que el socio o socia es quien dice ser, utilizamos este
sistema de comparación facial que no guarda ningún rastro biométrico del socio
o socia y es muy fácil y sencillo de utilizar.
¿Cómo funciona?
Simplemente comparamos la imagen de tu DNI con la del selfi que te hagamos,
y el software valida que eres la misma persona. Una vez comparadas las dos
imágenes, eliminamos tu DNI y sólo guardamos la foto actual sin ningún rastro
biométrico.
¿Y por qué te pedimos que muevas la cabeza?
Lo pedimos para verificar que es una foto en tiempo real y demostrar tu
presencia física, así evitamos que el selfi se haga de otra foto.
¿El FC Barcelona confecciona una base de datos con nuestros datos
biométricos?
No, una vez comparadas las dos imágenes, toda comparación biométrica
desaparece y es irreversible. Solo nos guardamos tu foto actualizada.
¿Es obligatorio utilizar este sistema?

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

19/139

Hemos optado por este sistema porque ofrece muchas ventajas al socio/a, ya
que no debe desplazarse a nuestras oficinas. No obstante, si prefiere realizar
este trámite presencialmente, contacte con nosotros y le citaremos para realizar
el trámite en nuestras oficinas. En cualquier caso, informarle que hemos hecho
un estudio previo de este sistema para validar su total legalidad y seguridad.”
b) Por medio de los canales de comunicación con el Club que se ponen a
disposición del socio/a antes de iniciar el trámite del censo, concretamente
antes de aceptar la política de privacidad.
A todos los socios/as que han contactado con el Club por los canales
habilitados, se les ha explicado detalladamente el proceso, y en su caso, se les
ha ofrecido la posibilidad de realizar el trámite presencialmente.
c) Video de explicación del proceso en el apartado de Censo de la web del
FCB.
6- Carta destinada a los socios con explicación del proceso de actualización y, en
concreto del sistema de comparación facial. Fecha en la que se ha hecho llegar.
Acreditación documental de cómo se ha puesto a disposición de los socios.
Respondió FCB que “Los socios han recibido información sobre la necesidad de
actualización del censo por diversos medios y de forma reiterada, como ha reseñado
en el punto SEGUNDO y en las FAQS, punto QUINTO.”
Aportan DOCUMENTO 9, en el que se plasman las fechas y el tipo de comunicación
enviada, BOC (institucional que no se puede dejar de recibir por no ser comunicación
comercial), INFOSOCIS, y SMS, contenido, y enlace web, y comunicación directa a los
socios (marzo a octubre).

7- Descripción de los datos biométricos que se tratan durante la verificación de la
identidad del socio, ¿dónde se alojan? (indicando si los servidores son propios o
ajenos y dónde están ubicados) y durante cuánto tiempo. Identificación y finalidad de
los datos biométricos que permanecen en el sistema al término del proceso de
verificación de la identidad del socio, cómo y dónde se almacenan (indicando si los
servidores son propios o ajenos y dónde están ubicados) y plazos previstos de
supresión.
Respondió FCB que para llevar a cabo el proceso de autenticación de los socios ha
recurrido al software de comparación facial de VERIDAS Digital Authentication
Solutions S.L. que actúa como partner de INDRA SOLUCIONES TECNOLÓGICAS DE
LA INFORMACIÓN, S.L.U. y SISTEMAS INFORMÁTICOS ABIERTOS, S.A. (SIA),
empresa del GRUPO INDRA como proveedores principales del proceso informático de
la actualización del censo de socios/as.
“La solución de VERIDAS (das-Face) captura los rasgos y características únicas de un
rostro, generando un descriptor biométrico facial que caracteriza de forma única a la
persona.
Durante el proceso de autenticación, se toma una fotografía del socio/a y una
fotografía de un documento que le permita demostrar su identidad (DNI, Pasaporte).
El software procesa los datos y genera un vector biométrico único, que es una cadena
numérica extensa e irreversible, de modo que es imposible reconstruir la imagen. Este
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

20/139

vector biométrico no es interoperable y no es posible utilizarlo en otros sistemas,
siendo un dato inútil para cualquier acción o tratamiento posterior.”

“Una vez realizado el proceso de comparación facial, se elimina el DNI por parte del
FCB, y los vectores biométricos permanecen encriptados por parte de SIA, durante
siete días en sus servidores propios ubicados dentro del Espacio Económico Europeo.
VERIDAS no aloja ningún dato biométrico en sus servidores propios ni ajenos.”

8- Descripción de las actuaciones que se llevan a cabo cuando el resultado del cotejo
facial es negativo (registro, comunicación, supresión, etc.), identificación de los datos
personales que permanecen en el sistema y explicación de cómo y dónde se
almacenan.
Respondió FCB que, si el resultado del cotejo facial es negativo, aparece un mensaje
en el que se indica que no se puede continuar con el proceso, y, en consecuencia, el
socio/socia debe regularizar el censo de forma presencial en la OAB. Los socios
disponen de canales de comunicación con la OAB y con el Club para estos supuestos.

9- Explicación del aspecto “alcance geográfico del tratamiento” que se recoge en el
apartado Evaluación de Impacto, Segundo nivel.
Aportan DOCUMENTO 10, con la distribución geográfica por todo el mundo de los
socios/as del FCB, según registro de 8/11/2023, alcanzando el número de 146.808.

10- En relación con lo que se recoge en la política de privacidad: “Uso de datos
biométricos para la autenticación, identificación y validación de socios y socias y
validación de accesos a los socios y socias en las instalaciones del Club y en trámites
a distancia/on-line con el FC BARCELONA”. Descripción de cómo usan los datos
biométricos para la validación de accesos a los socios en las instalaciones del Club.
Respondió que, en la actualidad, y hasta que el proceso de actualización del censo
finalice, no se prevé utilizar ningún dato biométrico.
Finalizado este, en un futuro y previa solicitud del consentimiento de los socios y
socias del FCB se podrán utilizar para las siguientes finalidades:
“Acceso a las instalaciones del Club: Al tener la imagen actualizada de los
socios, la solución de VERIDAS, das-face, permitirá obtener unos vectores
biométricos que facilite el acceso a las instalaciones del Club. Para realizar este
proceso, previamente se realizará una evaluación de impacto y, se solicitará el
consentimiento de los socios y socias que deseen utilizar este sistema para
autentificarse e identificarse para acceder a las instalaciones del Club. Aquellos
socios y socias que no deseen utilizar este sistema podrán seguir accediendo
con el sistema actual de validación de un código de barras en los tornos de
acceso a las distintas instalaciones deportivas.

La única finalidad es poder autentificar al socio/a mediante su voz para poder
facilitarle la realización de cualquier trámite (trámites, compra de entradas, uso

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

21/139

del asiento libre…) que se pueda realizar por medio del teléfono y evitar la
suplantación del socio/a.

A pesar de que algunas de las finalidades del tratamiento, puede que se
empiecen a realizar dentro de bastante tiempo, por transparencia hacia los
socios y socias del FC Barcelona, se ha optado por informarles de las
finalidades presentes y futuras que se podrán realizar por medio de sistemas
de biometría.”

11- Copia del Registro al que se refiere el artículo 30 del RGPD de todas las
actividades de tratamiento de datos personales biométricos efectuados bajo su
responsabilidad.

Aporta DOCUMENTO 11, registro de la actividad ACTUALIZACIÓN DEL CENSO del
RAT.

12- Listado de entidades intervinientes, encargados y subencargados de tratamiento
de datos biométricos, descripción de su cometido, copia del contrato suscrito por FCB
con los encargados, y cláusulas relativas al tratamiento de datos personales, y copia
de las autorizaciones de los subencargados, si aplica.
Respondió FCB:
Responsable del tratamiento:
FÚTBOL CLUB BARCELONA

Encargado de tratamiento (proveedor):
INDRA SOLUCIONES TECNOLÓGICAS DE LA INFORMACIÓN, S.L.U. (INDRA)

Se aporta como Documento n.º 12 el contrato de prestación de servicios suscrito entre
INDRA y FCB, de 24/10/2022.
En anexo I, la oferta técnica y económica “renovación del censo de socios” septiembre
2022.
INDRA presta el servicio de proveedor del desarrollo de las aplicaciones para la
actualización del censo de socios mediante la identificación digital telemática y la
integración de los datos en el ***SERVICIO.2 del área Social. (cláusula primera-
objeto).
La cláusula octava y el Anexo II, son relativos a la protección de datos que son
titularidad del FCB, estando facultado el proveedor para recoger los datos y utilizarlos
en el marco de la prestación de servicios. El citado anexo “encargo de tratamiento”
contempla los requisitos del artículo 28 y ss. del RGPD, pudiendo acceder entre otra
información a datos biométricos faciales y de voz. El su apartado 4 se indica que el
encargado deberá implementar las medidas de seguridad y organizativas oportunas
para garantizar la protección de los datos de carácter personal titularidad del

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

22/139

responsable del tratamiento según lo descrito en el artículo 32, y en ADENDA I se
contienen las medidas técnicas y organizativas.
En el anexo I figura la oferta técnica económica en la que figura “acceso al servicio
digital onboarding de VERIDAS para un pack de 140.000 procesos completo-
incluyendo captura y validación de documento +biometría facial+prueba de vida ISO
30.107 nivel 2+ video identificación.”
Como parte de oferta, figura el detalle del acceso a través de la web o app del FCB en
“alcance propuesto” en el que desde la app se hará un redireccionamiento al portal
web, ofreciendo una herramienta en ***SERVICIO.3 que puede visualizar los socios
que quedan por pasar por validación biométrica, para ofrecer en una campaña una
carga y sean incluidos en una campaña, También figura la descripción de la solución
con los pasos para la biometría facial.
Subencargados de tratamiento:
SISTEMAS INFORMÁTICOS ABIERTOS, S.A. (SIA)
Empresa del GRUPO INDRA que presta servicios de licencias de productos de
acreditación digital e identidad del fabricante VERIDAS y servicios
profesionales de puesta en marcha del Servicio de acreditación Digital de
Identidad desplegado en la nube de SIA.

Se aporta como Documento n.º 13, copia del contrato de encargo
TRATAMIENTO INTRAGRUPO suscrito entre INDRA y SIA de 14/11/2022. En
la estipulación 6 Subcontratación, se autoriza expresamente la subcontratación
con VERIDAS Digital Authentication Solutions S.L. del servicio de acreditación
digital de identidad de los socios del FCB mediante la utilización de las licencias
VERIDAS., y según el alcance de las actividades incluidas en la oferta enviada
al cliente FCB, por cuenta de INDRA SOLUCIONES quien actuara de
encargado del tratamiento del cliente principal. En descripción del tratamiento
se indica “identificación socios FCB con licencias de VERIDAS para
actualización del censo de socios, datos biométricos con finalidad
identificativas-imagen y voz y de carácter identificativo en “categorías de
interesados y tipologías de datos”, con almacenamiento de datos alojados en
servidores propios dentro del EEE.

VERIDAS Digital Authentication Solutions S.L.
Partner de INDRA para el uso del software de comparación facial das-face y
autenticación por voz das-peak.
Se aporta como DOCUMENTO n.º 14 el acuerdo suscrito entre SIA y VERIDAS
que alude a un contrato de partner comercial de 4/03/2021, anexo de
30/06/2021 y anexo de 23/06/2023. El documento 14 indica que se tratan datos
biométricos con finalidad identificativas-imagen y voz y de carácter
identificativo. En su punto 4 establece entre las obligaciones de VERIDAS el
uso de los datos a los que acceda, para las finalidades del encargo y tratarlos,
de acuerdo con las instrucciones recibidas, la obligación de una descripción
general de las medidas técnicas y organizativas de seguridad relativas a:
-La seudonimización y el cifrado de datos personales.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

23/139

-La capacidad de garantizar la confidencialidad, integridad,
disponibilidad y resiliencia permanentes de los sistemas y servicios de
tratamiento.
-La capacidad de restaurar la disponibilidad y el acceso a los datos
personales de forma rápida, en caso de incidente físico o técnico.
-El proceso de verificación, evaluación y valoración regulares de la
eficacia de las medidas técnicas y organizativas para garantizar la seguridad
del tratamiento
13- Especificar si las actividades de tratamiento involucran transferencias
internacionales de datos personales y, en tal caso, detallar las garantías aplicadas.
Respondió FCB que no.

En fecha 26/06/2024 se solicita al FCB ampliación de la información aportada, en
concreto:
14- Justificación de por qué es necesario que todos los socios creen su perfil digital.
Fecha desde la que los socios pueden crear su perfil digital. Número de socios que
tienen perfil digital.
Con fecha 17/07/2024, se recibe escrito de respuesta. Manifiesta FCB que: “Tal como
expusimos en los anteriores escritos de respuesta a los requerimientos de
información, la creación del perfil digital es voluntario por parte de los socios, aunque
la voluntad de FCB es que lo tengan la mayoría de los socios y socias, para
permitirnos interactuar con ellos de una forma ágil y, sobre todo, segura, habida
cuenta de la especial condición del socio/a del FCB, es decir, su dispersión geográfica,
ciertos problemas de suplantación de la condición de socio/a del Club y cesiones
ilegítimas del carnet que pueden llegar a provocar incluso problemas de seguridad en
los partidos de fútbol, tal como expusimos en el escrito de respuesta del primer
requerimiento de información en su punto (I.) de la alegación PRIMERA.
Estas circunstancias, nos han llevado a buscar un sistema que no sólo nos permita
tener un censo de socios/as fidedigno, sino disponer de herramientas que en un futuro
nos permitan interactuar con los socios/as de una forma ágil y segura y que no
implique a los socios/socias tener que acudir para cualquier trámite a las oficinas del
FCB.”
Hay que recalcar que, si bien es cierto que el FCB ha priorizado el proceso digital por
considerarlo el más idóneo, cómodo y seguro tanto para los socios y socias como para
el Club, en ningún momento se ha obligado los socios y socias a crearse un perfil
digital, siendo este voluntario. Asimismo, remarcar que, en la actualidad, el único
“perfil digital” que dispone el FCB de sus socios y socias es el de la voz. “
La fecha desde la que los socios pueden crear su perfil digital coincide con el inicio del
proceso de actualización del censo que se inició el 21/03/2023.
En la actualidad, del total de socios/as que realizaron el proceso de actualización del
censo, 124.864, han aceptado su perfil digital de voz, la cantidad de 72.187 socios/as.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

24/139

15- Explicación del siguiente texto que se recoge al final de la respuesta SEGUNDA
del escrito remitido a esta Agencia como respuesta al traslado de la reclamación en
fecha 22/05/2023: “Todo ello, además, sin perjuicio de que, como ya se ha comentado
con anterioridad, en ningún momento se obliga a la utilización del sistema de
comparación facial por parte de éstos, aunque por cuestiones logísticas y operativas sí
se haya priorizado”.
Manifiesta FCB, que “tras analizar los distintos medios para llevar a cabo el proceso
de actualización del censo, y teniendo en cuenta las particularidades de los socios y
socias del FCB expuestos, se consideró, una vez analizada la seguridad del sistema y
los informes y criterios que en ese momento tenía la propia Agencia Española de
Protección de Datos con relación a la biometría, que el sistema de comparación facial
era el más efectivo y seguro para llevar a cabo el proceso de actualización del censo
y, sobre todo, el más cómodo para los socios y socias del FCB. Por ello, y con carácter
voluntario se optó y priorizó por este sistema.”

16- Explicación de si el proceso de actualización del Censo requiere, en cualquier
caso, la creación del perfil digital del socio. Si aplica, justificación de la necesidad del
perfil digital del socio para el proceso presencial de actualización del Censo. Número
de socios que han actualizado el Censo.
FCB respondió: “No, los socios podían optar por tres diferentes vías:
1-“Realizar el proceso de forma presencial en las instalaciones del FCB sin la
creación de un perfil digital.
2-A través de la web del FCB optando por no crearse un perfil digital.
3-A través de la web del FCB optando por crearse un perfil digital de su voz. “
FCB afirma que el proceso de actualización presencial del censo en ningún caso
implicaba la necesidad de crear un perfil digital. De hecho, de los 12.249 socios y
socias que han realizado los trámites presencialmente, sólo 160 se han creado un
registro digital de su voz.
Número de socios que han actualizado el Censo: 124.864.

17- Explicación de si es posible que un socio realice el proceso de actualización del
Censo, tanto presencialmente como digitalmente online, sin que se lleve a cabo un
proceso de comparación facial, ni se realice, por tanto, un tratamiento de datos
biométricos (vectores biométricos faciales y/o vocales). Si aplica, número de socios de
los que no se ha realizado un tratamiento de datos biométricos que han actualizado
sus datos en el Censo.
FCB respondió que “La única vía para omitir el proceso de comparación facial es
realizar el trámite presencialmente o a través de la OAB (Oficina de Atención al
Barcelonista). Si el socio o socia opta por realizar el trámite digitalmente, debe realizar
el proceso de comparación facial, ya que, por pura lógica, es el sistema que nos
permite identificar al socio/a socia de forma fidedigna.
Un total de 12.704 han realizado el proceso de actualización del Censo sin tratamiento
de datos biométricos.”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

25/139

18- Respecto de la actividad de tratamiento “Actualización del Censo”, y en lo que se
refiere a datos biométricos, se solicita que se indique si se solicitó informe al delegado
de Protección de Datos previamente al inicio del tratamiento. Si aplica, documentación
justificativa que lo acredite.
Respondió que “Todo el proceso de análisis de las herramientas a utilizar para el
proceso de actualización del censo se ha realizado de la mano del DPD del FCB y de
la empresa proveedora del software.
De hecho, nuestro delegado de protección de datos ha colaborado activamente en
todas las reuniones, ha redactado un informe previo y de conclusiones respecto al uso
de la biometría y, ha colaborado en la realización del Informe de VALORACIÓN DE
RIESGOS DEL PROCESO DE COMPARACIÓN FACIAL.
Asimismo, ha estado presente en las reuniones con el equipo legal del proveedor del
software y ha tenido acceso al informe de EVALUACIÓN DE IMPACTO DEL
PROCESO BIOMÉTRICO DE LA VOZ QUE REALIZÓ UN DESPACHO JURÍDICO A
PETICIÓN DEL PROVEEDOR. “
En documento 1 que acompaña, se comprende:
-Un escrito fechado el 22/09/2022, titulado: “ANÁLISIS PREVIO SOBRE EL
USO DE LA BIOMETRÍA EN EL PROCESO DE ACTUALIZACIÓN DEL CENSO
DE SOCIOS Y SOCIAS”:
“Según se nos informa, para el proceso de actualización del censo se estudia
optar por un sistema de comparación facial biométrica en la que se comparan
dos imágenes de una misma persona en tiempo real y permite la autenticación
fidedigna del socio o socia, garantizando evitar posibles suplantaciones de
personas”.

En la explicación facilitada por los proveedores del software, reitera el proceso
que se produce de comparación facial por medio de” obtención de vectores
biométricos del socio que se obtienen en el momento de la verificación del
censo” “extrayéndose de ambas imágenes los vectores biométricos que se
comparan para verificar la autenticación del socio o socia.”
“Una vez comparadas las imágenes, el DNI se suprime y se conserva la foto
en tiempo real como imagen actualizada del socio/a para su carnet”.
“Esta comparación facial es instantánea, de manera que los datos biométricos
se eliminan y no se custodian en ninguna base de datos, ya que la
autenticación es en tiempo real y los vectores biométricos no son necesarios
para ninguna otra finalidad.
En definitiva, el proceso de autenticación biométrica consistirá en un proceso
de comparación entre datos biométricos que confronta una imagen estática
(fotografía del DNI) con otra imagen (selfie) que se realiza al socio o socia en
tiempo real y que no implica la comparación con una base de datos de un
grupo, lo que comúnmente se conoce como proceso de correspondencia uno
a uno.”

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

26/139

“En función de la información facilitada y, a falta de conocer con mayor
profundidad el mecanismo de todo el proceso, se insta al FCB para que se
realice con nuestro asesoramiento un análisis de todo el proceso que nos
permita conocer:
La necesidad del uso de sistemas de biometría,
La legitimidad para el tratamiento de datos biométricos,
La categoría de los datos biométricos tratados,
La necesidad de realizar una valoración de riesgos respecto al tratamiento de
datos biométricos, que indique:
-Riesgos inherentes al uso de la biometría.
-Proporcionalidad del uso del sistema biométrico frente a otros sistemas de
autenticación disponibles en el mercado
-La necesidad o no de realizar una EIPD teniendo en cuenta las
particularidades del sistema.”

-Un escrito, de 9/11/2022, de: “CONCLUSIONES SOBRE EL ANÁLISIS DEL
TRATAMIENTO DE DATOS BIOMÉTRICOS EN EL PROCESO DE ACTUALIZACIÓN
DEL CENSO DEL SOCIO”, se indica:

“A efectos de verificar la viabilidad y cumplimiento del Reglamento General de
Protección de Datos (RGPD) de todo el procedimiento de actualización del
censo de los socios y socias del FC Barcelona por medio de un sistema
biométrico, se instó al FC Barcelona la realización de un análisis de todo el
procedimiento para verificar su legalidad y efectividad frente a otros sistemas
de autenticación, así como, para determinar si será necesario realizar una
evaluación de impacto. ANÁLISIS:”

“1-Sobre la necesidad del uso de la biometría para los procesos de
actualización de los socios y socias, aconsejado por su dispersión geográfica
para no obligar a acudir presencialmente a las oficinas, y evitar fraudes y
suplantaciones de identidad, el sistema de autenticación es eficaz y necesario a
falta de analizar el proceso biométrico con detalle para verificar su legalidad
respecto al RGPD”
2-Sobre la legitimidad para el tratamiento de datos biométricos, señala que “al
ser la finalidad la de autenticar a una persona, distinto del proceso, uno a todos,
se basa en una simple comparación facial, al comparar una imagen estática,
foto del DNI con otra imagen, selfie que se realiza el socio/a en tiempo real y
movimiento, y sin “implicar que se realicen una comparación univoca del socio
o socia con una base de datos de un grupo”. Estiman que el tratamiento no
tendría la consideración de categoría especial de datos personales, pudiendo
fundamentar el tratamiento en la base jurídica del artículo 6.1.b) del RGPD, y
no precisando el consentimiento de los interesados “No obstante en nuestra
condición de DPD recomendamos que el proceso biométrico sea voluntario y a
elección de sus socios y socias”.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

27/139

3-Necesidad de realizar una valoración de riesgos respecto al tratamiento de
datos biométricos. De las conclusiones del informe de valoración de riesgos y
cuyas conclusiones se copian a continuación, se deduce lo siguiente:
El tratamiento no está incluido en los artículos 35.1 y 2 del RGPD como
tratamiento que deba realizar una evaluación de impacto.
…
A pesar de que se tratan datos biométricos, éstos no se pueden considerar
como categorías especiales de datos, a tenor de lo recogido en el propio RGPD
y los informes elaborados por la propia Agencia Española de Protección de
Datos.
Sobre las finalidades del tratamiento, se ha determinado que no se llevan a
cabo finalidades que entrañen riesgos.
Sobre el contexto del tratamiento, a pesar de utilizarse nuevas tecnologías,
dada la seguridad de estas, la tipología de datos biométricos tratados, y la
comparación facial realizada para autenticar al socio o socia, no se considera
que el tratamiento entrañe riesgo para los socios y socias del FCB.
En cuanto a las tecnologías empleadas, a pesar de que los tratamientos
biométricos se podrían encuadrar dentro de la definición de tecnologías
consideradas inmaduras, el software utilizado esta contrastado y se ha
determinado que es totalmente seguro. Además, VERIDAS DIGITAL titular del
software, dispone de las más reconocidas certificaciones, por lo que
consideramos que su uso no entraña riesgos para los socios y socias del FCB.

No se realizan cesiones de datos ni transferencias internacionales de datos.
No se percibe por parte del responsable que la actividad principal del
tratamiento implique un riesgo elevado, por lo que en base a los tres niveles de
análisis y de las respuestas del cuestionario, se concluye que el tratamiento de
datos biométricos de comparación facial para el proceso de actualización del
censo de socios y socias del FCB, no implican la necesidad de realizar una
evaluación de impacto.
Una vez analizados los distintos riesgos que pueden afectar al tratamiento de
datos durante el proceso de actualización del censo de socios y socias del
FCB, se observa que el riesgo del proceso tratamiento de datos analizado es
mínimo.
En CONCLUSIONES, señala:
“En base al análisis de los distintos puntos analizados y el resultado de la
valoración de riesgos, entendemos que el proceso de actualización biométrico
que pretende utilizar el FC Barcelona para llevar a cabo la actualización del
censo de socios y socias del Club es conforme al Reglamento General de
Protección de Datos.
No obstante, sugerimos que, teniendo en cuenta las distintas particularidades
que componen el conjunto de socios y socias del Club y el desconocimiento de
estas tecnologías, se intente ser lo máximo transparente en la información
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

28/139

proporcionada al socio y socia en relación con el proceso. Además, aunque en
base a la obligatoriedad estatutaria de regularizar periódicamente el censo y
que, de acuerdo con las conclusiones del análisis del proceso se podría optar
por la obligatoriedad en realizar el proceso por la vía biométrica, consideramos
que el proceso digital de actualización del censo debe tener carácter voluntario,
pudiendo optar el socio o socia a realizar el proceso presencialmente.

-Un escrito de la relación de las principales reuniones mantenidas por el delegado de
protección de datos con los diferentes interlocutores, internos y externos, que han
participado en el proceso de actualización del censo. Va desde 12/09/2022 a
28/04/2023, figurando en esta última: “(Legal – IT- DPO – Indra - SIA – Veridas):
Análisis de la idoneidad y legalidad del proceso biométrico de actualización del censo,
tras la requerimiento de información recibido de la Agencia Española de Protección de
Datos.”

19- En relación con el tratamiento de datos biométricos, medidas de seguridad
implementadas por el encargado y subencargados del tratamiento que participan en el
proceso digital.
Respondió FCB que en cuanto a la “verificación de la identidad por reconocimiento de
voz”
En cuanto al funcionamiento de das-peak, se trata de un motor de biometría de voz
capaz de captar las características físicas únicas del aparato vocal y los rasgos de
frecuencia, velocidad o acentos, recopilándolos en un vector biométrico de voz único.
Este vector es irreversible, es decir, en ningún caso se podrá volver al audio original
que lo generó (ni siquiera el desarrollador del motor biométrico de das- peak sería
capaz de revertir el proceso). Esto supone que, aunque se perdiera o fuera robado el
vector, no estaríamos ante una pérdida de un dato biométrico (voz de la persona), si
no únicamente del vector, que no es sino un número que únicamente puede ser
utilizado en el motor que lo ha creado (no funcionaría en otros motores, ni siquiera en
otros de VERIDAS) y que no da ningún dato de la persona.

En cuanto al proceso de reconocimiento, el registro de la persona dependerá en
exclusiva del Cliente de VERIDAS, esta Solución puede integrarse con diversos
canales de comunicación, únicamente siendo necesario que exista un micrófono para
la grabación de voz y un sistema que envíe esa grabación al motor biométrico de
VERIDAS (alojado en la nube a través de una AP).
El sistema captura las características únicas de la voz a partir de un audio y las
compila en un vector biométrico único e irreversible asociado al ID del Cliente.
VERIDAS en ningún caso almacena las huellas de voz, una vez que el motor
biométrico genere el vector, eliminará cualquier información/dato y lo devolverá al
Cliente, que será el responsable de almacenar estas huellas de la voz en servidores.
Una vez finalizado el proceso de registro, puede realizarse la comprobación, para ello
será necesaria una nueva captura de voz y esa captura será comparada con el vector
biométrico existente, en este proceso se realizarán pruebas anti-fraude para evitar
suplantaciones de identidad. En relación con el proceso de verificación de identidad,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

29/139

podrá realizarse a través de un modelo de autenticación 1:1, en el que el proceso
actúa como un doble factor de autenticación en el que, una vez que el usuario ha sido
previamente identificado y se ha obtenido un vector asociado a esa persona y que se
asocia a su vez a un teléfono, DNI, una contraseña, etc., en el momento en el que se
captura la doble grabación (la grabación de verificación) se comparará con ese vector
asociado; en definitiva se realiza una comparación entre los vectores biométricos de
los dos audios concretos para saber si hay una coincidencia.

20- Explicación de los trámites que, actualmente, pueden realizar los socios que han
dado su consentimiento a la grabación, registro y uso de su voz como dato biométrico.
Fecha desde la que pueden realizar dichos trámites.
Respondió que “A día de hoy, no se ha iniciado ningún trámite en el que se pueda
utilizar la biometría de voz. Este sistema se concibió para que los socios y socias
pudiesen realizar trámites vía telefónica de manera segura y, el sistema se ideó en
base a los informes y criterios que en ese momento estaba aplicando la Agencia
Española de Protección de Datos y el Grupo del Artículo 29 de la Comisión Europea,
es decir que, tanto el sistema de comparación facial como de identificación de la voz,
al basarse en un sistema de simple autenticación (uno a uno) que no genera una base
de datos biométrica de los socios y socias del Club, no tenía la consideración de
categoría especial de datos personales.
A raíz de los últimos informes en relación a la biometría publicados por la Agencia
Española de Protección de Datos, en la que cambia radicalmente de criterio, desde el
FCB se ha optado por no poner en marcha el proceso de autenticación por voz y
someter la legalidad e idoneidad de este proceso al estudio por parte de nuestro
delegado de protección de datos para que dictamine si lo podremos utilizar o no. En el
caso de que la conclusión sea que no podamos utilizar este sistema, tomaremos la
determinación oportuna respecto a los datos biométricos de voz que disponemos.

21- Explicación de si ha finalizado el proceso de actualización del Censo y estado
actual de las siguientes iniciativas relativas al uso de datos biométricos:
o Validación de accesos a los socios en las instalaciones del Club.
o Trámites a distancia/on-line con el FCB.
Respondió el FCB, que “El proceso de actualización del censo finalizó el pasado 30 de
noviembre de 2023.
Inicialmente no se han recabado datos biométricos para validar los accesos a las
instalaciones del FCB y, en base a los criterios de la Agencia Española de Protección
de Datos no se tiene previsto realizar ningún trámite en este sentido.
Respecto a los trámites a distancia/on-line, tal como se ha explicado en la alegación
anterior, en estos momentos no es posible realizar ningún trámite a distancia u online
que implique el tratamiento de datos biométricos.

22-En el marco de las actuaciones de investigación, con fecha 29/08/2024, se consulta
la página oficial del FCB y se observa:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

30/139

En “Hacerse socio” del desplegable de la pestaña “SOCIOS”,
https://www.fcbarcelona.es/es/socios/hacerse-socio, se muestran dos
modalidades de alta:
-Registro Online
-Alta presencial: Las altas de socio y/o socia también se pueden realizar
presencialmente en la Oficina de Atención al Barcelonista (OAB) pidiendo cita
previa.
En la pestaña “Censo de Socios y Socias”,
https://www.fcbarcelona.es/es/socios/censo-socios, aparece el aviso “EL
PROCESO DEL CENSO FINALIZÓ EL PASADO 30 DE NOVIEMBRE.
ACTUALMENTE, PARA ACTUALIZAR LOS DATOS DEBE DIRIGIRSE EN LA
OAB”

En “¿Cómo censarte?”, https://www.fcbarcelona.es/es/ficha/3052130/como-
censarte, se describe el “procedimiento para realizar el censo y crear el perfil
digital” desde la web del Club o la App Socis, que, a continuación, se
reproduce:

“Cada socio o socia puede actualizar personalmente sus datos sin necesidad
de desplazarse a las dependencias de la OAB. Todo el proceso se efectúa de
manera totalmente digital, desde un dispositivo electrónico que disponga de
cámara y micrófono de voz.
La creación del perfil digital del censo debe hacerse desde un lugar que tenga
una buena iluminación, sin reflejos en la pantalla, ni sonido de fondo.
[…] después de aceptar las políticas de privacidad, se pasará a efectuar la
identificación digital, por la cual tendrá que fotografiar el DNI, NIE o pasaporte,
efectuar una foto de la cara entera y hacer, opcionalmente, una pequeña
grabación de voz.
Por lo que se refiere a la grabación de la voz, el socio puede elegir libremente y
de forma incondicionada si marcar o no la casilla “Acepto la grabación, registro
y uso de mi voz como dato biométrico”, porque es una casilla opcional, no
obligatoria. En el caso de optar por NO marcar la casilla y, por tanto, NO
AUTORIZAR la grabación de la voz, se podrá igualmente seguir con el proceso
de actualización de los datos del censo y completarlo con éxito.
Una vez efectuada la identificación digital, se accederá a la pantalla de
actualización de datos, a las cuales ya estarán incorporadas aquellas que se
pueden extraer de la foto del DNI, NIE y Pasaporte ya efectuada. Una vez se
actualicen y se completen los datos requeridos, ya estará incorporado en el
nuevo censo del FC Barcelona”.

[…]
Censo socios y socias menores de edad
El proceso es el mismo que en el caso de los socios adultos con la diferencia
que para socios o socias menores, el padre, madre, o tutor legal tiene que
hacer una validación declarando que es la persona representante del menor
que realiza el proceso del Censo.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

31/139

Los socios y socias menores de entre 14 a 17 años, deben hacer el proceso
como los socios adultos, fotografiando el DNI y haciendo la foto ‘selfie’.
Los socios menores de 14 años tienen que subir una fotografía y pueden añadir
el número de DNI.”

23- En el marco de las actuaciones de investigación, con fecha 29/08/2024, se
consulta la POLÍTICA DE PRIVACIDAD del FCB, y se observa que concuerda con el
documento que figura en la segunda capa, reflejado en el HECHO SEGUNDO, punto
5.

QUINTO: Entrada de dos nuevas reclamaciones
Mientras se desarrollan las actuaciones de investigación, se recibieron dos
reclamaciones suplementarias:
Con fecha de entrada 3/12/2023, se recibe reclamación de RECLAMANTE 2, (R2-
ANEXO GENERAL), que indica que es socio del FCB y que el 30/08/2023, recibió
correo electrónico en el que se le instaba a que aportara sus datos para configurar un
perfil digital, con el fin de actualizar el censo de socios del Club. Manifiesta que no
atendió lo solicitado por dicho correo electrónico pues estimaba que sus datos estaban
actualizados.

Continúa indicando que en fecha 2/10/2023, recibió otro nuevo correo electrónico
recordándole que debía actualizar los datos del censo como obligación reglamentada
en los Estatutos, art 11.8 y aporta copia de este. Se trata de un (newsletter) que
informa:
“tiene pendiente de realizar el proceso de actualización de sus datos del censo de
socios. Y que el Club inició con el objetivo de renovar los datos de que dispone
actualmente para poder mejorar y aumentar la comunicación personalizada entre el
Club y sus socios/as.
“La creación de su perfil digital se hace totalmente necesaria de cara a la
modernización que impulsa el Club, la reordenación del aforamiento del nuevo Estadio
y, además, le permitirá poder disfrutar en un futuro muy próximo de los nuevos
servicios que dispondrán las nuevas instalaciones.
Este proceso se acaba el 31 de octubre del 2023 y todos los socios y socias que no
hayan actualizado sus datos en el censo no podrán acceder a la renovación de su
carnet para el año 2024, y que comportará la perdida de la condición de abonado o
abonada en la renovación del abono al Nuevo Spotify Camp Nou”.
Refiere R 2, que en los Estatutos del FCB no se prevé la creación de un perfil digital
con la aportación de datos biométricos. Además, considera que “ampliar el número de
datos exigidos más a la de los previstos en los Estatutos, y vincular unos datos
biométricos a temas que no tienen nada que ver como la reordenación del aforo, o a la
prestación de servicios no solicitados, podría traspasar algunas líneas rojas”.
Aporta copia de correo electrónico de 2/10/2023: “fecha límite actualización censo de
socios y socias 31/10/2023.”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

32/139

Con fecha 20/12/2024, su reclamación fue admitida a trámite por la AEPD.
R 2 con fecha 27/12/2023, amplía su reclamación, señalando que el 19/12/2023, un
empleado del FCB contactó telefónicamente con él a los efectos de actualizar los
datos del censo social, sin la anterior obligación a la cesión de mis datos biométricos
-ni voz ni grabación de video-dando por finalizado el proceso.
Con fecha 1/2/2024, se recibe la reclamación de la persona que figura como
RECLAMANTE 3 en el ANEXO GENERAL (R3 en lo sucesivo). Manifiesta que, en
relación con el proceso de actualización del censo de socios, a pesar de las
comunicaciones públicas y privadas enviadas y por las múltiples prorrogas otorgadas,
“tengo constancia de que aún no he procedido a realizar dicha actualización, aunque
se presenta como una obligación estatutaria de los socios”. Considera que la exigencia
de datos biométricos puede contravenir la normativa de protección de datos.

Esta reclamación fue admitida a trámite el 14/02/2024.

SEXTO: Diligencia de AXESOR
De acuerdo con el informe recogido de la herramienta AXESOR, la entidad FÚTBOL
CLUB BARCELONA es una Asociación, dentro de las actividades de los Clubes
deportivos, sector actividades deportivas, recreativas y de entretenimiento, tipo de
empresa “matriz de grupo”, figurando en el último ejercicio que consta, 2015 a
30/06/2015, una cifra de negocios de 504.561.000 euros.

Por otro lado, en la web del FCB figuran en acceso libre y abierto las MEMORIAS
ANUALES, siendo la última 2023/2024. En su parte “área económica”. (pág. 216-
341)

En el apartado de FCB y Sociedades dependientes cuentas anuales consolidadas
del ejercicio anual terminado a 30/06/2024 e informe de gestión consolidada incluye
informe de auditoría de cuentas anuales consolidadas (pág. 227 de 348)
refiriéndose al FCB, como el Club, y sus “sociedades dependientes”, balance a
30/06/2024.

En la página 237, figura la cuenta de pérdidas y ganancias consolidadas del
ejercicio anual terminado el 30/06/2024, figurando un importe neto de la cifra de
negocios ejercicio 2023/2024, de ***CANTIDAD.1, mientras que el ejercicio
procedente la cifra era de ***CANTIDAD.2. En la nota 18.1 se indica la estructura
del importe neto de la cifra de negocios.

SÉPTIMO: Acuerdo de inicio de 23/12/2024
Con fecha 23/12/2024, la directora de la Agencia Española de Protección de Datos
acordó iniciar procedimiento sancionador a FÚTBOL CLUB BARCELONA, con arreglo
a lo dispuesto en los artículos 63 y 64 de la LPACAP, del siguiente literal:

“PRIMERO: INICIAR PROCEDIMIENTO SANCIONADOR a FÚTBOL CLUB
BARCELONA, con NIF G08266298, por la presunta infracción de los siguientes
artículos del RGPD:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

33/139

9 del RGPD, de conformidad con el artículo 83.5.a) del RGPD, tipificada como muy
grave a efectos de su prescripción en el artículo 72.1.e) de la LOPDGDD.

35 del RGPD, de conformidad con el artículo 83.4.a) del RGPD, tipificada como grave
a efectos de su prescripción en el artículo 73.t) de la LOPDGDD.
(…)

CUARTO: QUE a los efectos previstos en el art. 64.2 b) de la ley 39/2015, de 1/10, del
Procedimiento Administrativo Común de las Administraciones Públicas, la sanción que
pudiera corresponder sería de 6.000.000 de euros, sin perjuicio de lo que resulte de la
instrucción.”
Especificado en el fundamento de derecho VII:
“El balance de las circunstancias contempladas en el artículo 83.2 del RGPD, con
respecto a la infracción cometida al vulnerar lo establecido en el artículo 9 del RGPD,
permite fijar inicialmente una sanción de multa administrativa de 4.000.000 de euros, y
por la infracción del artículo 35 del RGPD, con una sanción inicialmente fijada en
multa administrativa de 2.000.000 de euros, sin perjuicio de lo que resulte de la
instrucción.”

OCTAVO: Alegaciones al acuerdo de inicio
Notificado el citado acuerdo de inicio conforme a las normas establecidas en la
LPACAP, la parte reclamada presentó con fecha 24/01/2025 escrito de alegaciones en
el que manifestó:

1-Reitera las circunstancias que dieron lugar a la elección del sistema para la
actualización del censo.

Aporta un cuadro de la localización del número de personas asociadas al FCB a
30/06/2022 y el porcentaje total que representan.
Barcelona (ciudad) 54.337, que representa un 38%
En Barcelona, área metropolitana., 24.379, que representa un 17%,
Cataluña. 49.527, que representaría un 34,6%
España 7.143, que representa un 5% y
resto del mundo, 7.700, que representa un 5,4%.
Por ello, estima FCB que era necesario encontrar un sistema que permitiera una
verificación real de la identidad de la totalidad de los socios y socias del Club.

La alternativa de la plataforma online (formularios y adjuntos) se descartó porque no
permite autenticar a las personas asociadas y verificar su identidad de forma real y
porque era poco seguro establecer un sistema que implicara el envío por medios
telemáticos de documentos como el DNI, junto con tener que custodiar temporalmente
copias de documentos sensibles como el DNI o el pasaporte.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

34/139

Sin embargo, la forma utilizada de sistemas biométricos de autenticación comparando
dos imágenes de la misma persona en tiempo real, del DNI con la fotografía:

-“evitaba el envío de copias de documentos identificativos como podría ser el
DNI/pasaporte.
-implicaba la certeza de que el trámite lo realiza la persona asociada, a
diferencia del uso de plataforma o formulario online donde no hay manera de
conocer la identidad de la persona que realiza el trámite o rellena el formulario
y de constatar si realmente es el socio/a
-Se estimó este sistema más idóneo por su fiabilidad, su seguridad y sus
ventajas, ya que garantizaba poder verificar la identidad de los socios y socias
sin riesgo de fraude o suplantación, con agilidad y comodidad.

2-Reitera FCB sus tesis de la diferenciación de la identificación con la autenticación,
respondiendo esta última a la cuestión de “¿es esta persona quien dice ser?”, y que en
la identificación se comparan los datos biométricos de una persona con los de un
conjunto de usuarios para encontrar la identidad del individuo. Considera FCB que los
fines de autenticación tanto para la imagen como para la voz es un proceso uno a uno,
y no con fines de identificación unívoca. “La autenticación es una comparativa de la
persona que debe estar frente a una cámara con una foto de esta previamente
almacenada. “

Señala FCB, que la AEPD cuando FCB inició el análisis del tratamiento y del sistema,
en el último semestre de 2022, desde el 20/03 y hasta el 30/11/2023, mantenía un
criterio que diferenciaba la autenticación y la identificación “implicando principalmente
que la autenticación no se consideraba dato sensible ni de categoría especial acorde
al artículo 9.1 del RGPD”, y pocos días antes de la fecha límite fijada para la
conclusión del proceso, la AEPD cambió de criterio con la “guía sobre tratamientos de
control de presencia mediante sistemas biométricos” de 23/11/2023, cuando la casi
totalidad de los tratamientos ya habían sido hechos. Los “supuestos incumplimientos e
infracciones de la normativa en los que presuntamente ha incurrido el FCB se
sustentan en la aplicación del nuevo criterio por parte de la AEPD, inexistente cuando
el tratamiento de datos se inició o se estaba llevando a cabo. Realizando en su
acuerdo de inicio una interpretación similar a la que hace en una guía interpretativa
que no existía en el momento de analizar e iniciar el tratamiento.”

“Aun así, FCB cumplía todas las exigencias aplicables según el nuevo criterio (base
legítima para el tratamiento específico de datos biométricos e informe con el contenido
mínimo requerido para una evaluación de impacto), tanto para el tratamiento de la
imagen como de la voz, siendo esto algo que la AEPD no ha tenido en cuenta en el
acuerdo de inicio”.
Manifiesta FCB, que de acuerdo con el artículo 9.1 del RGPD, “serán datos
biométricos los dirigidos a identificar, pero en ningún caso se utiliza el término
autenticar, y, aunque son conceptos relacionados, no son sinónimos. Por ello,
inicialmente se hace la distinción de los datos biométricos que se pueden destinar a
autenticar o a identificar y que únicamente serán considerados datos sensibles los
destinados a identificar, tal como estipula el artículo 9.1.”

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

35/139

Manifiesta FCB, que el Dictamen 3/2012 sobre evolución de las tecnologías
biométricas de 27/04/2012 del GT 29, (dictamen 3/2012) ya hacía esta distinción, entre
autenticación e identificación antes de la entrada en vigor del RGPD.
Añadiendo también la mención que el Libro Blanco sobre la inteligencia artificial de la
Comisión Europea de 19/12/2020 volvía a efectuar.
Añade que la definición propia del artículo 4.14 del RGPD se refiere a que “permitan o
confirmen la identificación única de dicha persona, como imágenes faciales o datos
dactiloscópicos” que estima coherente con el artículo 9.1 del RGPD ya que los datos
biométricos se pueden usar de distinta manera y con distintas finalidades, pudiendo
ser de categoría especial o no, dependiendo de su finalidad. Estima que solo la
finalidad de la identificación unívoca es la que encaja dentro del artículo 9.1 del RGPD,
quedando la autenticación fuera de esa definición y del contenido del artículo 9.1 del
RGPD. Considera que este era el criterio que inicialmente adoptó la AEPD hasta el
23/11/2023.
Considera FCB que si los tratamientos de autenticación que llevó a cabo no son de
categoría especial tampoco tienen alto riesgo, y por tanto no había necesidad de
levantar la prohibición ni de hacer EIPD.
Añade que “Aun, así, y sin que ello fuera necesario, en el momento en que se realizó
el tratamiento, tanto para el tratamiento de datos biométricos de imagen como de voz,
se obtuvo el consentimiento de las personas interesadas y se disponía de un informe
que cumple las exigencias del artículo 35.7 del RGPD.”
Manifiesta FCB que ahora se está aplicando de forma retroactiva un criterio no
existente en el momento de la realización del tratamiento de datos, cuando la realidad
es que FCB se ciñó y actuó en todo momento basándose en las directrices y
orientaciones de la AEPD existentes en ese momento.
“El acuerdo de inicio no menciona este criterio anterior y notorio de la AEPD”, “parece
como si este criterio jamás hubiera existido.”
“La AEPD antes de su cambio de criterio, había reconocido en sus propias guías y
documentación que un tratamiento de datos biométricos destinado a autenticar no
tenía encaje dentro del art. 9 del RGPD y, por tanto, no tenía por qué requerir una
evaluación de impacto. En concreto, las páginas 30 a 32 de la guía “La protección de
datos en las relaciones laborales” versan sobre tratamientos de datos biométricos, y la
AEPD hace la distinción entre autenticación e identificación, para acabar concluyendo
que en cada caso se deberán tener en cuenta unos aspectos o garantías, y que solo
en caso de uso de un sistema de identificación biométrica se hace necesario llevar a
cabo una evaluación de impacto.”
“FCB siempre ha reconocido e informado desde el inicio de forma transparente del uso
de sistemas de biometría y de datos biométricos, pero dejando bien claro que no eran
datos biométricos conforme al artículo. 9.1 del RGPD. Es decir, que eran datos
biométricos no catalogados como categorías de datos especiales o datos sensibles
que no entrañan alto riesgo.
La AEPD aplica el nuevo criterio para un tratamiento anterior y ha concluido de forma
retroactiva y desfavorable.”
Manifiesta que la finalidad de identificar y de autenticar no es la misma, aunque estén
relacionadas, requieren un proceso y acciones distintos. Señala que, a diferencia de la
identificación, que precisa “que el interesado facilite la información biométrica previa
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

36/139

para establecer una base de plantillas biométricas junto al resto de su información
personal o junto algún dato que revele su identidad. Y en este proceso de
autenticación no se obtiene biometría previa ni se confecciona una base de datos con
plantillas biométricas. No hay ninguna base de datos con plantilla biométricas.
Un sistema de identificación biométrica requiere de una base de datos biométricos
almacenados previamente como hemos indicado, ya que posteriormente recibirá
nuevos datos biométricos que no llevan aparejada identidad alguna con el fin de
contrastarlos con toda la base de datos de plantillas biométricas e identificar de forma
univoca al individuo.

El sistema empleado por el FCB, un sistema de autenticación biométrica no realiza
ningún tipo de tarea de identificación contrastando datos biométricos recibidos con
otros para lograr identificar y obtener la identidad de la persona. Aquí, se recibe una
identidad, el mismo socio la proporciona, no es necesario identificarle, lo que realiza el
sistema es únicamente un cotejo entre dos imágenes proporcionadas en el mismo
momento por el socio para poder validar dicha identidad y que no se produzca
suplantación o fraude, el sistema únicamente se limita a comprobar si la identidad del
socio es real, pero es el mismo socio quien se identifica.
Y, en conclusión, durante el proceso de autenticación, se toma una fotografía del
socio/a y una fotografía de un documento que le permita demostrar su identidad (DNI,
Pasaporte).” Añade que al no haber creado de la imagen una base de datos biométrica
existente para la actualización del censo, no existiría riesgo de robo de dicha base de
datos inexistente como uno de los riesgos que señala el acuerdo de inicio.
Manifiesta FCB que también las Directrices 5/2022 sobre el uso de la tecnología de
reconocimiento facial en el ámbito de la aplicación de la Ley, adoptadas el 26/04/2023
(Directrices 5/2022) hacen referencia a que la autenticación también sería dato
sensible, criterio que, en ese momento, la AEPD no compartía y que no reconoció
hasta finales de noviembre de 2023.
Estima FCB que “no puede considerarse que la plantilla biométrica que se extrae de la
cara de la fotografía del DNI y el proceso que se sigue para cotejarla contra la que se
extrae de la fotografía en vivo del socio/a sea una identificación unívoca, ya que el
sistema no está identificando a la persona. El/La socio/a ya estaba indicando desde un
primer momento su identidad y el sistema no realizaba ninguna tarea de contrastar la
plantilla biométrica tomada con múltiples plantillas de distintas personas interesadas,
sino que únicamente se ceñía a contrastar dos fotografías de la misma persona que
se había identificado previamente para verificar si había fraude o suplantación. El
sistema no identifica, válida una credencial que el/la socio/a presenta comparándola
con una fotografía de su cara.
Y por todo lo expuesto, no puede concluirse que un tratamiento de datos biométricos
iniciado y concluido antes del 23/11/2023 constituya en ningún caso un tratamiento de
categorías especiales de datos, ya que siguiendo el art. 9.1 y el criterio mantenido por
la AEPD, eran datos biométricos fuera del art. 9.1.
Y a esto se debe añadir que, si bien la voz se almacenó durante un tiempo, su
propósito también era para una autenticación biométrica mediante un proceso uno-a-
uno que hasta el 23/11/2023 no era considerado por la AEPD como categoría especial
o dato sensible. Que, además, para el tratamiento de la voz también se había obtenido
el consentimiento de todas las personas interesadas y se disponía de un informe
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

37/139

previo con el contenido del art. 37 RGPD y una evaluación de impacto previa y
positiva. Finalmente, todo dato biométrico sobre la voz se eliminó con el cambio de
criterio de la AEPD a la vez que se respondió el segundo requerimiento de información
el 17/06/2024.
Los datos biométricos de la voz se obtuvieron acorde a los criterios de la AEPD y con
todas las garantías exigibles por la normativa, se mantuvieron un plazo lógico para
que el DPD pudiera estudiar la viabilidad de su uso, a raíz del sorpresivo cambio de
criterio de la AEPD.” “siendo el propósito beneficiar a los socios y socias sin conllevar
ánimo de lucro o riesgo para su privacidad (en realidad la finalidad del tratamiento era
blindar la privacidad y seguridad de los socios y socias en los tramites a distancia.)”
FCB enumera un conjunto de documentos que revelan el criterio anterior a 23/11/2023:
-Guía la Protección de Datos en las relaciones laborales de la AEPD de
18/05/2021. Aportan captura, de donde se contiene expresamente que tienen
consideración de categoría especial de datos.

-El procedimiento sancionador ***PROCEDIMIENTO.1 (…), firmado el
1/06/2022, manifiesta FCB que en la página 22 valora la identificación y la
autenticación en el tratamiento de datos biométricos, indicando que:” El artículo
9.1 junto a la prohibición de tratamiento indica que lo son, los “dirigidos a
identificar de manera unívoca a una persona física”, lo que indica que los datos
biométricos, por naturaleza, no son sensibles, sino dependerá del uso o
contexto en que se utilicen, las técnicas empleadas para su tratamiento, y la
consiguiente injerencia en el derecho a la protección de datos”.

-Informe jurídico 36/2020, publicado en la web de la AEPD el 8/05/2020,
en su página 18, menciona que los datos biométricos únicamente tienen
consideración de categoría especial de datos en caso de que sean tratados con
fines de identificación, y no autenticación (similar a la Guía laboral
mencionada).

-De la Autoridad Catalana de Protección de Datos (ACPD), el Dictamen
21/2020 por la consulta de una diputación Provincial, de 12/06/2020, “sobre la
consideración de determinados datos biométricos como datos de categoría
especial”, que menciona el informe de la AEPD 36/2020, y la resolución de la
ACPD, PS/00041/2022, de 5/12/2020 que refiere de nuevo lo señalado por la
AEPD en el citado informe 36/2020 de 8/05, en el que se “considera que los
datos biométricos solo tendrán la consideración de categoría especial en los
supuestos en que se sometan a un tratamiento técnico dirigido a la
identificación de una persona física uno a varios, y no en caso de verificar la
identidad por la búsqueda de la correspondencia uno a uno.”

-Informe jurídico 98/2022, de 22/12/2022, publicado en la web de la AEPD
el 20/01/2023, que menciona las Directrices 5/2022 del CEPD, “pendientes en
este momento de adopción definitiva tras haber finalizado el proceso de
consulta pública”, reconociéndose en el informe “que sigue un criterio distinto al
del Comité Europeo de Proteccion de Datos, estimando ambos: identificación y
autenticación como categorías especiales de datos”, y que si “el criterio se
mantiene en el momento en que se proceda a su adopción definitiva resultará
necesaria revisarlo”.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

38/139

Aporta una serie de noticias de prensa de noviembre/diciembre 2023, sobre el cambio
de criterio de la AEPD en la “guía sobre tratamientos de control de presencia mediante
sistemas biométricos” mencionando expresamente la “Guía de relaciones laborales y
protección de datos”, y ahora, en línea con las Directrices 5/2022, entiende que
ambos, identificación y autenticación conllevan el tratamiento de datos especialmente
protegidos, “es decir, no se pueden tratar datos especialmente protegidos salvo que se
cuente con una base de legitimación especial del artículo 9.2 del RGPD.”

“En este sentido, con el nuevo criterio adoptado por la AEPD, las empresas, en caso
de que sus sistemas estuvieran basados en la autenticación, deberán buscar una
base de legitimación del artículo 9.2 del RGPD”.

Señala FCB que el acuerdo de inicio carece de motivación suficiente en el sentido de
que se permitan conocer cuáles han sido los criterios jurídicos esenciales que
fundamentan la decisión, que sustente la imputación de las infracciones mencionadas
al FCB, por basarse en conclusiones no extraídas de la parte dispositiva de la
normativa aplicable y tomando argumentos incongruentes con el criterio que en ese
momento la AEPD sustentaba, provocando indefensión.

El acuerdo de inicio emplea para desvirtuar el contenido del artículo 9.1 del RGPD los
considerandos 51 y 75 del RGPD como requisito adicional que no aparece recogido en
la parte dispositiva del RGPD, cuando no son disposiciones legales sustantivas y no
pueden contradecir el articulado de la norma.

FCB considera que los datos biométricos tratados no tenían la consideración de
categoría especial en el momento en que se inició y transcurrió el tratamiento de
datos, por lo que no se puede predicar que debido a la técnica para autenticar al
socio/a se considere de alto riesgo. No se tuvo en cuenta que el tratamiento del SBRF
era evitar suplantaciones y fraudes en los distintos tramites con el FCB, ofreciendo un
beneficio para la seguridad y privacidad, lo cual no conllevaba ánimo de lucro ni
ningún beneficio para FCB, habiendo efectuado a desembolso en esta tecnología.

3 -Sobre la no necesidad de una segunda base de legitimación dentro de las
estipuladas en el artículo 9.2 del RGPD para levantar la prohibición del uso de datos
biométricos contenida en el artículo 9.1 del RGPD, tanto para el tratamiento de datos
de imagen facial como de la voz, remarca que “este requisito no era exigible al
haberse iniciado el tratamiento antes del cambio de criterio de la AEPD en
23/11/2023.”

Manifiesta FCB que el tratamiento que efectúa no era dirigido a identificar de manera
unívoca a una persona física, sino a autenticar, quedando fuera del concepto de dato
biométrico del artículo 9.1 del RGPD, por lo cual no se precisaba ninguna de las
circunstancias del artículo 9.2 del RGPD.

“Pero en todo caso, si aplicamos el nuevo criterio, un sistema biométrico de
autenticación sería un tratamiento de datos de categoría especial del que se requeriría
levantar la prohibición del art. 9.1 del RGPD y únicamente cabe excepcionar la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

39/139

prohibición del tratamiento de los datos de categoría especial cuando concurra alguna
de las circunstancias que se especifican en el apartado 2 del art. 9 del RGPD. Entre
las circunstancias enumeradas no se encuentra el interés legítimo, la ejecución de un
contrato o medidas precontractuales”.

“FCB realizó ambos tratamientos ofreciendo vías opcionales, contando con el
consentimiento de socios y socias para levantar la prohibición del tratamiento de datos
biométricos acorde con el artículo 9 del RGPD”. Se tuvo en cuenta que “muchos de los
socios y socias del FCB tienen una edad avanzada y no son nativos digitales,
suponiéndoles un problema realizar trámites a través de herramientas o aplicaciones
digitales. También porque FCB entiende que algún socio o socia, prefiera acudir
presencialmente a las oficinas del Club o sea reticente a utilizar herramientas de
autenticación biométrica por el motivo que sea.
Por tanto, en cuanto al tratamiento de datos biométricos de imagen para actualizar el
censo de socios/as del FCB, dispone de una base de legitimación distinta del
tratamiento de datos base para actualizar el censo e incluida en el artículo 9 del RGPD
que levantaría la prohibición impuesta por el mencionado artículo, el consentimiento.
Se ha obtenido el consentimiento expreso, previo, real y libre por parte de todos los
socios/as que han facilitado sus datos biométricos para las finalidades que se les
indicaron.”
Señala FCB que el proceso de actualización del censo se realizó por diferentes vías,
siendo la actualización a distancia con uso de datos biométricos una de estas vías,
pero no la única opción, “ya que existían otras alternativas para realizar este trámite.
El FCB, si bien priorizó el uso del sistema de autenticación biométrico por motivo de
seguridad y de gestión, ofreció la opción de ponerse en contacto para que, en caso de
ser posible, se realizaran los trámites presencialmente en las oficinas del Club, o para
buscar una solución personalizada que no implicara el desplazamiento de la persona,
puesto que ello no era viable en una parte muy importante de los casos, dada la
dispersión geográfica de los socios y socias del Club.
En consecuencia, los socios/as podían realizar la actualización del censo a distancia y
con un sistema de actualización biométrica, o por el contrario contactar con el FCB
para estudiar la mejor alternativa. Por tanto, el uso de la herramienta para actualizar el
censo por parte de los socios y socias fue voluntaria y basada en su consentimiento.
Por su parte, en la cláusula informativa de este proceso no aparecía casilla para
captar el consentimiento porque la mera acción de usar la herramienta ya
representaba una clara acción de consentimiento, pues la autenticación biométrica era
la finalidad principal de ese tratamiento y herramienta.”
Reitera esta finalidad en el comunicado del FCB inicial a los socios/as de 20/03/2023
ya aportado.
Añade FCB que en todos los comunicados se informaba de otras opciones para
realizar los trámites o de cómo poder solicitar ayuda.” A su vez, al inicio del proceso y
en la propia web se podía acudir a las FAQS donde se indicaba que la realización del
trámite de actualización del censo se podría hacer presencialmente en la OAB, no
siendo obligatorio realizarlo mediante la herramienta facilitada de autenticación
biométrica”.
Aporta de nuevo copia de impresión de las FAQS en las que figura que el proceso
acaba el 30/11/2023 (cono referencia para poder conocer la fecha en que se editaron
estas FAQS sería la fecha en que se conoció su fin tras la prórroga). Un apartado
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

40/139

específico indica “¿Puedo hacer el censo presencialmente?” El proceso es digital y
fácil de realizar, pero si algún socio quiere que le ayuden presencialmente, puede
venir en la OAB con cita previa”.
Manifiesta FCB que, en el acuerdo de inicio, en el fundamento V sobre la infracción del
artículo 9 del RGPD se cita la sentencia de 4/07/2023 asunto C-252/21 que resulta
posterior a cuando se inició el tratamiento de los datos.

FCB sobre la cláusula informativa del proceso de actualización del tratamiento de
datos de los socios/as, manifiesta ahora que pese a tener dos casillas a marcar, con la
aceptación general de la política de privacidad y otra de aceptación de política de
privacidad especifica de obtención del consentimiento para la voz, “el consentimiento
para la imagen se obtiene con el mero hecho de realizar el trámite de esta manera- ya
que es su finalidad principal y hay otras alternativas), mientras que el consentimiento
para la voz se obtiene con la marca especifica de la casilla habilitada para ello”.
“Una vez dadas todas las opciones, el consentimiento era inherente a la acción de
realizar el trámite por esta vía digital, vía que era opcional y libre, y por eso no
aparecía casilla específica. Por su parte, la casilla aparecía para obtener un
consentimiento expreso y específico para el registro de la voz por ser distinto y
accesorio, ya que el tratamiento principal de datos era la autenticación biométrica para
el censo y se aprovechaba mediante casilla específica, para solicitar consentimiento
para la voz“
Estima FCB que denegar el consentimiento no tendrá consecuencias adversas para la
persona, en este caso no hay consecuencia negativa alguna al denegar el
consentimiento ya que este es real y voluntario y se puede acudir a las alternativas
propuestas sin ser penalizado de ningún modo por decidir no prestarlo, y no existe un
desequilibrio entre las partes: los socios/as que son los dueños del FCB.
Como conclusión, FCB señala que “La actualización del censo era un trámite
obligatorio para el que se ofrecieron distintas opciones para poder realizarlo”.
“Aunque la mayoría de los socios/as optó de forma voluntaria por realizar los trámites
con el sistema de autenticación biométrica, una parte de los socios/as no prestaron su
consentimiento para ese tratamiento y utilizaron otra de las opciones propuestas,
desplazándose presencialmente a las oficinas para ello”, reitera a los datos que
12.249 socios/as realizaron los trámites presencialmente en las oficinas del Club.”
Añade que, “en cuanto a la voz, se podía efectuar con las herramientas propuestas a
distancia o presencialmente en las oficinas, “obteniéndose en ambas vías los datos
biométricos por consentimiento expreso del socio/a”.
4-Manifiesta FCB que a pesar de que se concluyó del informe de valoración de riesgos
que no era necesaria la realización de una evaluación de impacto, incorporó los puntos
básicos para poder tener la consideración de evaluación de impacto, de modo que en
el informe se analizaron también cada uno de los riesgos derivados del uso de este
sistema de biometría, incluyendo un estudio de proporcionalidad del tratamiento,
concluyendo que tanto el tratamiento como el sistema que se pretendía utilizar eran
proporcionales, en cuanto se ponderaba la legitimación con la posible vulneración de
derechos y libertades de los interesados. “El estudio de la proporcionalidad del
tratamiento se hizo desde la perspectiva de la necesidad, eficacia, perdida de la

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

41/139

intimidad y existencia de medios menos invasivos, algo que, según el contenido del
acuerdo de inicio, no se ha tenido en cuenta por la AEPD”.

Respecto a la EIPD exigible por la AEPD para el SBRF y el SBRVOZ, manifiesta FCB
que al haberse realizado antes del cambio de criterio de la AEPD de 23/11/2023, no
era exigible dicho requisito, ya que los datos biométricos iban destinados a autenticar
al socio/a para fines de actualización del censo o para seguridad en la gestión de
trámites a distancia.

El tratamiento de FCB no iba dirigido a identificar sino autenticar, quedando fuera del
concepto de dato biométrico acorde al artículo 9.1 del RGPD, y no considerándose
dato sensible o categoría especial, en el momento de la realización del tratamiento y
de acuerdo con el criterio que entonces mantenía la AEPD.
“De acuerdo con el antiguo criterio de autenticación, no era exigible la EIPD según las
listas de tipos de tratamiento de datos que requieren evaluación de impacto relativa a
protección de datos del artículo 35.4 emitido por la AEPD”, el 6/05/2019, si bien
manifiesta FCB que “de este listado, tres criterios podrían ser aplicables al tratamiento
realizado por el FCB si este tratamiento se hubiese realizado con posteridad al
23/11/2023. Pero como este tratamiento, se insiste, se analizó, inició y prácticamente
concluyó antes del 23/11/2023, únicamente un criterio podría llegar a ser aplicable con
el antiguo criterio de la AEPD, y por tanto no habría obligación alguna de realizar una
evaluación de impacto”, en concreto el apartado 10 del listado (tratamiento que
implique uso de nuevas tecnologías…) no dándose según FCB expresa los apartados
4 (tratamientos que impliquen el uso de categorías especiales del artículo 9.1 del
RGPD…) ni del 5 (tratamientos que implique el uso de los biométricos con el propósito
de identificar de manera única a una persona física”).

“Como muestra de diligencia debida y cumplimiento proactivo de la normativa dispone
de forma previa al tratamiento de autenticación biométrica de imagen y voz de dos
informes que contienen las exigencias del artículo 35.7 del RGPD con resultado
positivo para cada uno de estos tratamientos”. “Los dos informes previos al
tratamiento superan el triple juicio (idoneidad necesidad y proporcionalidad) y
demuestran el bajo o escaso riesgo”.
“En el caso de la actualización del censo, las alternativas propuestas al tratamiento de
datos biométricos no implican que este no sea necesario si ya se cuenta con otra
opción válida y que no implique biometría. El motivo de ello es que además del trámite
a distancia mediante autenticación biométrica, se informa a todo socio/a que estos
podrán contactar con el FCB para realizar el trámite de otra manera” acudiendo
presencialmente a las oficinas del Club “y así no sea necesario el uso de biometría
para validar su identidad o como prueba de vida” ni tendrá que enviar ningún
documento. En los supuestos donde por motivos de distancia y desplazamiento del
socio/a no es viable, FCB buscará de forma personalizada un sistema alternativo
seguro para la actualización del censo…”” siendo estos casos residuales y de bajo
número, no siendo el método principal o secundario de actualización del censo”. “Por
mucho que haya dos vías alternativas para actualizar el censo, realizarlo mediante
autenticación biométrica a distancia es necesario, efectivo y proporcional, pues una de
las alternativas (presencial) solo sería válida para unos pocos (los que puedan
desplazarse en persona) y la otra (buscar un método personalizado para cada
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

42/139

supuesto) no es gestionable para un número elevado de personas. Además, que el
método más seguro, inclusive que el presencial, es a través de la herramienta de
autenticación biométrica.”
Aporta FCB un cuadro del número de distribución de socios/as en el extranjero 7.826,
frente al grueso de ciudad 55.837, resto de España 6.136 y Área metropolitana 25.903,
del total de 146.808.

FCB manifiesta que ya se remitió en “los requerimientos de información”, el contenido
del informe previo efectuado para el tratamiento de autenticación biométrica del censo,
aunque no se denomine EIPD, pero si tiene el contenido para que sea considerado tal.
Aporta FCB una copia parcial, según indica, de nuevo, de INFORME DE 20/11/2022,
que indica ya se aportó en los requerimientos de información de la AEPD (no
especifica si en respuesta al traslado o en API) o como referido en el informe de
valoración de riesgos. La copipega que aporta no contiene el título del documento. Por
apartados, destaca:
Como parte del artículo 35.7 a) del RGPD:
“3. Finalidades de tratamientos: Actualización del censo de socios y
socias/Comparación facial entre DNI y selfi para verificar la autenticidad del socio o
socia”. En categorías de tratamiento, apartado 4, no figura dato biométrico de la cara
ni del DNI., solo “identificativos-nombre apellidos, DNI-, número de socio, imagen
(fotografía). En “ciclo de vida de los datos en las actividades de tratamiento”, consta:
- datos tratados. “Rasgos biométricos del selfi para su comparación con
la imagen del DNI”.
“5. Objeto de la valoración de riesgos” realizándose el análisis con objetivo de “valorar
el riesgo de utilizar un sistema biométrico de comparación facial para autenticar socios
y socias durante el proceso de actualización del censo de socios/as.”
En el apartado 6, se expone lo que pueden ser o formar parte de la descripción de las
operaciones de actividades de tratamiento, etapas de las actividades de tratamiento,
datos, intervinientes, tecnología.
Como parte del artículo 35.7.b) del RGPD:
El apartado 7: “análisis de la proporcionalidad del tratamiento” “una evaluación de la
necesidad y la proporcionalidad de las operaciones de tratamiento con respecto a su
finalidad;”, “en el que se ha considerado necesario realizar un análisis de la
proporcionalidad de este sistema frente a otros que pudieran ser menos invasivos
para los interesados.” Parte del problema de la limitación de asientos en el estadio en
relación con el número total de socios, las prácticas de no comunicar los socios
fallecidos, continuando en el uso del asiento asignado sus familiares de modo
irregular, o sin haber fallecido, el uso irregular de la cesión del carnet y el asiento a un
tercero. “En consecuencia el FCB a la hora de valorar el sistema de tratamiento para
la actualización de los socios y socias ha debido tener en cuenta un medio que le
permita autentificar al interesado con mayor seguridad y certeza “sin que sea
necesaria la presencia física de los socios y socias, teniendo en cuenta la dispersión
geográfica no solo en Cataluña, sino en España e incluso en el extranjero.”
En consecuencia, una vez tomada la decisión de que la actualización del censo se
realizara on line, excepto para aquellos socios y socias que contacten con el Club para
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

43/139

realizarlo presencialmente, en base a las características del proceso, se analiza la
proporcionalidad del sistema de autenticación facial en comparación con otros
sistemas más tradicionales. Las conclusiones han sido las siguientes:
Se reitera el contenido que figura en la respuesta al traslado de la reclamación hecho
SEGUNDO, punto 3, sobre la proporcionalidad.
“En conclusión, se pondera a la legitimación con la posible vulneración de derechos y
libertades de los interesados, concluyéndose que estos no corren el riesgo de ser
vulnerados debido al bajo impacto, tratarse solo riesgos biométricos de manera
temporal, casi instantánea y, hay un equilibrio al no haber intrusión significativa en su
privacidad”
Como parte del artículo 35.7.c) del RGPD:
En cuanto al cumplimiento mínimo del contenido del artículo 35.7. c) “evaluación de
riesgos para los derechos y libertades de los interesados a que se refiere el apartado
1” FCB indica en dicho documento, punto 11:“Análisis de la valoración de riesgos”, que
“se ha realizado al responsable del tratamiento una serie de preguntas con la finalidad
de conocer los riesgos que puede entrañar el tratamiento de datos para los afectados
basado en el tratamiento de datos que se pretende realizar “.

“Se han analizado uno a uno los posibles riesgos que conlleva el tratamiento de datos
de carácter personal realizados, con el objeto de delimitar sus rasgos y establecer las
medidas previstas para limitar la probabilidad de que se produzcan“.
Reitera los riesgos que se han tenido en cuenta y que constan reflejados en el hecho
SEGUNDO, 3.
Este apartado 11, lleva un cuadro de “ciclo de vida de los datos en las actividades de
tratamiento” para la actualización del censo que prevé como captura de datos la
“recogida on line e identificación de estos” con la “tecnología das-Face del proveedor
VERIDAS” y lo relaciona con las actividades del proceso, los datos tratados,
intervinientes, tecnologías figurando solo el encargado de tratamiento VERIDAS, sin
que conste SIA.
En ANEXO B1, figura el cuadro: “Valoración de riesgos” de las operaciones de
tratamiento: actualización del censo de socios y socias acompañando las tablas de
“riesgos asociados” entre otras, las siguientes tipologías:
-“a la protección de la información” sopesando la probabilidad y el impacto
determina el riesgo en integridad, disponibilidad, confidencialidad, con grado de
poco riesgo.
-En “al cumplimiento normativo”, tipo de riesgo: “garantía de la legitimación
relativa al tratamiento”. Califica con grado de poco riesgo la ausencia de base
legitimadora o el tratamiento ilícito o innecesario de datos personales.
-En: “Calidad de datos”, se contempla el riesgo de conservación de datos
personales más tiempo del necesario y la recopilación de datos inadecuados,
no pertinentes o excesivo, con grado de poco riesgo.
-En “Seguridad” “tipología de riesgo” solo consta: “gestión de incidencias”,
“riesgo” “incapacidad para detectar y/o gestionar incidentes que afecten a la
seguridad, probabilidad limitada, impacto limitado, “grado: poco riesgo
““medidas de control Auditorías internas y externas de seguridad informática”.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

44/139

Junto al grado, figura “medidas de control”.
“Una vez analizados cada uno de los riesgos se observa que el riesgo del proceso de
tratamiento de datos analizado es mínimo y, el poco riesgo detectado queda
ampliamente compensado con las medidas de control propuestas”.

Manifiesta FCB que el informe realizado por FCB es una EIPD, al contener los
requisitos mínimos y que las medidas previstas para afrontar riesgos, acorde con el
artículo 35.7.d) están ya incluidas en la tabla de valoración y son suficientes para que
el riesgo sea aceptable/mínimo.
Sobre el sistema de autenticación biométrica por voz, indica que: ”esta plantilla
biométrica fue obtenida mediante consentimiento y con evaluación de impacto previa y
superada, con la finalidad de poder facilitar en un futuro al socio o socia la realización
de cualquier trámite a distancia (administrativos, compra de entradas, uso de asiento
libre) que se pudiera realizar por medio del teléfono y evitar suplantaciones de
identidad”.
“se ha realizado una evaluación de riesgos con el mismo criterio que el informe para
biometría facial y respaldada con un informe de EIPD previo y positivo sobre el
sistema/herramienta de autenticación biométrica empleado”. Los tratamientos de datos
realizados son necesarios por motivos de seguridad y la problemática con la
suplantación y fraude que viene sufriendo el FCB, y por tanto sus socios. “No existe
otro sistema no biométrico que permita obtener la misma finalidad ya que esta
finalidad de ofrecer un sistema antifraude/suplantación para trámites a distancia
solamente puede ser obtenida a través de biometría, al menos con este grado de
seguridad y sin que se produzcan riesgos en el almacenaje de las
claves/contraseñas”. “Cualquier otro método de verificación de identidad en trámites a
distancia que no utilice biometría requeriría disponer de cada socio unas
claves/contraseñas o preguntas de seguridad que supondrían un riesgo de custodia
como también un riesgo de pérdida del socio y por tanto la posibilidad de fraude o
suplantación. “
FCB manifiesta que estas obligaciones han sido someramente cumplidas como se ha
demostrado.

-FCB finaliza indicando que ha cumplido con los principios del RGPD como por
ejemplo la transparencia, habiéndose ofrecido toda la información sobre el tratamiento
y sus derechos, se ha adaptado a la exactitud de datos, ya que el propósito de
actualización del censo era disponer de datos actualizados “para evitar fraudes y
suplantaciones y gracias a este proceso se ha obtenido una foto actualizada del socio
para el carnet”.

5-Sobre la tipificación de la conducta, manifiesta FCB que “Como ha quedado
señalado en el presente escrito, tanto en el momento de realizar el “análisis previo
sobre el uso de la biometría en el proceso de actualización del censo de socios y
socias” (informe de fecha 22/09/2022 y escrito de conclusiones de 09/11/2022) como
en el momento de reevaluar el cumplimiento de sus obligaciones cuando esta parte
paralizó por iniciativa propia el proceso de actualización del censo con este objetivo
durante el 05/04/2023 y hasta el 04/05/2023, el FCB tuvo en cuenta el criterio
interpretativo formulado y divulgado por la AEPD que era imperante en ese momento y
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

45/139

que, en todo caso, era la corriente interpretativa que seguía esta autoridad de control
con anterioridad a la fecha de publicación bastantes meses después (23/11/2023) de
una nueva guía donde la AEPD reformulaba y modificaba su tesis anterior.

Destaca FCB que, aunque en la nota de prensa sobre la publicación de la nueva guía
relativa a la utilización de datos biométricos para el control de presencia y acceso la
AEPD señalara y destacara que “La Agencia considera el tratamiento de datos
biométricos, tanto para identificación como para autenticación, como un tratamiento de
alto riesgo que incluye categorías especiales de datos”, esta afirmación contradice su
propia interpretación anterior y que es público y notorio que este no era el criterio
interpretativo que había seguido con anterioridad la AEPD en lo relativo a la
consideración de los datos biométricos como categoría especial de datos. De hecho,
se encuentran afirmaciones y conclusiones incluidas en diversos informes jurídicos y
guías de la AEPD publicadas antes del 23/11/2023 donde se observa una línea de
interpretación en otro sentido que contradicen la mencionada afirmación y
consideración como un tratamiento de alto riesgo que incluye categorías especiales de
datos, por lo que esta parte entiende que era legítimo acogerse a dicha interpretación
y tenerla en cuenta en la valoración que se hizo del tratamiento.
Manifiesta FCB que las Directrices del CEPD 5/2022 son de 26/04/2023, recién
iniciado el proceso de actualización del censo, siendo la guía sobre control de
presencia laboral de la AEPD de 23/11/2023, finalizando la actualización de los
asociados del FCB, y por tanto el tratamiento de sus datos a los pocos días, el
30/11/2023, y suponiendo el giro interpretativo de la guía de presencia 23/11/2023
sobre la catalogación de los datos biométricos con fines de autenticación/verificación
una aplicación interpretativa a una situación surgida antes de la misma que se refleja
en el acuerdo de inicio.
Considera el FCB quebrado el principio de confianza legitima y de la tipificación de la
posible infracción, pues constan pronunciamientos externos anteriores y concluyentes
de la AEPD en sentido contrario a la interpretación que ahora se sigue en el acuerdo
de inicio y que fueron en gran medida los que llevaron a concluir sobre la idoneidad del
tratamiento en el momento en que fue analizado.

El acuerdo de inicio se califica por FCB de sorpresivo y crea inseguridad jurídica
operando un cambio de criterio interpretativo sustancial sin ninguna medida transitoria
ni período de adecuación.

6-Manifiesta FCB sobre la graduación de la sanción, en cuanto a las circunstancias del
artículo 83.2.a) del RGPD, que la supuesta infracción proviene de una petición de un
socio tras confundirse en el proceso de actualización del censo y pensar que la única
opción es realizar el trámite a través de la herramienta de autenticación biométrica.
FCB reconoce que el número de afectados es considerable, en ningún caso se
hablaría de cantidad a gran escala. “Ningún interesado ha sufrido ningún daño ni
perjuicio, todo proviene de una confusión de un socio”.

-FCB considera que ha de descartarse la consideración de intencional o negligente de
la infracción, sino más bien un aprecio por las disposiciones del RGPD, pues:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

46/139

 En la decisión de iniciar el tratamiento, no se inició con ánimo de
vulnerar derechos ni un beneficio económico para el Club, sino de
proporcionar a los socios/as un sistema que evite el perjuicio de
desplazarse, un sistema seguro.
 Antes del inicio del tratamiento, FCB adoptó las medidas procedentes
para detectar los posibles riesgos de este y se incluirían en el informe
inicial todos los requisitos exigidos por el artículo 35.7 del RGPD.
 FCB tuvo conocimiento de la primera reclamación antes del traslado de
la reclamación de la AEPD el 21/04/2023 y tomó la decisión de
desactivar el servicio para volver a efectuar un análisis de la legalidad y
seguridad del sistema.
 Los elementos mencionados suponen la inexistencia de ánimo de
vulnerar derechos y muestran diligencia al actuar de forma proactiva
durante toda la duración del tratamiento, con la adopción de las
medidas dirigidas a salvaguardar los derechos de los interesados.

-FCB estima que debería aplicársele como atenuantes algunas de sus actuaciones
que formarían parte del artículo:

• 83.2 c) del RGPD: “cualquier medida tomada por el responsable o encargado para
paliar daños y perjuicios sufridos por los interesados” con base:

-Se realizó EIPD a pesar de no ser obligatoria, y un informe de valoración de riesgos
previo al tratamiento que incluía todos los requisitos establecidos en el artículo 35.7
del RGPD.

-Adopción de medidas de seguridad y ciberseguridad descritas en el apartado:
“Condiciones para el tratamiento de categorías especiales a partir del 23 noviembre de
2023”.

-FCB habilitó cauces oficiales para que cualquier socio/a pudiera “solicitar amparo” a la
Oficina de Atención al Barcelonista y a la del Defensor del socio, al DPD, con la
finalidad de dar respuesta a consultas, dudas, “y en su caso “ofrecer a los interesados
una alternativa al tratamiento de sus datos personales, permitiéndoles optar por no
participar en el proceso digital de actualización del censo”.

 83.2 d) ”el grado de responsabilidad del responsable o del encargado del
tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan
aplicado en virtud de los artículos 25 y 32”, considerando FCB que tanto en el
momento de determinar los medios del tratamiento como en el del propio tratamiento
ha aplicado medidas técnicas, organizativas apropiadas para aplicar con efectividad
los principios de protección de datos y garantizar que por defecto, solo han sido objeto
de tratamientos los datos personales que son necesarios para los fines pretendidos.
Especial referencia con la imagen, “ya que el tratamiento era instantáneo y no se
almacenaba base de datos con estos, y en relación con la voz, los datos se eliminaron
finalmente “a raíz del cambio de criterio de la AEPD”.

También se “han tomado todas las medidas técnicas y organizativas para garantizar
un nivel de seguridad adecuado. Por un lado, se han utilizado sistemas de cifrado de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

47/139

datos personales (las plantillas biométricas y todo almacenaje o tránsito de datos usa
medios encriptados) También se ha utilizado una herramienta y un proveedor que
ofrece las máximas garantías en cuanto a confidencialidad, integridad, disponibilidad y
resiliencia permanente en los sistemas”, como muestran todas las certificaciones y
garantías del proveedor del sistema”.
 83.2.e)“Toda infracción anterior cometida por el responsable o el encargado del
tratamiento”, manifestando FCB que no ha cometido infracción alguna, ni “puede
entenderse que reanudar el tratamiento de actualización del censo sea una reiteración
o reincidencia, ya que se trata del mismo tratamiento que se detuvo por el FCB de
forma proactiva para revisarlo y reforzarlo, algo que debería servir como atenuante.”

 83.2 f) “el grado de cooperación con la autoridad de control con el fin de poner
remedio a la infracción y mitigar los posibles efectos adversos de la infracción;” que
estima FCB ha sido “total, ya que se han respondido al detalle a todas las
comunicaciones recibidas de esta”.

 83.2.g) “las categorías de los datos de carácter personal afectados por la
infracción;” especificando FCB que las categorías de datos personal tratados son las
“mínimas y necesarias, solamente se han tratado datos identificativos y datos
biométricos que en el momento del tratamiento no tenían consideración de datos
biométricos acorde con el 9.1 del RGPD y por tanto no se trataban de categorías
especiales de datos”.

 83.2.h) “la forma en que la autoridad de control tuvo conocimiento de la infracción,
en particular si el responsable o el encargado notificó la infracción y, en tal caso, en
qué medida”. FCB señala que la AEPD tuvo noticia directamente por parte “del socio y
reclamante principal que se confundió al pensar que la actualización del censo
solamente se podía llevar a cabo con la herramienta de autenticación biométrica”. “Las
quejas recibidas previamente con los socios no tenían ningún tipo de infracción y
podían ser atendidas resueltas por el departamento de atención al socio”.

 83.2.i) “Cuando las medidas indicadas en el artículo 58.2 hayan sido ordenadas
previamente contra el responsable o el encargado de que se trate en relación con el
mismo asunto el cumplimiento de dichas medidas

7-FCB alega falta de proporcionalidad en la proposición de la multa, por:

-al tener en cuenta criterios y directrices para su cálculo con parámetros
empresariales. El “volumen de negocios neto” a una asociación sin ánimo de lucro en
la que no se reparten beneficios, debiendo la AEPD llevar a cabo un examen de la
efectividad, el carácter disuasorio y la proporcionalidad al final del cálculo,
considerando asimismo las circunstancias financieras y socioeconómicas, que en este
caso estima no se han tenido en cuenta, siendo una entidad sin ánimo de lucro.

FCB señala que es una asociación sin ánimo de lucro en la que las ganancias
obtenidas del desarrollo de su actividad económica se destinan al cumplimiento de sus
fines fundacionales y que por tanto no se puede calificar de gran empresa. Tampoco
se tienen en cuenta las circunstancias financieras que son una acumulación de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

48/139

perdidas/deudas de 2.326.958.000 € a fecha de 30/06/2023 y de 2.417.609.000 € a
fecha de 30/06/2024, ni tampoco las consecuencias económicas que se pueden
derivar de la efectiva imposición de una sanción en forma de multa administrativa a
una asociación deportiva de estas características. Considera FCB que la cuantía
repercutiría y afectaría a los intereses de las personas cuyos derechos de protección
de datos alega han sido presuntamente vulnerados que lo verían repercutido en sus
cuotas.

FCB indica que no queda claro el supuesto volumen de negocio que toma la AEPD de
referencia para fijar la multa, indicando dos cifras de ejercicios distintos

-la cuantía propuesta en relación con los hechos y los daños
supuestamente causados.

Caso de imponerse, seria de las más altas nunca impuestas por la AEPD. Únicamente
se han impuesto multas más elevadas en caso de muy grandes empresas, mercantiles
con fines lucrativos, multinacionales o sociedades anónimas que cotizan en Bolsa y
con volúmenes de negocios que superan en algunos casos los veinte mil y los cien mil
millones de euros. Aporta FCB un listado que manifiesta fue publicado por la AEPD en
el BOE con empresas y sus sanciones, liderando el listado GOOGLE con 10 millones
de euros, VODAFONE con 8 millones y con 6 millones ENDESA ENERGIA y
CAIXABANK. Otro listado es aportado por FCB de la web GDPR Enforcement.

Añade FCB que las cuantías propuestas de sanciones para los artículos infringidos en
comparación con otros casos utilizan un criterio sorpresivo. Pone los ejemplos de los
expedientes:

-***PROCEDIMIENTO.2, (…) “En dicho caso, se proponían varias multas por
infracciones de los artículos 6, 9, 12, 13, 25.1 y 35 del RGPD sumando todas
ellas un total de 3.150.000€.“, manifestando FCB que en su caso si existe
legitimación y “obtuvo el consentimiento previo, expreso y real de los
interesados”. En el caso, los afectados no eran conscientes de que se trataban
sus datos para acceder a las instalaciones y el tratamiento de datos lo era
frente a una base de datos de plantillas biométricas, “mientras que el FC
Barcelona solamente tomó datos biométricos de los socios y socias que
libremente escogieron esa opción y con su consentimiento.”. La entidad
sancionada era una gran empresa de “comercio al por menor”, con un altísimo
volumen de negocio, más de 25.000 millones, 90.000 empleados y 1.636
tiendas abiertas. En aquel caso, la infracción de los artículos 9 y 6 sumó 2
millones de euros, en este se proponen cuatro millones de euros, y la sanción
por la infracción del artículo 35 del RGPD fue de 50.000 euros.

-A nivel de CCAA, alude al caso del procedimiento sancionador PS/0041/2022
de la APCAT a una Fundación sin ánimo de lucro por la similitud de hechos e
infracciones cometidas, imponiendo una sanción total de 20 mil euros a una
entidad sin ánimo de lucro. Manifiesta FCB que en ambos casos coincide:
▪ que el propósito de los datos biométricos era autenticar la
identidad de una persona, con fines de evitar fraudes, suplantaciones y

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

49/139

sin que acarreara beneficios sino gastos para ofrecer mayor seguridad
para los datos personales.
▪ El funcionamiento del sistema biométrico era similar al usado en
la actualización del censo, capturando una imagen del rostro para
compararla con la foto del DNI y verificar que es la persona que dice
ser.
▪ El volumen de datos tratados en el caso a comparar era
elevado.
▪ La Fundación pretendió valerse de dos bases de legitimación no
siendo ninguna valida, mientras que FCB “Si ha utilizado dos bases de
legitimación, siendo una el consentimiento que levantaría la prohibición
del art 9.1 del RGPD”.
▪ En el caso de la Fundación, los afectados no podían escoger
libremente ya que, si no se sometían a la herramienta de
reconocimiento facial, su calificación quedaba como no presentada.
Reitera en conclusiones que “todo se inició por la necesidad de actualizar el censo del
FCB por las prácticas fraudulentas que afectan al socio, que hacen imperativo
disponer de un censo actualizado, veraz y fidedigno y para luchar contra prácticas
fraudulentas y suplantaciones a distancia, permitiendo constatar que quien realiza el
trámite era efectivamente quien decía ser. También se aprovechó la misma tecnología
para obtener de forma voluntaria datos de voz de los socios para gestionar los
trámites a distancia sin riesgo a que estos sean suplantados y para ello fue necesario
encontrar un sistema que permitiera una verificación real de la identidad de la totalidad
de los socios y socias del Club, y que, además, no implicara necesariamente su
presencia física en las oficinas del FCB, dada la dispersión geográfica-“

NOVENO: Inicio de período de práctica de pruebas: 4/08/2025
Con fecha 4/08/2025, se acordó a efectos probatorios dar por reproducidas las
reclamaciones interpuestas y su documentación, los documentos obtenidos y
generados durante la fase de admisión a trámite de las reclamaciones, y el informe de
actuaciones previas de investigación que forman parte del procedimiento
AI/00231/2023. Asimismo, se dio por reproducido a efectos probatorios, las
alegaciones al acuerdo de inicio del procedimiento sancionador referenciado,
presentadas por FCB y la documentación que a ellas acompaña.
Además, se decidió solicitar que FCB informe o aporte lo siguiente:

“1-1 Acuerdo de 21/06/2022 de la Junta Directiva de actualización del censo de
personas asociadas a FCB, en el que debe mencionarse si la misma llevó dentro del
acuerdo la forma de dicha actualización (en este caso mediante sistema biométrico de
reconocimiento facial SBRF).“
Se recibió respuesta en escrito de 4/09/2025, indicando:
Aporta en documento 1 como el Acuerdo requerido, información gráfica y de carácter
informativo, figura:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

50/139

“actualización censo socios. Abonos temporada 22/23. Censo completo para toda la
masa social. Digital y de carácter obligatorio para todos los socios y abonados. En la
última actualización del censo (2012) se recuperaron 1000 abonos.”
Beneficios para el Club:
Actualización de la base de datos, regularización de los socios en estado de baja,
recuperación de abonos por lista de espera, promover la transformación digital del
Club, proyecto conjunto con el área de sostenibilidad, mejorar las comunicaciones
futuras con los socios, termino acotado en el tiempo para proceder a la actualización y
combatir el fraude.
Beneficios para los socios:
Cobertura universal de forma telemática, proceso habilitado con independencia de la
localización, horario. Experiencia omnicanal-(PC, móvil, IOS/NDROID, Tablet etc.). El
socio solo necesitara un ordenador, Tablet o dispositivo móvil con cámara.”
La parte gráfica contiene unos dibujos que muestran el itinerario para proceder a la
identificación on line del socio del FCB a través de la web del Club. Como pasos para
la realización del proceso de actualización, aunque refiere video, el método fue la toma
de una foto selfi. Figura:
“- el acceso con usuario y contraseña de socio a la web.
-Validación física de su identidad por medio de su DNI y la cámara de su dispositivo.
La tecnología de video ID analizará automáticamente la veracidad del documento y la
correspondencia con el usuario.
-El usuario muestra su cara a la cámara en un video de x segundos.
-La identidad queda verificada por medio de :
-Las credenciales de la persona
-El video grabado
-El documento de identidad
-El rostro de la persona”
“1-2 También deberá informar si en el mismo acuerdo se contiene la incorporación de
la imagen del socio/socia como parte de uso en el registro de socios/as, y motivo por
el que no figura mencionado el tratamiento del dato imagen del socio/socia en el
Estatuto del FCB, ni en la información del tratamiento de datos (política de privacidad),
si es o fue la primera ocasión en que se incorpora la imagen del socio/socia al registro
de socios.”
Responde FCB que sobre la “imagen del socio/a, (fotografía) es un dato personal que
se solicita a cualquier persona” que se va a dar de alta como socio/a. Ya se solicitaba
con anterioridad a la actualización del censo. Queda incorporada al “carnet de los
socios y socias con independencia de sus formatos, digital o físico.”

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

51/139

Indica FCB que no se mencionaba la imagen del socio como dato recabado en el
acuerdo de la Junta, por no ser una incorporación sino la actualización de un dato que
ya se tenía y cuyas finalidades ya fueron informadas.
“Actualmente el carnet es digital, salvo en el caso de socios y socias de 70 años o
más que disponen de carnet físico. “Los abonos no incorporan ninguna fotografía de la
persona titular”.
“En consecuencia, y como la imagen no se solicita para una finalidad específica ni
distinta que requiera de información particular y separada, y que todos los datos que
se solicitan inicialmente a la persona para darse de alta como socio o socia del FCB,
inclusive imagen, son para las finalidades que se le indican en el procedimiento de alta
que figuran en la Política de Privacidad”.
“1-3 Indiquen la normativa que habilita la competencia de la Junta Directiva para
adoptar dicha actualización del censo de socios, (el art 11.8 de los Estatutos habla de
censo electoral que tiene distintos fines y se confecciona por el síndico de socios) y
para recoger nuevos datos: imagen, que no figura en el registro de socios, y el papel
que jugó la Asamblea General y la representación de los socios/as al afectar derechos
individuales de los socios (también en el análisis de riesgos o en la EIPD)”
Responde FCB sobre la competencia de la Junta para la actualización del censo de
socios que el artículo 11.8 de los Estatutos del FCB, lo que indica es que le
corresponde “ejecutar los tramites de actualización del censo electoral que promueva
el Club, ya sea requiriendo la presencia del socio o aportando los datos requeridos,
que es una obligación del socio atender las actualizaciones del censo promovidos por
el Club” y no acaba de comprender a que se refiere cuando se le cita el artículo 11.8.
Añade FCB que la Junta Directiva, órgano colegiado de gobierno del Club, resulta
elegida por los socios y socias del Club, y no solo tiene plenos poderes sino la
obligación de llevar a cabo las actualización del censo exigidas en sus Estatutos en
virtud de lo previsto en su sección 3, sobre la Junta Directiva, y en concreto de su
artículo 30 de los Estatutos, con función de promover y dirigir las actividades sociales,
mediante actos de administración, gestión, representación, disposición y ejecución que
sean necesarios para el cumplimiento de las finalidades del FCB, los mandatos de la
Asamblea General y lo que disponen los estatutos. Junto a ello, el artículo 31 le da a la
Junta competencias no reservadas por los estatutos a la Asamblea General.
Afirma FCB que entendiendo que los estatutos obligan al FCB a llevar un registro de
socios, (art. 61.1) esto es el censo, y teniendo en cuanta que no es competencia
reservada a la Asamblea General, concluyen que la Junta Directiva ostentaría la
competencia

“2 Para el FCB, crearse un perfil digital, ¿que incluía. Era ¿la actualización del censo
de socios a través del Sistema Biométrico de Reconocimiento Facial (SBRF), la
creación de un perfil de voz con el SBRVOZ, o ambos?, o simplemente cualquiera de
los citados era lo que FCB consideraba” perfil digital”.
Respondió “perfil digital “ es amplio, usado por FCB para referirse a las credenciales
de las personas interesadas en los distintos entornos digitales y web a través de los
cuales se puede operar e interactuar con el Club.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

52/139

El “perfil digital” es un concepto independiente y no tiene nada que ver con el trámite
de actualización del censo.
Alta en el perfil digital y actualización del censo se diferencian dos colectivos:
-“Las personas que únicamente pueden darse de alta un perfil digital, a los que se les
requiere únicamente un correo electrónico con independencia de su condición de
socio, a fin de poder acceder, navegar e interaccionar en el entorno digital del FCB
-Por otro lado, las personas que ostentan la condición de socio del FCB que
participaron en el proceso de actualización de los datos del censo, y de los que el FCB
ya disponía de dichos datos por haberlos facilitado los socios anteriormente.
El único momento de conexión entre ambos puede darse en el momento de cursar el
alta en el perfil digital, y la persona se identifica como socio del FCB en cuyo caso, de
forma expresa, consiente que se vinculen a dicho perfil los datos que ya constan en su
ficha de socios del FCB.
“En el marco del proceso de actualización del censo y, teniendo en cuenta la
expansión del entorno digital del FCB, se ofreció el registro de la voz a aquellas
personas que voluntariamente así lo desearan para poder, en un futuro, ofrecer a los
socios y socias una funcionalidad que permitiera idenficarles con mayor seguridad en
la realización de trámites telefónicos. El uso biométrico de la voz, tal como se ha
expuesto en los distintos escritos obrantes en el presente procedimiento, se realizó en
base a las consideraciones y guías publicadas por la AEPD que en ese momento
permitieron su utilización, pero finalmente todos los registros de voz fueron eliminados
al descartar el FCB utilizar la voz como elemento de comprobación en los tramites
telefónicos. Nótese que dicha medida de supresión fue adoptada por el FCB, incluso
con carácter previo a la publicación, por parte de la AEPD, de una nueva guía
relacionada con la biometría, de cuyo contenido se desprendía su prohibición. En
consecuencia, en la actualidad no es posible realizar ningún trámite a distancia u
online mediante el tratamiento de datos biométricos ni existe ningún proceso que
implique su uso.”
“3 En el primer comunicado enviado a personas asociadas, de 20/03/2023, se invitaba
a los socios/as si tenían alguna duda sobre la actualización del censo. Aporten copia
de algunas muestras de correos recibidos durante el primer mes en los que los
socios/as preguntaran por otras vías para la actualización del censo, y respuesta que
les dieron.
Respondió FCB que, en cumplimiento de la normativa de protección de datos, todos
esos correos se suprimieron.
“4 Según sus respuestas en traslado y en Actuaciones Previas de Investigación (API),
el proceso de actualización de socios se interrumpió por reclamaciones de personas
asociadas al FCB, desde 5/04/2023, y también al recibir el traslado de la AEPD, el
21/04/2023. Aclaren esta supuesta doble suspensión y la fecha hasta la que se
extendió.”
Respondió FCB que cuando se recibió el traslado de la AEPD el 21/04/2023, el
proceso de actualización de socios ya había sido interrumpido previamente por la
queja inicial de un socio y por política del FCB. Solo hubo una única suspensión

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

53/139

extendida hasta el 4/05/2023. Dada respuesta al socio y ratificándose que la
continuación el tratamiento no entrañaba riesgo alguno, se reanudó el proceso.
“5 En su respuesta en traslado, 22/05/2023, indicaron que habían recibido sobre la
actualización del censo “cinco reclamaciones y las otras cuatro por escrito”, se les
solicita copia de estas y respuesta que se dio a cada una.”

Respondió FCB que “no se conservan estos correos”.

“6 Informen si para la adquisición de abono, solo lo pueden realizar las personas
asociadas a FCB, y si se exige algún dato distinto al de socio (imagen/fotografía etc.).
Indiquen si el carnet de socio o el de abonado porta fotografía del titular. Indiquen si en
los accesos a partidos de la competición oficial se exige junto al carnet de
socio/abonado, algún tipo de identificación. indiquen si de los usos irregulares de
carnés de socio o de abonado se han detectado más usos de personas fallecidas que
de socios en vigor.”

Respondió FCB que para ser persona abonada hay que ser socio, pudiendo también
este no ser abonado. “Por lo tanto, no se solicitan datos adicionales para obtener la
condición de abonado”.

Agrega que, en los accesos a partidos de competición oficial, los servicios de
seguridad pueden exigir, junto al carnet de socio/abonado la exhibición del DNI
únicamente para comprobar que la persona titular del documento de identidad y la del
carnet son la misma, considerando que la foto del carnet de socio esta desactualizada.
Actualizar las fotografías del censo, tiene, entre otros objetivos, el de facilitar dicha
identificación y de este modo, preservar y garantizar la seguridad y el control
exhaustivo de las personas que aceden a las instalaciones del Club, así como facilitar
la identificación de aquellas personas que tienen prohibido el acceso al recinto.

“7-1 Sobre la forma de completar el proceso para actualizar el censo de socios/as,
según consta en imágenes de la web-aportada por reclamante 1 “nuevo censo socios
y socias 2023 Más digital, más personal “Crea ahora tu perfil digital BARÇA, y accede
a mejores servicios”,
En los 8 pasos que se contienen, después de grabar la voz, figura en el 7: “entrar en el
formulario de datos, complétalo y verifica tu perfil Barça”. Se solicita que aporte copia
de este formulario que ha de completar, y especifique si en esta actualización de socio
se le vuelven a pedir datos que ya figuraban cuando se dio de alta como socio (email,
dirección, teléfono etc.).
Respondió FCB que “En la parte final del proceso el socio o la socia puede acceder a
sus datos personales registrados por el FCB (Datos personales, datos de contacto,
datos bancarios, datos fiscales, datos de preferencias, colectivos y redes sociales del
Club a los que pertenece), para, en su caso, actualizarlos.”

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

54/139

Aporta como DOCUMENTO 2, un formulario de datos de socio de dos páginas,
subdivididas en distintas pestañas. En cada pestaña figuran a cumplimentar diversos
tipos de datos, obligatorios, opcionales, o nuevo dato obligatorio, nuevo dato opcional.
En la primera pestaña “datos personales”, figuran para la biometría facial, la foto del
documento de identificación y de la cara como obligatorios. Para el registro de la voz,
opcional otro apartado diferente.
En la pestaña de “datos de contacto” entre otros, teléfono como opcional, y teléfono
móvil y dirección electrónica como “operativa telemática” obligatorios.

“7-2 Informe si en algún momento, a todos o a algún socio/a se le ha pedido antes de
esta actualización de censo de socio/socia copia del DNI íntegra, ¿en qué tramite?, y
¿Cuándo?”.
Respondió FCB que no, en ningún trámite del FCB se solicita copia del DNI.
Únicamente quizás en algún proceso se puede exigir la exhibición en persona del
documento para verificar la identidad de la persona, como es el caso de la gestión de
accesos a los partidos de competición oficial que se ha explicado anteriormente.
“7-3 Lo mismo sobre la imagen (fotografía selfie que se quedó en los sistemas de
FCB).”
Respondió FCB que a todos los socios y las socias del FCB se les solicita una
fotografía actualizada para darse de alta e incorporarla al carnet de socio o socia;
dicha fotografía como elemento identificativo se ha solicitado siempre en los procesos
de alta, tanto físico como online.
“7-4 Informe si el proceso de toma de foto selfi con movimiento implica toma de video.”
Respondió FCB que no, en ningún momento del proceso se tomaba vídeo ni se
grababan imágenes en vídeo de los socios y socias.
“8-1 Además, explicite cuando el socio/a entraba en la web o en la app del socio, para
la actualización del censo, ¿dónde y cuándo salía la cláusula informativa de protección
de datos? (información de protección de datos, primera capa), acreditando tal extremo
y su contenido.
Respondió FCB que en la web del FCB, pestaña socios, al acceder a la actualización
del censo, vía enlace directo “censo de socios/socias”, o a través de tramites on line.
En todos los casos, el socio ha de Identificarse con clave y pin y acceder a su área
privada. Una vez que ha accedido, tiene que clicar en “nuevo censo de socios y
socias”, y a continuación sale “aceptación política de privacidad”.
Señala que la cláusula de información aparece antes del botón de aceptación de la
política de privacidad.
Aporta la imagen de “nuevo censo socios y socias 2023” junto al escudo del
Club-“Bienvenido al nuevo censo de socios” idéntico a la figura grafica que el R1
aporta y consta en HECHO primero, aporta 2.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

55/139

“8-2-Indiquen si dicha cláusula informativa de primera capa sufrió alguna modificación
en su redacción a lo largo del período en que se pudieron actualizar los datos del
censo.
Respondió FCB que no
“8-3-Informe cómo se daba la misma información a los que acudían presencialmente a
oficinas a actualizar el censo.“
Respondió FCB que eran informados presencialmente por parte del personal
encargado.
“8-4-En la primera capa se informa en finalidades “uso de datos biométricos para
contactos con el Club y para la autenticación del socio o socia e identificación para el
acceso a las instalaciones del Club en caso de consentimiento expreso de socio o
socia” Detallen ¿cuáles datos biométricos eran para contactos con el Club? (¿los del
SBRF o los del SBRVOZ, cuales para la autenticación del socio (¿los dos tipos?) y
que dato biométrico era para identificación para el acceso a las instalaciones del Club,
y donde se completaba el consentimiento expreso para esos accesos.”
Respondió FCB que “los datos biométricos inicialmente previsto para contacto con el
Club eran los datos del SBRVOZ, que pretendían poder validar la identidad de los
socios y socias en los contactos vía telefónica para evitar fraudes y suplantaciones.
Los datos para la autenticación eran los datos de comparación facial para el trámite de
actualización del censo.
La idea del control de accesos se desestimó y nunca se llevó a cabo.
La idea surgida antes de la publicación de la guía AEPD sobre la biometría de
23/11/2023, era informar de que en un futuro se podría usar la biometría para otras
finalidades, sin perjuicio de que, llegado el momento, se activasen los protocolos de
solicitud de consentimiento y toma de datos biométricos. “
“8.5-Motivo por el que, en la segunda capa, en vez de completar solo lo referente a la
primera (actualización del censo de socios), se ofrece toda la información de todos los
tratamientos.”
Respondió FCB que por política de la entidad para ofrecer la mayor información
posible de los tratamientos del FCB. Además, cuenta con un índice interactivo para
ayudar a encontrar la información de forma fácil y rápida.
“8.6- Informe también si el boletín informativo que se envió a reclamante 1,
conteniendo la información de la recogida de datos se envía a todos los socios/socias,
y si es obligatorio recibirlo por parte de estos, o estar abonado. En caso de que no
fuera obligatorio, a cuantos socios no se les envió.”
Respondió FCB que el boletín informativo se envió a todos los socios y socias, fueran
o no abonados, y se trataba de una comunicación institucional.
“9-Fecha final o hasta la que se aplazó la realización operativa del censo de socios/as
del FCB, y número total de socios que no actualizaron por ningún medio su censo,
consecuencias para los mismos. Conteo total de número de socios/as que
actualizaron censo con el SBRF, los que lo hicieron vía presencial (y de este si se
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

56/139

recoge su imagen: foto, y de cuantos consintieron la voz, copia de la obtención del
consentimiento explicito para esta recogida de la voz), así como de los que efectuaron
el SBRF, cuantos consintieron dar el perfil de sistema biométrico de reconocimiento de
la voz (SBRVOZ).”
Respondió FCB que la fecha hasta la que se aplazó la actualización el censo fue
30/11/2023, siendo el número de personas asociadas que no actualizaron el censo de
14.433.
Sus consecuencias fueron la perdida de la condición de socio o socia como detalla el
artículo 15 de los Estatutos. “Por otro lado, el Club podrá dar de baja a los socios que,
tras dos requerimientos fehacientes y transcurridos tres meses desde el segundo, no
hayan efectuado los trámites de actualización del censo exigidos.”
“Una vez finalizado el proceso de actualización del censo, los socios y socias que no
actualizaron sus datos recibieron un correo electrónico advirtiéndoles que si no lo
actualizaban perderían la condición de socios. Al cabo de un mes del primer correo, se
les envió otro correo de aviso y, finalmente, transcurridos tres meses se les remitió un
tercer correo electrónico confirmándoles su baja como socio o socia del FCB. “
“El número de socios/as que actualizaron el censo con SBRF es de 112.623. De los
que efectuaron el SBRF, 72.648 consintieron dar el perfil de sistema biométrico de
reconocimiento de la voz SBRVOZ. “
“El número de socios/as que actualizaron el censo presencialmente es 12.249. El
socio y socia se le realizaba una fotografía para actualizarla o, en su caso, se les
solicitaba una fotografía actualizada.
El número de socios que consintieron presencialmente la grabación de su voz es 160.
Los menores de edad no podían realizar el trámite de voz.”
“10-En las FAQs del proceso del censo,
https://www.fcbarcelona.es/esficha/3052201/faqs): (adjuntó FCB DOCUMENTO 8).

¿En qué fecha implantó esta sección de las FAQS?, y si estaba antes del inicio del
primer envío a los socios para la actualización de socios-as 20/03/2023, y como puede
acreditar dicha fecha.”

Respondió FCB que el enlace a las FAQS estaba en la web desde que se abrió al
público el proceso de actualización del censo de la web.

“11-1 Forma en que les consta se efectuó la actualización del censo por parte de
reclamante 1, reclamante 2,, y reclamante 3, aportando acreditación, log o traza de la
anotación.
Respondió FCB que R 1 lo realizó a través de un ordenador. Acompaña log informático
de 28/11/2023. En el log queda anotación de la fecha validez del DNI, fecha
expedición, número soporte, CAN (número de seis cifras), y anotación de validación
prueba selfie-validación prueba vida.
De R 2 respondió FCB que se actualizó “manualmente a distancia a petición del socio,
atendiendo a circunstancias únicas y excepcionales, siendo este por los motivos
aducidos, un único supuesto extraordinario.”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

57/139

Del R 3, indica FCB que también se efectuó a través de un ordenador, aportando el log
informático en el que figura haberlo realizado el 5/05/2023 con el conjunto de datos
similar al que le figuran al R 1.En este caso, parece extraño por cuanto R3 en su
reclamación de 1/02/2024 expresaba que a dicha fecha no había actualizado sus
datos.

“11.2 Procedimiento por el que se llevaba a cabo la actualización del censo para
socios/as menores de edad. número total. También en el SBRVOZ.”

Respondió FCB que el proceso de actualización del censo era a distancia o presencial,
pero no podían efectuar el trámite de voz. El número total de socios menores de edad
es de 14.511.

“12 Como consecuencia del proceso de actualización del censo socios/as, ¿cuántas
bajas por desfase de actualización (fallecimiento o baja) acometieron, desglosando el
número de cada una?, y ¿cuántas bajas se dieron como consecuencia de no
actualizar el censo?”
Respondió FCB que, en el período de actualización del censo, de 21/03/2023 a
31/12/2023, (en la pregunta 11 respondió que la actualización llegó hasta 30/11/2023)
detectaron 993 carnets activos de personas fallecidas, que se dieron de baja.
Añade que como señaló en la respuesta 11, 14.433 socios y socias que no
cumplimentaron la actualización del censo fueron baja, tramitándose el
15/04/2024.”Teniendo en cuenta el tiempo transcurrido, casi dos años, y las
consecuencias de no actualizar el censo, (la pérdida de condición de socio y, en su
caso, abonado), no podemos sino concluir que o bien el titular ha fallecido, o bien los
usuarios de tales carnés no eran quienes ostentaban la condición de socio, y por ellos
no han podido proceder a la actualización de los datos.”

“13 Informen del número de socios abonados a los que como sanción por uso ilegitimo
se les ha retirado el abono-socio de 2020 a 2023 y que da lugar al planteamiento de la
actualización del censo y cuando fue la última ocasión en que se actualizó antes de
esta y que procedimiento utilizaron entonces.
- ¿Como saben que la mayoría de las cesiones ilegales del abono o del carnet de
socio puede proceder de socios fallecidos? Investigaciones realizadas.
Número de socios del FCB, y de ellos cuantos tienen además la condición de
abonados y estadísticas o datos que revelen el número de uso de carnet de socio y
abonado en fraudes si el uso de los carnets de socio se corresponde con el de socios
-abonados, y que otros usos ventajosos puede dar lugar el uso del carnet de
socio/abonado o simplemente de socio.
Si han valorado o analizado los distintos tipos de usos fraudulentos o irregulares de
los carnets de socio/abonado copia breve del número de casos que representan y
como lo investigan y que medios usan para descubrir estas irregularidades.”
Respondió FCB dando el dato de que en supuestos de reventa de entradas y abono y
carnets de socio/a en los accesos: 108.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

58/139

En función de las circunstancias diversas que puedan concurrir en el uso ilegitimo de
los carnets de socios y socias, FCB desglosa por temporadas la importancia de las
sanciones impuestas, formadas por “reventa de abonos, reventa de entradas, reventa
de abonos y carnés de socio”.
Destaca, si bien no se indica el número de infracciones, que la temporada 20/21 un
75% lo fueron por reventa de abonos, en la temporada precedente fue un 33%, o el
25% de reventa de abonos y carnets de socios en la temporada 23/24.
También especifica como conducta sancionable la cesión o alquiler a terceros que
algunos socios y socias efectúan de su carnet de socio.
Manifiesta FCB que revisando (…) de varios socios observó que un número
significativo de ellos tiene (…), siendo una evidencia de que existen personas que
gestionan de forma fraudulenta múltiples carnets de socio para explotarlos en su
beneficio.
Se ha llegado a comprobar que (…), abarcando un total de 1.446 socios y socias.

“14-1 Informe si a las personas asociadas al FCB que hacen acto de presencia física
en Oficinas para la actualización del censo, (o cualquier otro medio o modalidad:
ejemplo control telefónico si lo hubiera) y no desearon dar datos para el SBRF, se
queda el FCB con foto suya actualizada, o modo en que se efectúa la verificación, si
se produce alguna nota o marca que se inserta y lugar en el que se efectúa y queda
almacenada. “

Respondió FCB que en este caso solo se captura una fotografía actualizada que se
utiliza para la ficha y el carnet de socio/a, quedando almacenada en la ficha personal
del socio/a en el ***SERVICIO.4 del Club. La verificación se realiza de forma
presencial y sin uso de biometría.

Añade que en casos en que la actualización no se ha realizado presencialmente,
mayoritariamente respecto de aquellos socios y socias que residen en el extranjero,
estas personas podían optar por un proceso telefónico, en el que se les solicitaba que
remitieran al FCB un correo electrónico con sus datos incluyendo su fotografía. La
verificación de los datos la realizaba el personal del FCB. Una vez finalizada la
verificación, la fotografía quedaba almacenada en la ficha personal del socio o socio.

“14-2¿Como se les da la información a los que acuden presencialmente a oficinas o
se les realiza telefónicamente, en cuanto a cumplir con el artículo 13 del RGPD?, ya
que, en la cláusula informativa, primera capa no figuraba esta opción. Copia de la
cláusula informativa que se les entregara en el acto.

Respondió FCB que, en esos casos, su personal asistía a las personas que acudían
presencialmente para actualizar el censo, procediendo como si se tratara del trámite
online. Con carácter previo se les leía el artículo 13 del RGPD a efectos de cumplir con
el deber de información y así la persona interesada pudiera dar su consentimiento a
los tramites del proceso.

“14-3 Ratifiquen que ninguno de los que acudieron presencialmente a la actualización
del censo dio dato biométrico de reconocimiento facial.”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

59/139

Responde FCB: “No, tal y como se ha dicho, el socio y socia que acudía a las
instalaciones del FCB podía optar por realizar el trámite de actualización del censo
con SBRF o de forma manual.”

“14-4 Ratifique de estos que acudieron presencialmente, si se les ofrecía la opción de
la recogida de la voz y como se realizaba la obtención del consentimiento explícito
para ello. información documental informativa sobre esa recogida de datos que se les
proporcionaba. Número total de socios/as a los que en presencial se les recogió la
voz.”

Respondió FCB que en el caso de que presencialmente el socio o socia quisiera
voluntariamente registrar su voz, se les ofrecía la posibilidad de completar el proceso
de igual modo que si lo hubiera hecho on line, pero en este caso con la asistencia del
personal del FCB, y, en consecuencia, habrían tenido que aceptar la política de
privacidad y consentirlo expresamente mediante la misma casilla habilitada en el
formulario. Como se ha dicho, el número de socios que consintieron presencialmente
la grabación de su voz es de 160.

“15 Referencia a los espacios en los que se (…) (se custodian en (…)), si es el mismo
sitio y si ambos datos forman parte del registro de socios que se menciona en el
estatuto del FCB.”
Respondió FCB “que la imagen de los socios y socias se almacena en (…).
El dato de voz no ha sido almacenado y por tanto no hay ningún archivo de voz de
ningún socio.”
“16 En su respuesta al traslado, en el punto 8, sobre adopción de medidas para evitar
incidencias similares, señaló que habían realizado una revisión legal durante la cual
suspendieron el tratamiento. A tal efecto, teniendo en cuenta la publicación por el
Comité Europeo de Protección de Datos (EDPB) de las directrices 5/2022, sobre el
uso de la tecnología de reconocimiento facial en el ámbito de la aplicación de la Ley,
versión 26/04/2023, (puntos 6 a 12), ¿qué consideración tomaron sobre este
contenido en el que se señala que tanto la autenticación como la identificación son
funciones distintas (explica antes en que consiste la autenticación) y concluye la
interpretación en que “ambas se refieren al tratamiento de datos biométricos
relacionados con una persona física identificada o identificable, y por lo tanto
constituyen un tratamiento de datos personales y, más concretamente, un tratamiento
de categorías especiales de datos personales”. Indiquen que consideración realizaron
sobre su caso concreto de la toma de datos biométricos de reconocimiento facial y de
la voz”.
Respondió FCB que fue considerado, pero se siguieron rigiendo por las
interpretaciones de la autoridad de control, AEPD, por ser la competente en la
interpretación de las cuestiones. “Asimismo, la existencia de un criterio dispar
adoptado por otras autoridades de control europeas nos recomendaba seguir
actuando según los criterios interpretativos de la AEPD como órganos al que estamos
directamente sometidos”.
Menciona que en el propio informe de la AEPD 0098/2022 de 22/12/2022 sigue un
criterio distinto al recogido por ese EDPB.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

60/139

“Aunque tuvieron en cuenta las consideraciones del EDPB, el criterio de actuación
para el tratamiento fue aplicar todas las interpretaciones y guías que hasta el
momento mantenía la AEPD, donde de forma clara y manifiesta en sus documentos y
guías, como ya se ha acreditado en anteriores escritos, hacia una clara distinción
entre autenticación e identificación y las implicaciones que estas acarreaban”
“En el momento de plantear, iniciar y realizar el tratamiento, siguiendo las guías e
interpretaciones de la AEPD aplicables en aquel momento, este respetaba la
normativa y principios de protección de datos”.
FCB señala en cuanto a la suspensión del proceso, que ya indicó que se produjo para
dar respuesta a la queja que tuvieron, y se realizó principalmente para corroborar si el
proceso de información no había sido suficientemente claro y sencillo como se
pretendía, “y no por tener dudas sobre la legalidad el procedimiento adoptado para
actualizar el censo, siendo este igualmente un punto que quedó ratificado”.
“17-1 En su escrito respuesta en Actuaciones Previas de investigación (API), indicaron
que comparaban la imagen del DNI con la del selfie que hacen y el software valida
que es la misma persona. A tales efectos se le solicita que informe si se compara cada
una de las imágenes obtenidas: DNI con selfie, o si lo que comparan son cada uno de
los vectores faciales extraídos, uno de la imagen del DNI, y otro de la foto selfie (así
parece deducirse de escrito fechado el 22/09/2022, titulado “análisis previo sobre el
uso de la biometría en el proceso de actualización del censo de socios y socias”,
también figura en el RAT “vectores biométricos cotejo facial “, que “los vectores
biométricos permanecen encriptados por parte de SIA durante siete días” y en el
traslado de la reclamación manifestó:
“VERIDAS no conserva ni los datos personales del usuario ni los vectores biométricos
que se han creado y una vez realizado el proceso para el que se nos ha contratado el
servicio y enviada la información relevante al FCB, el proveedor borra toda la
información que haya estado en sus servidores de forma automática”. En esta fase se
realizará el análisis de la veracidad del documento (con el tratamiento de los datos en
él contenidos) y de la identidad de la persona, para lo que se crearán dos vectores
biométricos: uno a partir de la foto que contiene el documento, y otro con el de la foto
selfi que se toma el usuario en ese momento; al compararlos entre sí (en un proceso
de los conocidos como 1:1 o uno-a-uno), se permite comprobar que una persona es
quien dice ser. Tras realizar la comprobación, estos datos se envían al FCB y se
eliminan los sistemas de VERIDAS al instante “

Respondió FCB que, en el proceso de comparación de la imagen del DNI con la selfi,
se tomaban datos biométricos únicamente de la cara y de la foto del DNI para generar
dos patrones que se comparaban entre si mediante un sistema uno a uno 1:1. Una vez
comprobado que la persona que realizaba el trámite era quien decía ser, el sistema
validaba el proceso y los datos se eliminaban de los sistemas de VERIDAS.

“17-2 Además, expliquen porque solicitan la imagen por las dos caras del DNI-“
Respondió FCB que por motivos de seguridad para poder comprobar que se trataba
de un documento auténtico. No se registraban copias de los DNI.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

61/139

“18 En su respuesta en el traslado, FCB informó que

Durante el proceso de alta, tanto a través de una app como de una web, se toma una
fotografía o vídeo del usuario y de un documento que le permita demostrar su
identidad. Todos los datos contenidos tanto en el documento como en la imagen del
rostro se mandarán a los sistemas de validación desarrollados por VERIDAS.

Considerando que en API indican que
“Una vez realizado el proceso de comparación facial, se elimina el DNI por parte del
FC Barcelona y los vectores biométricos permanecen encriptados por parte de SIA,
durante siete días en sus servidores propios ubicados dentro del Espacio Económico
Europeo. VERIDAS no aloja ningún dato biométrico en sus servidores propios ni
ajenos.

Explique ¿qué quiere decir:” Todos los datos contenidos tanto en el documento como
en la imagen del rostro se mandarán a los sistemas de validación desarrollados por
VERIDAS?, y, si el sistema software lo gestiona INDRA SIA, ¿por qué informan que se
manda a VERIDAS? y expliquen el motivo de que permanezcan los vectores
biométricos faciales encriptados por siete días en servidores propios de SIA
(subencargado de tratamiento)

-Si de VERIDAS se emplea el software y esta no accede a dato alguno, motivo por el
que se suscribe un contrato de subencargo de tratamiento por VERIDAS.”
Responde FCB que “tal como se ha indicado, VERIDAS, una vez finalizado el
proceso, no custodiaba ningún dato, ya que su función es proporcionar la aplicación a
través de la cual realizaba la validación del documento, y después los vectores se
suprimían automáticamente de sus sistemas”.
En cuanto a SIA, como empresa integrante del grupo INDRA y encargada del proceso
de comparación facial, mantenía los vectores encriptados durante un período de siete
días, en ningún caso guardaba ni las fotos ni los DNI. Estos datos encriptados se
conservaban por si se detectaba alguna incidencia en el proceso biométrico.
“ El término “todos los datos” hace referencia a que tanto los datos biométricos
obtenidos de la fotografía del DNI como a los obtenidos de la fotografía realizada en
tiempo real eran procesados por el motor biométrico. Los datos del documento y la
imagen se envían al sistema de validación desarrollado por VERIDAS, ya que este
proceso no se realiza en un terminal físico que toma datos y realiza una comprobación
in situ de la identidad de la persona interesada, no se trataría de un terminal físico que
aloja la información el mismo. Como el procedimiento biométrico se lleva a cabo a
distancia, requiere que la información sea enviada al sistema que validará los datos
solicitados, verificando que el socio o socia es quien dice ser al contrastar su imagen
(selfi) con la fotografía del documento de identidad. VERIDAS no conserva ni los datos
personales de la persona usuaria ni los vectores biométricos que se han creado: una
vez realizado el proceso para el que se ha contratado y enviada la información
relevante al Cliente, borra toda la información que haya estado en sus servidores de
forma automática.
En esta fase se realizará el análisis de la veracidad del documento (con el tratamiento
de los datos en él contenidos) y de la identidad de la persona, para lo que se crearán
dos vectores biométricos: uno a partir de la foto que contiene el documento, y otro con
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

62/139

el de la foto selfi que se toma la propia persona usuaria en ese momento; al
compararlos entre sí (en un proceso de los conocidos como 1:1 o uno-a-uno), se
permite comprobar que una persona es quien dice ser.
Tras realizar la comprobación, estos datos se eliminan de los sistemas de VERIDAS al
instante.”
Se indica por FCB que los datos se envían a VERIDAS porque se envían a su sistema
de validación, pues este es el proveedor subcontratado por INDRA/SIA y que ofrece el
servicio/sistema. INDRA es la empresa seleccionada por el FCB para implementar
todo el software para llevar a cabo el proceso de actualización del censo que, a su
vez, subcontrata a SIA la parte relacionada con el proceso de comparación facial y
grabación de la voz y que, a su vez, subcontrata a VERIDAS como empresa para
desarrollar y diseñar el software del proceso de comparación facial biométrico y la
grabación de voz, ya que es una empresa líder en el sector de la biometría, por esta
razón VERIDAS actúa como subencargado de INDRA-SIA.

“19-Sobre el SBRVOZ, se solicita que aporten la propia EIPD del FCB.”

Respondió FCB que como ya figura en alegaciones, a modo similar al del tratamiento
del SBRF, “del informe de valoración de riesgos se deduce la no obligatoriedad de
realizar una EIPD, no obstante, teniendo en cuenta la particularidad del sistema, se
decidió profundizar aún más en el análisis e incorporar a la valoración de riesgos los
puntos básicos de una EIPD para que fuera considerada como tal, “de modo que en el
informe se analizaron también” la proporcionalidad del tratamiento desde la
perspectiva de la necesidad.”

Aporta el documento “INFORME DE VALORACIÓN DE RIESGOS Y
PROPORCIONALIDAD DEL TRATAMIENTO DE DATOS PERSONALES CON
SISTEMAS DE BIOMETRÍA DE VOZ. FECHA, 22 DE DICIEMBRE DE 2022,
VERSIÓN 1.” Su estructura y composición es similar al informe del mismo tipo, sobre
el SBRF ( punto 4 de alegaciones al acuerdo, hecho octavo ).

Aporta el documento “INFORME DE VALORACIÓN DE RIESGOS Y
PROPORCIONALIDAD DEL TRATAMIENTO DE DATOS PERSONALES CON
SISTEMAS DE BIOMETRÍA DE VOZ. FECHA, 22 DE DICIEMBRE DE 2022,
VERSIÓN 1.” Su estructura y composición es similar al informe del mismo tipo, sobre
el SBRF ( punto 4 de alegaciones al acuerdo, hecho octavo ).

El documento no figuraba aportado ni en la respuesta al traslado ni en los dos
ocasiones en que se le requirió información en actuaciones previas. Tampoco FCB
refirió expresamente que el informe contuviera elementos que son propios de una
EIPD., aunque en la respuesta al traslado, hecho segundo 3) refirió que ha realizado
valoración de riesgos de los tratamientos y cuando se ha precisado o detectado su
necesidad en la valoración de riesgos, las correspondientes evaluaciones de impacto
de determinados tratamientos

Finalidades del tratamiento. Uso de la biometría por voz para la verificación de la
identidad de los socios y socias cuando realicen trámites telefónicos con el Club

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

63/139

Categoría de tratamientos:

- identificativos, nombre y apellidos

- Voz

En objeto de la valoración del riesgo, se refiere al que comporta a los derechos y
libertades de los socios y socias, de utilizar un sistema biométrico de voz (das- peak)
para verificación de su identidad cuando realicen tramites telefónicos con el Club

“Asimismo, teniendo en cuenta la particularidad del tratamiento, se considera
necesario analizar la proporcionalidad del sistema de tratamiento de datos para
determinar la necesidad del sistema de tratamiento.

En el apartado 6, de descripción del tratamiento divide en etapas el tratamiento:
captura de datos/clasificación/almacenamiento-Uso/tratamiento -cesión /destrucción,
con una simple descripción sin informar cuales concurren con la voz.

En el apartado 7, de proporcionalidad, se refiere al problema de los fraudes en
servicios de compra de entradas o cesión de asientos, uso fraudulento de carnets de
socio en dos modalidades, con los fallecidos, en los que no se comunican sus bajas y
se siguen utilizando y en los de los socios que ceden ilícitamente sus abonos o
carnets, y la valoración de realizar estos servicios telefónicamente con un sistema de
identificación, teniendo en cuenta que es un medio con mayor certeza y seguridad
para el Club y sus socios y socias.

Dentro de la proporcionalidad, figura “necesidad” e indica que, sobre la autenticación
de la voz, no existe ningún sistema no biométrico capaz de alcanzar el mismo objetivo,
previniendo el fraude o la suplantación de identidad que solo puede lograrse a través
de tecnologías biométricas, ya que permiten una verificación robusta sin comprometer
la seguridad en el almacenamiento de contraseñas o claves. Considera que ser
socio/a del FCB con los derechos y obligaciones legales y estatutarias establecidas,
conlleva una implicación jurídica e institucional alta y determina una carga legal que
asumen que hace que acreditar la identidad como socio con plena certeza, se
convierta en necesidad ineludible para confirmar los derechos y obligaciones
derivados de la condición de socio.

Respecto de la “eficacia”, indica el análisis que el sistema es eficaz “al que no se le
puede engañar, de manera que los socios y socias no podrán suplantarse entre ellos,
a diferencia de cualquier otro sistema que conlleva riesgos de suplantación.”

Señala sobre “perdida de intimidad”, que el uso del software de tratamiento de la voz
“das - peak” es menos invasivo en la privacidad de las personas, precisando solo una
grabación corta sin mencionar patrón alguno o frase concreta.

Sobre la existencia de medios menos invasivos, se ha tenido en cuenta por si existen
medios menos invasivos de la intimidad que pudieran alcanzar el mismo fin deseado, y
después de analizar las alternativas se ha comprobado que estas no pueden obtener
el mismo fin. “Todos los sistemas alternativos analizados carecen de mecanismos de
defensa ante suplantación”. Destaca su rapidez frente a otros sistemas de “verificación
basada en el conocimiento”, o con otros sistemas no biométricos como “phone-as-a
token” (OTP), que tarda cinco segundos para el registro y tres segundos para la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

64/139

verificación, con tecnología fiable de hasta el 99% porque el vector biométrico creado
por el motor biométrico que crea un vector biométrico único por persona.

Concluye este apartado indicando que “se pondera la legitimación con la posible
vulneración de derechos y libertades de los interesados, concluyéndose que éstos no
corren el riesgo de ser vulnerados por lo motivos anteriormente descritos y, hay un
equilibrio al no haber una intrusión significativa en su privacidad.”

Le sigue el apartado 8, de “análisis sobre la necesidad de realizar una EIPD” que ha
de analizar si el tratamiento puede suponer un alto riesgo para los derechos y
libertades de las personas.

Las valoraciones no analizan los riesgos, sino responde a supuestos contemplados en
la WP 248, como sí realiza tratamiento a gran escala, efectuando una comparación a
nivel de población del territorio en Cataluña, concluyendo que no lo realiza. En
categoría de datos tratados, no figura biométricos, con “categorías especiales” de
datos sin marcar, y debajo, marca en otra casilla, la “voz”: “extensión del tratamiento:
nivel internacional”.

En el mismo epígrafe, en naturaleza del tratamiento que no se combinan diferentes
conjuntos de datos, varias fuentes de información. También se indica que no se
refieren a personas en situación de vulnerabilidad, y no refiere que trata dato
biométrico en este apartado. En contexto del tratamiento figura Si en la casilla en “uso
de nuevas tecnologías, o tecnologías emergentes”, pero “no” en “uso de tecnologías
que de manera inherente añadan riesgos” ni en “cualquier otra circunstancia que
pueda generar un riesgo relevante para las personas”.

En alcance, indica que no se toman decisiones con efectos jurídicos. En uso de
nuevas tecnologías o emergentes, sí. En uso de tecnologías que de manera inherente
añadan riesgos, no. En finalidades indica que no se toman decisiones, y no se
especifica que se tratan datos biométricos. En percepción de la existencia de un riesgo
elevado por parte del responsable del tratamiento se indica que no puede conllevar
una pérdida o alteración de la información. En función de las varias notas negativas
que concurren, además de las señaladas, otra como que no se tratan datos
biométricos de categoría especial, concluye que no se considera que el tratamiento
entrañe riesgo para los socios y socias del FC.

El “volumen de datos es mínimo, ya que estamos tratando solo la voz del socio o socia
y, el resto de los datos ya está en posesión del FCB antes de este tratamiento”.

En “Tecnologías empleadas para el tratamiento “

- ¿Se prevé el uso de tecnologías que pueden percibirse como inmaduras, de reciente
creación o salida al mercado, cuyo alcance no puede ser previsto por el interesado de
manera clara o razonable e implique elevado riesgo para el acceso no autorizado?
(combinación de nuevas tecnologías, uso de dispositivos inteligentes) -SI

¿Este tratamiento puede conllevar una pérdida o alteración de la información?-NO, en
el apartado de “percepción de existencia de un riesgo elevado por parte del
responsable de la actividad del tratamiento”.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

65/139

En el apartado h de sistemas utilizados para el tratamiento, figura que:

“El sistema captura las características únicas de la voz a partir de un audio y las
compila en un vector biométrico único e irreversible asociado al ID del cliente”.

“En relación con el proceso de verificación de identidad, se realiza a través de un
modelo de autenticación 1:1, en el que el proceso actúa como un doble factor de
autenticación en el que, una vez que el usuario ha sido previamente identificado y se
ha obtenido un vector asociado a esa persona y que se asocia a su vez a un teléfono,
DNI, una contraseña, etc., en el momento en el que se captura una segunda
grabación (la grabación de verificación) se comparará con ese vector asociado; en
definitiva, se realiza una comparación entre los vectores biométricos extraídos de dos
audios concretos para saber si hay una coincidencia. Del resultado que se obtenga de
esa comparativa entre los vectores biométricos extraídos de ambos audios, se
obtendrá la verificación de la identidad o se rechazará la verificación por una no
coincidencia.”

Define vector biométrico como “una forma de representar las facciones de las
personas y que el vector se genera por el procesamiento del motor biométrico y que el
mismo se envía al cliente que será quien lo almacene en sus propios sistemas”, siendo
las notas del vector la irreversibilidad y la no interoperabilidad.

“VERIDAS no conserva ni los datos personales del usuario ni los vectores biométricos
que se han creado: una vez realizado el proceso para el que se nos ha contratado y
enviada la información relevante al Cliente, se borra toda la que haya estado en los
servidores de VERIDAS forma automática.”

Acompaña un cuadro de “garantías del software das- peak” y sus certificaciones.

En el apartado 10 “conclusiones sobre la necesidad de realizar una
EIPD” indica que los datos biométricos que trata no se pueden considerar como
categorías especiales de datos, no están incluidos en los artículos 35.1 y 2 del RGPD,
se realiza con consentimiento de las personas asociadas, no se evalúan
sistemáticamente aspectos personales, con base al volumen de número de socios que
puede afectar, 143.000 no los considera tratamiento a gran escala, no se toman
decisiones automatizadas que puedan tener efectos jurídicos o les impida obtener
servicios o beneficios, a pesar de utilizarse nuevas tecnologías, dada la seguridad de
las mismas, no se considera que entrañe riesgo para os socios, y a pesar de que los
tratamientos se podrían encuadrar dentro de las tecnologías consideras inmaduras, el
software utilizado es totalmente seguro, disponiendo su titular de certificaciones, por lo
que su uso no entraña riesgos para los socios

“No se percibe por parte del responsable que la actividad principal del
tratamiento implique un riesgo elevado, por lo que en base a los tres niveles de
análisis y de las respuestas del cuestionario, se concluye que el tratamiento de datos
biométricos de voz para la verificación de la identidad de los socios y socias cuando
realicen trámites telefónicos, no implican la necesidad de realizar una evaluación de
impacto”.

Le sigue el apartado 11, “Análisis de la valoración de riesgos”, en el que se contiene
una relación de 19 riesgos que indica se han tenido en cuenta para la valoración.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

66/139

Le sigue el ciclo de vida de los datos en las actividades de tratamiento bla de
explicación del proceso con una somera explicaciones en cada fase, sin descripción
de flujos o períodos específicos de las operaciones, junto a intervinientes: área de
socios, y tecnología empleada

Le sigue un cuadro con “listado de los principales procesos claves identificados” del
funcionamiento del registro de la voz en registro, proceso de verificación, eliminación
de usuario, constando entre otra información:

“-Se lleva a cabo un proceso de comparación entre el vector biométrico
generado a raíz del audio de registro y un nuevo vector biométrico que se genera a
través de un nuevo audio del usuario (audio de verificación) se realiza una
comparativa buscando las coincidencias (se elimina el ruido y los espacios de silencio,
etc.) y se obtiene un resultado numérico de coincidencia, si este resultado obtenido
supera los niveles necesarios determinados por el Cliente, se producirá la verificación
de la identidad

-El vector biométrico se extrae de un audio de voz de la persona, donde
se tendrán en cuenta las características físicas del aparato vocal y los rasgos de
frecuencia, velocidad o acentos, recopilándolos en un vector biométrico de voz único e
irreversible para la persona

Continua con el anexo B1, “Valoración de riesgos”, en el que figura la matriz usada de
probabilidad/impacto, cuatro puntos en cada sentido

En: “riesgos por defecto”, figura dividido en Riesgos asociados a:

“la protección de la información” con el mismo contenido que en el SBRF y las mismas
medidas de control pág. 26 VS 48, con resultado “poco riesgo” figurando referidas
“medias de control“. Constan:

-Los valores de probabilidad de riesgo a la modificación o alteración de
datos personales no intencionada son de 1 de probabilidad dos, de impacto, medidas
control: segregación de funciones mediante perfiles de acceso. Como a controles de
monitorización, amenazas en red, configuración logs de acceso a los ficheros.

-Pérdida o borrado no intencionado de datos personales. Probabilidad 1.
Impacto 2. Medidas de control, realización de copias de seguridad.

Confidencialidad, acceso no autorizado a los datos personales,
probabilidad dos. Impacto 1. Medidas de control: Concienciación del deber de secreto.
Inventario de recursos con datos accesibles a través de redes de telecomunicaciones.
Segmentación de la red y aplicaciones informáticas. Políticas de. Necesidad de
conocer para acceder a la información, a los trabajadores de que acceden a datos del
deber de guardar secreto y sus consecuencias. Destrucción de soportes desechados
contengan datos personales.

-Violaciones de las confidencialidad, datos personales por parte de los
empleados, probabilidad 1. Impacto dos. Formación de empleados respecto a la
confidencialidad. Establecimiento de sanciones disuasorias.

“Al cumplimiento normativo”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

67/139

Destacando la puntuación menor, 1, en probabilidad e impacto para la ausencia o no
formalización de la base legitimadora para el tratamiento de datos personales o la
cesión. Grado despreciable, medida de control; no es posible la grabación de la voz
sin el previo consentimiento de los usuarios sin su participación en la grabación. El
mismo nivel se otorga a recoger datos sin proporcionar la debida información o
dificultades para garantizar la legitimidad de datos personales.

“Calidad de datos”

Subrayando el menor valor dado a la recopilación de datos no pertinente o excesivos
para la finalidad prevista, medida: la voz es el único dato recabado, igual que en
conservación de datos más tiempo del necesario.

“Derechos arco”

“Seguridad, tipología del riesgo: Gestión de incidencias, riesgo: incapacidad para
detectar o gestionar incidentes que afecten a la seguridad, grado: poco riesgo. medida
de control “auditorías internas y externas de seguridad informática”

En el apartado de conclusiones: “Una vez analizados cada uno de los riesgos se
observa que el riesgo del proceso tratamiento de datos analizado es mínimo y, el poco
riesgo detectado queda ampliamente compensado con las medidas de control
propuestas."

“20 Copia del análisis de riesgos del tratamiento del SBRF para la actualización del
censo de socios/as y medidas adoptadas para mitigar sus efectos, que en su
respuesta al traslado de la reclamación manifiesta llevó a cabo a través de un
cuestionario o de cualquier otra forma en que se hubieran realizado.”

Respondió FCB lo mismo que en el punto anterior en cuanto a la realización del
informe de valoración de riesgos de no tener la obligación de realizar EIPD y se
decidió incorporar al análisis los puntos básicos de una EIPD.

Aporta copia del documento “INFORME DE VALORACIÓN DE RIESGOS Y
PROPORCIONALIDAD DEL TRATAMIENTO DE DATOS PERSONALES CON
SISTEMA DE BIOMETRÍA FACIAL PROCESO ACTUALIZACIÓN CENSO. fecha,
22/11/2022, versión 1”.

El documento resulta coincidente con el copipega que figura en hecho octavo,
alegaciones punto 4.

“21 Aporten copia de la reunión que figuraba en listado de reuniones del DPD, en
concreto de 28/04/2023: “Análisis de idoneidad y legalidad del proceso biométrico de
actualización del censo”.

Respondió FCB manifestando que no tienen constancia de la reunión alguna en la
fecha indicada.

Sin embargo, en la segunda petición de información de API, figura en la respuesta de
FCB en “relación de reuniones mantenidas -Censo socios FCB” del DPD “análisis de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

68/139

idoneidad y legalidad del proceso biométrico de actualización del censo”, tras el
requerimiento de información recibido de la AEPD”, siendo el documento que se
requería y aunque no coincidía en la petición la fecha, si el título, no siendo remitido

“22 En alegaciones al acuerdo de inicio, aportan un informe que indican cumple los
requisitos de la EIPD, no lleva título y está fechado el 22/11/2022. Se solicita que
indiquen para que fines se completó dicho informe y como se denomina. Reseñen en
que documento y fecha fue aportado previamente (en respuesta al traslado o en las
actuaciones previas).

En dicho documento, refieren las etapas que en general se podrían dar en cualquier
tratamiento. Deberán especificar para la actualización del censo cuales se cumplirían
específicamente y el tiempo de tratamiento o pervivencia según cada etapa, en sus
sistemas o en los del encargado/subencargado. Informen asimismo en el apartado de
“ciclo de vida de los datos en las actividades de tratamiento”, si se vuelven a solicitar
datos de contacto, cuales, y que significa en “descripción sistemática de las
operaciones y finalidades del tratamiento -flujos de datos entre sistemas:
***SERVICIO.4 del FCB y software das-face “.

Dada la opción de voluntariedad de los socios en la realización de la actualización del
censo a través de la presencia en la sede física y dado que en el documento reseñado
no se analiza la necesidad del tratamiento, habida cuenta que el número de personas
asociadas en el extranjero y en España, unos siete mil en cada lado, la menor parte,
¿Qué juicio de necesidad en el tratamiento de actualización del censo hicieron?”

Respondió FCB que el informe se completó para los fines de realizar una valoración
inicial de riesgos para identificar y determinar los riesgos asociados al uso de la
biometría en el proceso de actualización del censo y, en base a sus conclusiones, si se
debía realizar o no una evaluación de impacto y valorar los riesgos del tratamiento
para los derechos y libertades. Este informe se denominó INFORME VALORACIÓN
DE RIESGOS Y PROPORCIONALIDAD DEL TRATAMIENTO DE DATOS
PERSONALES CON SISTEMA DE BIOMETRÍA FACIAL PROCESO
ACTUALIZACIÓN.

El contenido esencial de dicho informe fue aportado en el escrito del requerimiento de
información de fecha 25/05/2023.

En cualquier caso, volver a remarcar que en este proceso no se prevé la solicitud de
datos de contacto de nuevo (en todo caso estos se pueden actualizar si son
incorrectos).

En cuanto al juicio de necesidad, este fue analizado y superado en el informe previo
que se realizó y al que se hace referencia en este punto. En este, se analiza si optar
por el uso de este sistema es ineludible para responder a la finalidad identificada, que
es la obligación estatutaria de actualizar el censo de socios y socias del FCB. Es decir,
se analiza si el sistema era esencial para satisfacer la finalidad perseguida o si
únicamente se escogía por su agilidad o rentabilidad, siendo la conclusión y valoración
la siguiente:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

69/139

“A estos efectos, se concluye que efectivamente este sistema es proporcional, al ser
necesario para responder a la obligación exigida en los Estatutos del FCB de
mantener el censo de socios y socias del Club actualizado y por no tratarse
simplemente del sistema más ágil o económico, sino del sistema más idóneo al tener
en cuenta varios aspectos como son: la resiliencia del sistema, la cantidad de socios y
socias (143.000) que deben actualizar su ficha y la posibilidad de que todos los socios
y socias, independientemente de su ubicación geográfica, puedan utilizarlo sin tener
que trasladarse a las oficinas centrales del FCB en Barcelona, así como las garantías
de seguridad y autenticidad que ofrece. Por lo tanto, es imperativo contar con un
sistema que permita actualizar el censo desde distintas ubicaciones con las máximas
garantías de fiabilidad, algo que solamente se puede llevar a cabo, sin que los datos
puedan ser manipulables, con un sistema de este tipo.

En este informe se ha concluido que, aunque existan otros sistemas y alternativas
posibles, estas no son igualmente válidas, pues no ofrecen el mismo grado de
protección y veracidad. Por lo que estos mecanismos alternativos podrían suponer un
incumplimiento de la finalidad que la actualización del censo pretende cumplir y por
ello han sido descartados, determinando así la necesidad del sistema escogido. “

“El análisis de riesgos respecto al proceso de actualización del censo se ha realizado
exclusivamente para la opción de comparación facial, ya que, para el resto de los
supuestos, telefónico o presencial, no requiere ningún análisis específico ya que no se
solicitan nuevos datos personales y tan sólo se trata de una actualización para dar
cumplimiento, no sólo a los Estatutos del Club, sino también a la obligación de
mantener los datos actualizados tal como exige el artículo 5.1.d del RGPD.

El juicio de necesidad del proceso de comparación facial adoptado para la
actualización del censo de 2023, se realizó en base al conocimiento del Club de
fraude en el uso de los carnés y al hecho de que con ninguno de los procesos de
actualización anteriores (como, por ejemplo, el uso de formularios) se pudo solventar
este problema. La prueba más evidente de que el sistema adoptado de comparación
facial era necesario para llevar un proceso de actualización preciso y efectivo, es el
hecho de que 14.433 socios y socias del Club no han realizado el proceso de
actualización, perdiendo consecuentemente su condición de socio o socia,
evidenciando que un gran número de carnés en activo no estaban siendo utilizados
por sus titulares reales, por lo que, con este sistema, no han tenido manera de poder
actualizarlos y seguir utilizándolos. Cierto es que el sistema de comparación facial no
era obligatorio, no obstante, por las razones ya expuestas, desde el Club se priorizó
su utilización por medio de información a los socios y socias y, dados los resultados,
se demuestra que ha sido efectivo, ya que los socios y socias lo han utilizado
masivamente, se han detectado miles de casos que han optado por no actualizarlo,
presumiblemente por un uso indebido de los carnés.”

DÉCIMO: Emisión de propuesta de resolución de 4/11/2025
Con fecha 4/11/2025, se emitió por el Instructor propuesta de resolución con el tenor:

“Que por la Presidencia de la Agencia Española de Protección de Datos se sancione a
FÚTBOL CLUB BARCELONA, con NIF G08266298, por:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

70/139

-Una infracción del artículo 35 del RGPD, de conformidad con el artículo
83.4.a), calificada como grave a efectos de su prescripción en el artículo 73.t) de la
LOPDGDD, con una multa administrativa de 500.000 euros

Que por la Presidencia de la Agencia Española de Protección de Datos se DECLARE
EL ARCHIVO a FÚTBOL CLUB BARCELONA, con NIF G08266298, por:

-Una infracción del artículo 9 del RGPD, de conformidad con el artículo
83.5.a) del RGPD.”

DÉCIMO PRIMERO: Alegaciones a la propuesta
Con fecha 21/11/2025, se recibieron alegaciones del FCB en las que manifiesta:

PRIMERA.- SOBRE EL CARÁCTER IMPERATIVO ATRIBUIDO A LA EVALUACIÓN
DE IMPACTO RELATIVA A LA PROTECCIÓN DE DATOS (EIPD)

1-Manifiesta FCB que los datos objeto del tratamiento fueron usados para fines de
autenticación y no tenían la consideración de categoría especial en el momento en que
fueron tratados, criterio entonces vigente de la AEPD. Considera que si no estamos
ante datos de categoría especial, no haría falta una EIPD. Habiendo actuado conforme
a los criterios y orientaciones vigentes en el momento de los hechos, se vulneran los
principios de seguridad jurídica y confianza legitima, no pudiendo ser responsabilizada
por tal conducta.

2-Sobre la consideración de la AEPD como tratamiento de alto riesgo de estos datos
biométricos para los derechos y libertades fundamentales de las personas físicas
usado por el FCB, considera que se ha de tener en cuenta en la interpretación del
RGPD cuando se evalúa la necesidad de realizar una EIPD, que el Reglamento de
inteligencia artificial de 2/10/2024 establece expresamente que el tratamiento de datos
biométricos en contextos cuya única finalidad sea confirmar que una persona física
concreta es la persona que afirma ser, no genera un riesgo elevado, sino que se
considera de riesgo bajo o inexistente para los derechos y libertades de los
interesados. Aporta copipega de ANEXO III, que indica

“Los sistemas de IA de alto riesgo con arreglo al artículo 6, apartado 2, son los
sistemas de IA que formen parte de cualquiera de los ámbitos siguientes:

1.Biometría, en la medida en que su uso esté permitido por el Derecho de la Unión o
nacional aplicable:

a) Sistemas de identificación biométrica remota

Quedan excluidos los sistemas de IA destinados a ser utilizados con fines de
verificación biométrica cuya única finalidad sea confirmar que una persona física
concreta es la persona que afirma ser”.

3-Rebate FCB, por estimar que no se cumple, la consideración de la AEPD en cuanto
a que no concurren las circunstancias que se enumeran en la propuesta como criterios

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

71/139

para calificar los dos tratamientos realizados como de alto riesgo, y que se contienen
en la guía WP 248, con los siguientes argumentos:

-A-“2. Tratamientos que impliquen la toma de decisiones automatizadas o que
contribuyan en gran medida a la toma de tales decisiones, incluyendo cualquier tipo de
decisión que impida a un interesado el ejercicio de un derecho o el acceso a un bien o
un servicio o formar parte de un contrato.“

FCB afirma que “no se realizaban decisiones automatizadas con consecuencias
negativas.”

Manifiesta FCB al respecto que en cuanto al SBRF, el sistema no bloquea ni excluye
automáticamente al socio cuando el resultado del cotejo es negativo. “Como ha
expuesto esta parte anteriormente en sus escritos, el algoritmo de la solución técnica
de VERIDAS comparaba entre si los descriptores biométricos, para otorgar la
validación en función del umbral establecido por el sistema, y en el eventual caso de
que no se superara el citado umbral, aparecía un mensaje advirtiendo que no se podía
continuar con el proceso, debiendo contactar con el FC Barcelona para facilitarle la
actualización del censo por otras vías.

Así, el sistema no bloqueaba ni excluía automáticamente al socio en caso de fallo,
sino que se le informaba de la imposibilidad de continuar con el proceso, y se le
ofrecía un canal de asistencia humana para resolverlo. Por tanto, para las personas
que iniciaban el procedimiento de actualización del censo, el uso de este sistema en
ningún caso implicaba la baja automática”.

“En relación con el sistema SBRVOZ, en el hipotético caso de que el sistema no
pudiera validar la voz, la única consecuencia era la emisión de un mensaje informativo
instando al interesado a contactar con el Club, a fin de ofrecerle otras vías para
completar el trámite requerido. Por tanto, no existía ninguna decisión automatizada
que produjera directamente efectos jurídicos para el socio o la socia.“

-B-“5. Tratamientos que impliquen el uso de datos biométricos con el propósito
de identificar de manera única a una persona física.“

Manifiesta FCB al respecto que no se comprende como aplica este criterio, cuando ya
ha archivado la cuestión sobre la consideración del carácter especial o sensible o no,
de los datos biométricos por tratamiento, considerados como autenticación o
identificación en las fechas (acabados los tratamientos en 30/11/2023) en que se
llevaba a cabo el citado tratamiento al mantener un criterio inequívoco sobre ello,
estando clasificados como datos biométricos fuera del artículo 9.1 del RGPD.
Mantener este punto supone una incongruencia según indica FCB.

-C-“7. Tratamientos que impliquen el uso de datos a gran escala. Para
determinar si un tratamiento se puede considerar a gran escala se considerarán los
criterios establecidos en la guía WP243 “Directrices sobre los delegados de protección
de datos (DPD)” del Grupo de Trabajo del Artículo 29. “

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

72/139

FCB sobre este punto señala la indeterminación de su definición que no consta en el
RGPD ni en la LOPDGDD, incluyendo el considerando 91 que contiene más
conceptos indeterminados. Las Directrices sobre los Delegados de protección de datos
WP 243 indican que “no es posible dar un cifra exacta aplicable a todas las
situaciones, en relación con la cantidad de datos ni con el número de personas
afectadas”, solo propone factores orientativos que son indeterminados, siendo su
aplicación práctica subjetiva. Considera FCB que frente a tal indeterminación, la AEPD
sostenga que los tratamientos implican el uso de datos a gran escala sin realizar un
análisis de dicha inseguridad ni aporte criterios objetivos que permitan justificar tal
calificación.

Sobre la afirmación de que ambos tratamientos abarcan a todos los socios, FCB
considera que en principio la actualización del censo se utilizó sobre todos los socios,
pero se pregunta si por ello ha de catalogarse como de gran escala. FCB realiza una
comparación de la cifra del número de sus personas asociadas en relación con la
población total estatal y mundial, representando el número de socios en España,
139.220, un 0,28% sobre la población en España, y los 143.000 sobre la población
mundial, un 0,0%.

Considera que la afirmación de que el tratamiento del dato voz estaba previsto para
tiempo indefinido no es correcta, pues la persona podía retirar el consentimiento o
dejar de ser socio.

Finaliza indicando que la existencia de interesados socios en distintos países, un total
de 7.826 personas no puede ser tenido en cuenta como un factor que contribuya a
definirlo como a gran escala.

FCB manifiesta que finalmente no realizaron el proceso de actualización del censo con
SBRF a los 143.00 consignados, debiendo restar los que en absoluto lo actualizaron:
14.433, más los que lo hicieron vía presencial: 12.249. En el SBRF reduce la cifra a
72.808 personas.

-D-“9.Tratamientos de datos de sujetos vulnerables o en riesgo de exclusión
social, incluyendo datos de menores de 14 años, mayores con algún grado de
discapacidad, discapacitados, personas que acceden a servicios sociales y víctimas
de violencia de género, así como sus descendientes y personas que estén bajo su
guardia y custodia”

FCB indica que el proceso no se ejecutaba de manera autónoma por el menor, sino
conjuntamente con su tutor legal, padre o madre, no siendo el menor el que facilitaba
los datos por sí mismo sino su representante legal quien autorizaba el tratamiento-
Manifiesta que reconoce que concurre este criterio, pero por sí solo no impele a
realizar una EIPD.

-E-“10.Tratamientos que impliquen la utilización de nuevas tecnologías o un
uso innovador de tecnologías consolidadas, incluyendo la utilización de tecnologías a
una nueva escala, con un nuevo objetivo o combinadas con otras, de forma que
suponga nuevas formas de recogida y utilización de datos con riesgo para los
derechos y libertades de las personas…”.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

73/139

Señala el FCB, que la afirmación de que admitió el uso de tecnologías inmaduras no
es acertada pues no son tecnologías novedosas, ya que su uso se viene entendiendo
en ámbitos como el de verificación de identidad remontándose a décadas atrás,
poniendo ejemplos de su uso en la Super Bowl de 2001 o para el bloqueo y
desbloqueo de dispositivos. Asimismo, la biometría viene siendo objeto de “análisis y
regulación continuada desde hace más de dos décadas,” poniendo de ejemplo el
documento de trabajo sobre biometría de 2003 WP 80, el Dictamen 3/2012 en el que
cita la biométrica como tecnología madura. Considera FCB que estas tecnologías que
podrían catalogarse de emergentes se han implementado con garantías suficientes de
seguridad, siendo tecnologías consolidades técnica y jurídicamente.

Asimismo, FCB no aprecia que el tratamiento implique un uso innovador de la
tecnología que suponga nuevas formas de recogida o uso de datos con riesgo para los
derechos y libertades de las personas, tratándose de una tecnología ampliamente
regulada y consolidada desde hace décadas.

Sobre la afirmación que contenía el informe del DPD de 9/11/2022 “conclusiones sobre
el análisis de tratamiento de datos biométricos en el proceso de actualización del
censo de que “En cuanto a las tecnologías empleadas, a pesar de que los
tratamientos biométricos se podrían encuadrar dentro de la definición de tecnologías
consideradas inmaduras, el software utilizado esta contrastado y se ha determinado
que es totalmente seguro”, señala FCB que ningún riesgo hay para sus socios
derivado del tratamiento, FCB indica que no utiliza tal afirmación absoluta sino como
una forma de transmitir que el sistema era seguro dentro de los estándares razonables
como sinónimo de adecuada.

SEGUNDA.- CONSIDERACIONES ACERCA DE LOS DEFECTOS ATRIBUIDOS A
LOS INFORMES DE ANÁLISIS DE RIESGOS
Manifiesta FCB su discrepancia sobre la afirmación de la propuesta de que la
realización de los análisis de riesgo por la fecha que llevan, posterior a la firma de los
contratos de encargo de tratamiento y prestación de servicios invalida de facto
cualquier conclusión posterior sobre el ajuste del tratamiento al RGPD. Manifiesta al
respecto que se le da relevancia a firma de los contratos que no es decisiva para
determinar la idoneidad o nulidad de todo un proceso. “Además, no es cierto que
ninguno de los contratos se firmaran antes de realizar los correspondientes análisis de
riesgos”.

FCB explica que un análisis de riesgos es un proceso que requiere cierto tiempo,
necesita conocer la tecnología que se emplearía, las soluciones informáticas,
recopilación de datos e información, no se hace en un día. Manifiesta FCB que tras la
decisión de junio 2022 de acometer la actualización del censo, se plantearon hacerlo
con datos biométricos y analizaron posibles proveedores, con inicio de contactos y
recopilación de información para determinar que proveedores podían llevarlo a cabo,
ya que era un servicio nuevo. Estima FCB que el contacto con los proveedores para
conocer la opciones de mercado y soluciones ofrecidas y el análisis de riesgo del
tratamiento teniendo en cuenta las posibles solucione ofrecidas, cursan en paralelo.
Una vez constatadas que las opciones que ofrecía INDRA eran las que mejor podían
encajar, se tuvo en cuenta en el análisis que ya se había iniciado en abstracto. “La
información técnica y el asesoramiento brindado por el proveedor durante el proceso
de valoración de riesgos es necesario para poder hacer el análisis concreto e incluirlo
en el informe”.“ En el mes de septiembre 22/09/2022 se hizo participe al DPD de dicho
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

74/139

proceso solicitándole la emisión de un informe al respecto, cuyas conclusiones se
emitieron el 8/11/2022. “ teniendo que disponer también de la información técnica
aportada previamente por el proveedor al que se le pretendía encargar el tratamiento,
correspondiéndose con la fecha final de emisión y firma del documento, fecha del
cierre formal del proceso, que por fuerza se había iniciado y realizado con
anterioridad. La fecha encierra detrás la valoración de un proceso que se dilata en el
tiempo. Añade FCB que los contratos se firmaron cuando el análisis ya se había
iniciado, considerando los informes del DPD.

“Es evidente que el proceso de análisis de riesgo se había iniciado con anterioridad.”

Añade que ello no era obstáculo para haber podido introducir la revisión de las
medidas y su actualización cuando fueran necesarias introduciendo los elementos
necesarios como adendas o anexos si se hubiera dado en el ínterin.

FCB indica que los informes de valoración llevan fechas distintas porque el tratamiento
de la voz fue un tratamiento adicional que se planteó con posterioridad, aunque
siempre ambos con anterioridad al inicio de los tratamientos.

Sobre el contenido del fondo de los análisis de riesgos de los defectos que muestra la
AEPD, estima FCB que no existe un criterio preestablecido o específico para la
valoración de los riesgos, sino guías orientativas como la “Guía práctica de análisis de
riesgos en los tratamientos de datos personales sujetos al RGPD” elaborada por la
AEPD, “a la que se ciñó FCB”.

Considera que se ajusta a la Guía mencionada en:

-La citada Guía establece para determinar si es necesario llevar a cabo la
EIPD, una metodología de dos fases. La primera analizando las listas de tratamientos
previstos en la regulación, arts. 35.3, 4 y 5 del RGPD. La segunda fase “análisis de la
naturaleza, alcance, contexto y fines del tratamiento art 35.1 RGPD”, elementos que
se contienen en sus dos informes. Indica que tras realizar las evaluaciones se
determina que “no es preciso llevar a cabo la EIPD”.

Quedando descartada la existencia de alto riesgo y, por consiguiente, la obligación de
realizar la EIPD, se procede al análisis siguiente, siguiendo también la metodología de
la Guía:

1. Por un lado, se documenta la descripción de las operaciones de actividades de
tratamiento tomando como ejemplo la misma plantilla proporcionada en el Anexo II de
la Guía. Así, las etapas en las que clasificamos el ciclo de vida de los datos (captura,
clasificación/almacenamiento, tratamiento, cesiones y transferencias internacionales, y
destrucción) y la clasificación de los elementos involucrados en cada una de estas
etapas (actividades, datos, intervinientes y tecnología) coinciden con las etapas y los
elementos indicados en la Guía. Por ello, sorprende las manifestaciones que se
efectúan sobre la descripción del ciclo de vida de los tratamientos de ambos informes,
cuando lo cierto es que la Guía no establece la obligación de realizar una tan
pormenorizada descripción en los términos ahora exigidos, ni hay impedimento para
que los tratamientos que se apoyan en la misma tecnología presenten similitudes en
su ciclo de vida. “De hecho, en la guía se indica que para actividades de tratamiento
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

75/139

con soporte en la misma tecnología, la exposición a los riesgos derivados de su uso
será similar, y se podrá agrupar bajo este criterio las actividades de tratamiento a hora
de identificar, evaluar y tratar los mismos”.

2.En cuanto al proceso de análisis de los riesgos, especifica FCB que se documenta
con base de lo descrito en la Guía y que no era conocedora que era exigible e
indispensable para la validez de los informes. Añade que la Guía no refiere nada sobre
respaldo documental respecto a las conclusiones obtenidas ni respecto de ningún otro
apartado y que si es preciso matizar cuestiones específicas, como autoridad de
control, debe proporcionar pautas y directrices y haberlo incluido en la Guía para que
los responsables del tratamiento conozcamos.

“Resulta especialmente llamativo que se exija un nivel de detalle tan exhaustivo —por
ejemplo y entre otras, justificar numéricamente la probabilidad e impacto, explicar
nuestro método concreto para determinar las cifras de probabilidad e impacto,
diferenciar riesgo inherente y residual, o explicar cómo las medidas reducen el riesgo
— cuando tales cuestiones exceden claramente del marco metodológico previsto en la
Guía. Más sorprendente aún es que de ello se pretenda derivar la validez del análisis.
“ Esta situación crea inseguridad jurídica y constituye una interpretación extensiva” y
excede el contenido metodológico disponible y obligaciones tanto del RGPD como de
la LOPDGDD. “La inobservancia de las pautas, inexistentes previamente no pueden
considerarse como fundamento suficiente para la invalidación de los informes”.

TERCERA.- SOBRE LA MODIFICACIÓN DE LOS TÉRMINOS QUE MOTIVARON LA
INCOACIÓN DEL EXPEDIENTE SANCIONADOR Y SU NUEVA INTERPRETACIÓN

FCB indica que “mientras la incoación del expediente se sustentaba en la necesidad
de la EIPD por la concurrencia de datos de categoría especial, una vez descartado
este argumento, se pretende ahora mantener la presunta infracción del 35 RGPD.”

“Esta reflexión se fundamenta en que el nivel de riesgo atribuido a la actualización del
censo, que, fue considerado alto por la AEPD al estar vinculado con la naturaleza
biométrica de los datos tratados, tal y como se extrae del escrito de incoación del
expediente sancionador. En este sentido, cabe concluir que la biometría fue el factor
determinante para que la Agencia considerara el tratamiento como de alto riesgo, por
su potencial impacto en los derechos y libertades de los interesados. Si se elimina
este elemento, el tratamiento se reduce a una mera actualización censal, en
cumplimiento de una obligación estatutaria y legal, con un riesgo claramente inferior y
comparable a otros procesos ordinarios que no requieren EIPD.

No obstante, el tratamiento de datos biométricos ha quedado descartado y, pese a
ello, se pretende ahora sustentar la imposición de la sanción en un motivo distinto: la
supuesta falta de análisis global de los tratamientos que lleva a una conclusión
presuntamente errónea sobre la necesidad de la EIPD, así como una serie de
supuestos defectos de forma y fondo en los mismos.

Dado que de ello depende la resolución del expediente sancionador, se ciernen serias
dudas sobre si esta alteración respeta el principio de congruencia, habida cuenta de
que se pretende sustentar la imposición de la sanción en cuestiones distintas a las
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

76/139

que motivaron la incoación del expediente sancionador y, además, en supuestos
defectos de forma y fondo en los análisis de riesgos, cuestión que no se encuentra
regulada en el precepto cuya infracción constituye ahora, tras el archivo parcial, el
único fundamento del expediente (art. 35 RGPD).

Cita diversas sentencias ejemplificadoras del principio, entre otras, las del Tribunal
Supremo sobre esta cuestión, recogido en su Sentencia núm. 570/2025, de 14 de
mayo, del Tribunal Constitucional núm. 138/1985 de 18 de octubre.

Asimismo, conviene señalar que el principio de congruencia resulta igualmente
exigible en vía administrativa, conforme ha recordado la Sentencia del 13 de julio de
1995 (RJ 1995, 6238): “El principio procesal de congruencia es en la jurisdicción
contencioso-administrativa y en el proceso administrativo de perfiles más rigurosos
que en el civil” (el subrayado y la negrita son nuestros).

En este sentido, cabe extrapolar lo anterior al presente caso, pues el motivo por el que
inicialmente se pretendía sancionar a esta parte —la falta de una EIPD para el
tratamiento de datos biométricos—, tras quedar descartado, está siendo reconducido
por la AEPD en lo que parece ser un intento de mantener una sanción que, a nuestro
parecer, carece de fundamentación al haberse descartado el tratamiento de datos
biométricos. Pero no solo eso: cuando se invoca la existencia de supuestos defectos
de forma y fondo en los análisis de riesgos, la alteración de los fundamentos es tal que
no guarda relación con lo que el artículo 35 RGPD —precepto sobre el que se basa la
sanción— efectivamente regula. “

Lo expuesto permite concluir que no se está actuando dentro del límite de los motivos
que fundamentaron la incoación del expediente, lo que está produciendo indefensión a
esta parte. Por todo ello, solicitamos respetuosamente a la AEPD que evalúe si su
propuesta de sanción se ajusta a los límites y términos expuestos al inicio del
expediente, garantizando la congruencia exigida a la Administración.“

CUARTA.- SOBRE LAS CIRCUNSTANCIAS QUE INDICA LA AEPD QUE
CONCURREN PARA LA DETERMINACIÓN E IMPOSICIÓN DE LA MULTA
FCB no comparte dentro de la propuesta de sanción, del fundamento de derecho VII:

-Sobre lo contenido en el artículo 83.2.a) del RGPD. En cuanto a la calificación de la
tecnologías biométricas como inmaduras, ya ha puesto de manifiesto que no es el
sentido ni la definición que se da a la tecnología usada en los análisis de riesgos
efectuados. Además, se indica que se efectuaban decisiones automatizadas, pero
como ya se ha indicado también en este escrito, ni la identificación ni la recopilación
del dato a través de los sistemas empleados en sí mismo lleva aparejada la
denegación de ningún servicio ni la toma de una decisión, pues siempre existió la
posibilidad de dirigirse presencialmente o ponerse en contacto directamente con el
Club y la segunda fase de la prestación de servicios telefónicos nunca se llevó a cabo.

Sobre que la gravedad de la infracción derivada tanto del volumen de datos como de
la naturaleza de los mismos considera que los datos tratados en los procesos que se
analizaban se limitaban por un lado a dos imágenes de la persona asociada y por otro,
únicamente a la voz, pues el resto de los datos como pudieran ser nombre y apellidos,
fecha de nacimiento, nacionalidad y firma ya se trataba por la misma condición de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

77/139

persona asociada. En cuanto a la naturaleza de los datos, no pueden ser calificados
como de categoría especial de datos.

“Asombra también que se alegue sobre la infracción del artículo 35, el “incumplimiento
de dicha obligación antes del inicio material de los tratamientos de estos datos
provoca el aumento del riesgo de que los titulares de dichos datos puedan sufrir en
sus derechos y libertades en los efectivos y con un alto volumen de tratamientos
llevado a cabo” por cuanto el tratamiento no se inició efectivamente hasta el
20/03/2023 y los informes de valoración presentados son de fecha 20/11/2022 y
22/12/2022, por tanto, anteriores al inicio del tratamiento.“

Reitera el FCB que se ha de contemplar como atenuante, que ningún afectado ha
sufrido ni puede llegar a sufrir daño o perjuicio alguno y el motivo con el que se
responde, que “el daño no es determinante ni imprescindible que se produzca o sea
de una determinado tipo, ya que “la causación de un daño en el marco de un
tratamiento ilícito de datos personales solo es una consecuencia potencial y no
automática de tal tratamiento, no conllevando la infracción del RGPD necesariamente
un daño”, por cuanto se ha probado que no se trataba de un tratamiento ilícito, pues la
propia AEPD ha indicado que existe causa no obstante que levantaría tal prohibición
pues se ha prestado el consentimiento por parte de los socios”.

-Sobre “considerar la especial concurrencia de los elementos que señala el
artículo 83.2.b)
Manifiesta FCB que no concurre una especial negligencia por:

i) “Que se suspendiera el tratamiento “escasamente un mes” y se
reactivara con las mismas valoraciones, sin modificar el escenario ni el punto de
enfoque”, cuando lo cierto es según indica FCB que, si las conclusiones fueron
las mismas, fue porque a fecha 04/05/2023 no había cambiado nada en lo que
atañe al tratamiento y a la calificación de los datos que no tenían que ser
considerados como categoría especial de datos, pues la AEPD todavía no había
cambiado de criterio en esa fecha.

Por tanto, no solo el FCB había valorado el tratamiento y analizado los riesgos
antes del inicio del mismo, sino que también se revisaron las circunstancias y
medidas adoptadas durante el mismo, sin que se constatara que fuera necesario
hacer un cambio de planteamiento, más allá de reforzar la información para la
personas interesadas, dando cumplimiento así a lo previsto en el artículo 24.1
RGPD donde se indica “(…), el responsable del tratamiento aplicará medidas
técnicas y organizativas apropiadas a fin de garantizar y poder demostrar que el
tratamiento es conforme con el presente Reglamento. Dichas medidas se
revisarán y actualizarán cuando sea necesario”. (el subrayado es nuestro).

Así pues, al no haber cambiado ni la categorización de los datos ni el
procedimiento para su tratamiento ni ninguno de los extremos analizados para
su valoración (volumen y categoría de datos, naturaleza…), no era necesario
modificar las conclusiones de las valoraciones ni la actualización de las medidas
adoptadas, detectándose únicamente la necesidad de añadir las aclaraciones
pertinentes en la explicación del proceso. “
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

78/139

ii) Por otra parte, se reafirma la AEPD en que “La actuación del FCB revela una
negligencia en su conducta por la ausencia del deber exigible” por cuanto “el
FCB, tiene un muy alto número de socios, y pese a ser una asociación deportiva,
no es infrecuente la relación con los mismos, siéndole exigible en su constante
manejo de datos un rigor y especial cuidado con este tipo de datos…”

“En este sentido, cabe destacar que de todas las actuaciones que se han practicado a
lo largo de todo este procedimiento (y que, recordemos, en total se ha dilatado más de
2 años y medio pues el primer requerimiento previo de información se recibió el 21 de
abril de 2023), el FCB sí cumplió con los deberes que le eran exigibles, dando
cumplimiento a las siguientes obligaciones impuestas por el RGPD de forma efectiva,
tal como ya quedado acreditado en los hechos probados:

1. Elaboración de un Registro de las actividades de tratamiento (artículo 30
RGPD).

2. Realización de un análisis de riesgos específico para cada uno de los
tratamientos (de fecha 20 de noviembre de 2022 y 22 de diciembre de 2022,
respectivamente) antes de su inicio material el 21 de marzo de 2023 y aplicación de
las medidas técnicas y organizativas apropiadas según los riesgos (artículos 24 y 25
RGPD).
3. Elección de proveedores que ofrecían garantías del cumplimiento de la
normativa de protección de datos y la aplicación de las medidas de seguridad
apropiadas según los riesgos, y firma de contratos de encargo y de subencargo de
tratamiento con todos los intervinientes (artículo 28 RGPD)
4. Cumplimiento del deber de informar a las personas interesadas (artículos 12 y
13 RGPD) y, siguiendo las exigencias de la LOPDGDD y las recomendaciones de la
AEPD, información por capas (artículo 11 LOPDGDD y “Guía para el cumplimiento del
deber de informar”).

5. Revisión de las medidas adoptadas (artículo 24 RGPD)”.

Además de todo ello, el FCB ha designado un Delegado de protección de datos
(artículo 37 RGPD).

“Por todo ello, desconcierta que la AEPD reprenda al FCB por suspender el
tratamiento “escasamente un mes cuando” cuando la propia AEPD, ni en los dos
requerimientos previos de solicitud de información en fase de investigación ni en el
acuerdo de inicio del procedimiento sancionador, no acordó la adopción de ninguna
medida cautelar para salvaguardar los derechos de las personas interesadas que
presuntamente se estaban viendo vulnerados, como en cambio sí había hecho en
otros casos, desatendiendo así la misma AEPD a las peticiones realizadas por la
persona Reclamante 1 y, además, se sirva del supuesto “grado de intencionalidad,
descuido o negligencia (…)” indicando que se ha detallado la “motivación sobre el
juicio de intensidad de la culpa interviniente” para sancionar, cuando la realidad es que
a lo largo de la Propuesta de resolución del procedimiento sancionador la propia
AEPD, ya no solo desgrana las obligaciones que efectivamente cumplió el FCB en
relación con estos tratamientos de datos, sino que también estima por completo las
alegaciones realizadas por el FCB sobre la inexistencia de un incumplimiento del
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

79/139

artículo 9 RGPD e indica expresamente que “procede, estimar sus alegaciones en
relación con la culpabilidad de la conducta” (el subrayado es nuestro), archivando esta
infracción y reconociendo así que los datos tratados no constituían categorías
especiales de datos. Por tanto, a lo largo del todo el procedimiento, no parece haber
visto indicios suficientes de un incumplimiento tan grave como para que fuera
necesario suspender el tratamiento ni atender las peticiones presentadas ante ella por
las personas reclamantes, pero en cambio sí lo considera y califica como una
circunstancia grave para fijar la sanción. “

-Sobre la “interpretación sistemática y teleológica” realizada por la AEPD de lo
previsto en el artículo 83.2.g, relativo a las categorías de los datos de carácter
personal afectados por la infracción”
Manifiesta en tal sentido el FCB que la mención del DNI como dato sensible sin
ninguna mención previa a tal consideración ni en el acuerdo de inicio, que se saca en
este momento, tras haberse descartado la categoría especial de los datos biométricos
tratados, “tras reconocer la AEPD que no suponen su encuadre en las categorías
especiales de datos personales”, siendo estos los únicos datos cuya categorización
como sensibles habían sido objeto de discusión y análisis a lo largo de todo el
procedimiento. FCB considera que no argumentar el motivo por el cual se consideran
tales supone una inseguridad jurídica, una falta de congruencia e indefensión “ya que,
tras un dilatado proceso en el que se ha probado que los datos que dieron lugar a la
apertura del procedimiento sancionador no podían ser considerados de carácter
sensible, para graduar la sanción ahora se alega sorpresivamente que había otros que
también debían ser considerados como tal sin fundamento alguno que respalde dicha
afirmación.“

QUINTA.- SOBRE LA PROPORCIONALIDAD DE LA SANCIÓN Y LA INEXISTENCIA
DE AGRAVIO COMPARATIVO RESPECTO A OTROS PROCEDIMIENTOS
FCB reitera la comparativa de la sanción del ***PROCEDIMIENTO.2, (…) que siendo
el mismo tipo infractor, en ese caso se utilizaban datos de categoría especial uno a
varios, en biometría remota y en el caso del FCB no se trataron datos de categoría
especial, no se usó el sistema uno-varios, el tratamiento se hizo con conocimiento de
las personas asociadas y en un ambiente controlado, citando la Guidelines on Facial
Recognition de enero 2021 del “Consultative Commitee of the Convention for the
protection of individuals with regards to automatic processing of personal dato
convention 108”, en la que se afirmó que las entidades privadas no pueden desarrollar
sistemas de reconocimiento facial en ambiente incontrolados como centros
comerciales, especialmente para identificar a personas de interés para finalidades de
seguridad. Compara las cifras de negocios de ***EMPRESA.1, 3,363 veces mayor que
la de FCB para afirmar la desproporción entre las multas impuestas.

“Por otro lado, se desestima la consideración de que FCB sea una asociación
deportiva sin ánimo de lucro y para magnificar las circunstancias económicas se dice
que se obtienen beneficios de una red de empresas denominadas por la AEPD
“sociedades dependientes” del Grupo cuando estas sociedades no son parte del
procedimiento ni el FCB puede ser catalogada como gran empresa”.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

80/139

HECHOS PROBADOS

PRIMERO:
La Junta Directiva del FCB aprobó el 21/06/2022, entre otras medidas, la de impulsar
la actualización del censo de socios del FCB durante la temporada 22/23. En el
documento que aportó en período de pruebas, FCB además indica que es: “digital y
de carácter obligatorio para todos los socios y abonados”, haciendo constar como
objetivos: regularizar los socios en estado de baja, promover la transformación digital
del Club, mejorar comunicaciones futuras con los socios y combatir el fraude con el
beneficio para los socios. Se podrá hacer desde un ordenador o dispositivo móvil con
cámara, desde la web, validando físicamente su identidad por medio del DNI y la
cámara del dispositivo.
Manifiesta FCB en su respuesta al traslado de la reclamación que implantó el proceso
de actualización del censo de socios con el fin de tener un censo con su reflejo veraz y
fidedigno y evitar el uso fraudulento tanto de carnés de socios como de los abonados
por parte de terceros no titulares reales.

SEGUNDO:
El FCB inicia desde 20/03 hasta 30/11/2023 una campaña de actualización del censo
de personas asociadas (143.000, incluyendo los menores de edad). FCB decidió
habilitar un proceso de actualización digital online del censo de personas asociadas a
través de la APP del Club o de la web del FCB, en el que las personas asociadas
inician sesión con su clave y contraseña, estando previsto para tal fin, el uso del
sistema biométrico de reconocimiento facial (SBRF) con el fin de verificar que
continúan vivos y que sus datos están correctos y actualizados

FCB ofreció alternativamente al SBRF para tal fin, acudir presencialmente a su sede
no teniendo que proporcionar la muestra digital para la actualización del censo, y
pudiendo si lo deseaban aceptar el uso del SBRVoz.

En el mismo proceso, FCB ofrece tras la verificación del proceso del SBRF, la recogida
de la voz de modo voluntario, (excepto los menores de edad) instrumentando un
sistema biométrico de reconocimiento de voz Broz.

FCB ofreció alternativamente al SBRF para tal fin, acudir presencialmente a su sede
no teniendo que proporcionar la muestra digital para la actualización del censo, y
pudiendo si lo deseaban aceptar el uso del SBRVoz.

El SBRF para menores, de entre 14 a 17 años es el mismo que el de los adultos. Los
menores de 14 años tienen que hacer la validación del sistema, declarando el padre,
madre o tutor legal que es el representante del menor que realiza el proceso del
censo. FCB tiene 14.511 socios menores de edad.(hecho cuarto 22, API, 11.2 de
hecho noveno, pruebas).

La actualización del censo y la recogida y uso de la voz de la misma categoría de
personas asociadas al FCB, que instrumenta la recogida y uso de un SBRF y
voluntariamente de un SBRVoz, vienen motivadas ambas, y tienen en común, ante un
número limitado de localidades del estadio frente a la gran demanda de socios y
aficionados de disponer de abonos para asistir a los partidos del FCB, por:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

81/139

-casos de socios que fallecen y sus familiares no lo comunican al Club,
pudiendo seguir usando su carné o su abono.

-prácticas de cesión ilegitima de carnés de personas asociadas al Club, o
los carnés de abonados a terceros a título oneroso.

-fraudes y suplantaciones de identidad en compraventa de abonos y
cesión de asientos.

La distinción entre la recogida de datos de las personas asociadas de la cara y la voz
a pesar de realizarse en el mismo momento y en la web o app, es que el uso y destino
de la voz no guarda relación con el proceso de actualización del censo, sino que es
para la futura prestación del servicio telefónico en la venta de entradas, abonos o
reservas de uso de asiento.

FCB proyectó un sistema para la actualización del censo de socios y recogida de la
voz que tuviera en cuenta la composición de las personas asociadas repartidas por
toda la geografía mundial, de modo que no implicara necesariamente desplazamiento
físico a las oficinas del Club, y que proporcionara seguridad, certeza, y autenticación
real. FCB dio datos del número de socios, que geográficamente, se compone:

-en el extranjero: 7.926, representan un total aproximado de 5,4%

-Barcelona ciudad: 55.837, representan un total aproximado de 38%

-Área metropolitana de Barcelona: 25.903, con un total aproximado de
17%

-Resto de Cataluña: 14.258, que representaría aproximadamente un
34,6%

-Resto España: 6.136, representa un total aproximado de 5%

Lo anterior, de acuerdo con lo aportado por FCB en hecho octavo, alegaciones, 4, el
período de práctica de pruebas, en el hecho noveno. 9) y FCB aporta en documento
10, un cuadro con la distribución geográfica de las personas asociadas al FCB a fecha
8/11/2023 completado con el punto 1 de alegaciones en hecho octavo.

El anterior proceso de actualización del censo de personas asociadas de FCB que
tuvo lugar en 2012, consistió en un sistema online de formularios para personas
asociadas al FCB censados fuera de la ciudad de Barcelona, el resto debían acudir
presencialmente a la sede, según respuesta 1 del hecho segundo proporcionada en
respuesta al traslado de la reclamación por FCB. En aquel proceso se recuperaron
1000 abonos, hecho noveno 1.1.

TERCERO:
Para realizar la actualización del censo en modo digital online con SBRF al que se
añade voluntariamente el de SBRVoz, se ofrecía una información de recogida de datos
y uso común a ambas. Figuraba en la web del FCB,
https://www.fcbarcelona.es/es/ficha/3052130/como-censarte,de acuerdo con la captura
de pantalla aportada por R1 en hecho primero-aporta 2), y en,
https://www.fcbarcelona.es/es/ficha/3052130/como-censarte, hecho cuarto, API, 22).
También se reitera el contenido de la información del proceso en las respuestas en
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

82/139

API, hecho cuarto, punto2, a través el envío comunicado de 20/03/2023 a las personas
asociadas, en el punto 5 en las FAQS. Se compone de 8 pasos:

“1-a través de la web del Club o APP socios, hay que dirigirse a “Nuevo censo de
socios y socias” y acceder con tu clave y código personal (PIN) para entrar en el área
privada
2- ir al apartado de “trámites nuevo censo socios y socios”.
Llegado a este punto, era cuando se informaba de la recogida de los datos y finalidad
(cláusula de información, primera capa) que aparece en pantalla y de la aceptación de
la política de privacidad, de acuerdo con la respuesta de FCB en pruebas, 10.1 hecho
noveno.
3- selecciona el País y el tipo de documento oficial de identidad.
4-muestra tu documento oficial de identidad a la cámara y se escaneará
automáticamente.
5- Hazte una foto selfie.
6 -Y graba tu voz durante 5 segundos.
7- por último, entrar en el formulario de datos, complétalo y verifica tu perfil Barça.
Para aclarar el contenido de este paso 7, en pruebas, FCB indicó que se trata de que
en pantalla se muestra los datos personales de la persona asociada que efectúa el
proceso, con el fin de que modifique si alguno no se halla actualizado.
8- el proceso terminará con la certificación que se ha completado de forma correcta”.
Del proceso también se informó en el primer comunicado que remitió el FCB a las
personas asociadas el 20/03/2023, según figura en actuaciones previas de
investigación, Hecho cuarto 2.
CUARTO:
La cláusula de información de la recogida de datos y del tratamiento que figura en
pantalla, viene antes de efectuar el proceso de captura biométrico facial de las
personas asociadas y se indica por FCB en su respuesta al traslado, hecho segundo,
respuesta al traslado 5, ofreciendo una captura de pantalla que coincide con la
aportada por R1 en hecho primero aporta 2, indicando como “nuevo censo 2023”.
Informa de:
“Finalidades: gestión, relación e identificación con el socio o socia. Trámites y
gestiones sobre el abono. Derecho de uso del asiento, uso de datos biométricos para
contactos con el Club y para la autenticación del socio o socia e identificación para el
acceso a las instalaciones del Club en caso de consentimiento expreso del socio o
socia, envío de comunicaciones relativas al Fútbol Club Barcelona, envío electrónico
de información comercial del Fútbol Club Barcelona, y/o entidades vinculadas/ filiales,
así como de sus patrocinadores o colaboradores.
Derechos: puede oponerse al envío de comunicaciones comerciales y ejercer su
derecho de acceso, rectificación, supresión, portabilidad y limitación”, figurando un e
mail, y más información en un enlace.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

83/139

En la práctica de pruebas, hecho noveno 8.4, FCB aclara que la autenticación de los
datos se refería a los del proceso de comparación facial para actualización del censo
de personas asociadas, desestimando después la finalidad de uso para el control de
accesos, y que con los datos de la voz se pretendía validar la identidad de las
personas asociadas en contactos vía telefónica para evitar fraudes y suplantaciones.
Le siguen dos casillas para marcar.
La primera, “Acepto la Política de Privacidad”, con un link si se clica,
La segunda, “Acepto la grabación, registro y uso de mi voz como dato biométrico de
acuerdo con la Política de Privacidad que he aceptado.”
También la cláusula que se analiza ofrece información sobre diversos medios de
contacto con el FCB ante dudas del proceso, pero no señala expresamente que
proceda también la alternativa de realización presencial en la sede del FCB del
proceso de actualización del censo de personas asociadas o de la recogida de la voz,
sin perjuicio de que pueda figurar en otros espacios de la web, comunicados o con
fecha posterior.
Esta primera capa, de acuerdo con la información facilitada por FCB no sufrió
variación alguna durante la duración del proceso de actualización.
Si se clica en el link de “acepto la política de privacidad”, de acuerdo con la
información facilitada por FCB en respuesta al traslado, hecho segundo punto 5,
conduce a una información de todos los tratamientos que procesa el FCB -hasta 10-
según indica en hecho noveno pruebas, 8.5: por ofrecer mayor información posible de
los tratamientos. En lo que hace al caso, merece destacar que especifica más las
diferencias entre tratamiento de SBRF y SBRVoz, al figurar clasificados según sus
finalidades de usos.
Ambos figuran en “Finalidades, legitimación y conservación de los tratamientos de
datos realizados por el FCB.1. Gestión de la relación con el socio o socia y trámites
derivados de la condición de socio”, diferenciándose:
“a) “solicitud de alta de socio y gestión de tramites derivados”
Finalidad: Darle de alta como socio, emisión de carnés y duplicados, gestión
del pago de cuotas, gestión de abonos para el uso de localidades y asientos
libres, mantenimiento de la relación y aplicación del régimen disciplinario;
realización de tareas administrativas derivadas de la relación; gestión de la
elección de los compromisarios y convocatoria a sesiones informativas;
convocatorias de asambleas y referéndums; gestión de votaciones y, en su
caso, tramitación de voto por correo; convocatoria y celebración de procesos
electorales. Uso de datos biométricos para la autenticación de socios y
validación de accesos a los socios a las instalaciones del Club o en trámites a
distancia/online con el FCB, facilitarle un número de Barça ID para que pueda
interactuar con el FCB a través de un único usuario y/o código y disfrutar de
todas las ventajas y servicios ofrecidos por el FCB con una única identificación
y usuario. Envío de comunicaciones por cualquier medio, incluso electrónicas
relativas a la actividad y eventos del Club; envío de informaciones comerciales
electrónicas y redes sociales, aplicaciones o páginas web del que el socio sea
usuario, de las entidades del FC Barcelona, sus patrocinadores y/o entidades
relacionadas con la actividad del Club.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

84/139

Legitimación: Alta de socio y cumplimiento de los Estatutos, normas y políticas
del FCB. Consentimiento para el uso de datos biométricos. Interés legítimo en
mantener informado comercialmente al socio.
Conservación: Mientras esté dado de alta y mantenga la condición de socio del
FCB y finalizada ésta, durante los plazos legales para atender eventuales
responsabilidades. Hasta que retire el consentimiento para de sus datos
biométricos.
b. “Actualización censo socios”
Finalidad: Trámites de actualización y validación de datos de socios para
actualizar el censo de socios del FCB.
Legitimación: Cumplimiento de los Estatutos del FCB, normas y políticas del
FCB. Conservación: Mientras esté dado de alta y mantenga la condición de
socio del FCB.
En la respuesta en API de 29/11/2023, hecho cuarto 3), FCB indicaba que el uso de la
voz se posponía a la finalización del proceso de actualización del censo mientras que
en la respuesta 20 de API, de 17/07/2024, hecho cuarto FCB, indicó que “a día de hoy
no se ha iniciado ningún trámite en el que se pueda utilizar la biometría de voz y se ha
optado por no poner en marcha el proceso mientras se analiza”, mientras, los datos de
la voz se custodian en la ficha personal del socio-programa de gestión del Club.
En alegaciones al acuerdo y en pruebas
QUINTO:
En el punto 11 del hecho cuarto, figura que FCB aportó en API el 29/11/2023 el RAT
“actualización del censo”, figurando como aspectos a destacar:

“finalidad :

-proceso de actualización del censo de socios y socias del Club mediante
procesos de cotejo facial”, “ “acceso a las instalaciones del Club por sistemas de
reconocimiento facial” en la misma respuesta en API, punto 10, añadiendo FCB que se
solicitaría el consentimiento para ello, partiendo de que disponen ya de la “imagen
actualizada de los socios”.

-“autenticación del socio mediante su voz para realización de trámites
telefónicos con el Club, compraventa de entradas, uso de asiento libre, renovación,
cualquier trámite en que sea necesario la autenticación del socio, tramites on line con
el FCB.”

Como base jurídica del tratamiento, sin diferenciar a cuál corresponde el uso del SBRF
o el del SBRVoz, indica:

-6.1.a) del RGPD,

-6.1.b) del RGPD en relación con el artículo 11.8 de los estatutos del
FCB.

En categorías de datos:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

85/139

“Datos identificativos: nombre y apellidos; fecha de nacimiento; nacionalidad;
DNI/Pasaporte; fecha de caducidad, sexo; idioma. Firma. Datos identificativos de
tutores legales.
Datos de contacto: dirección postal; teléfono; correo electrónico
Datos económicos y fiscales: datos bancarios (n.º de cuenta) y datos fiscales
Datos sociales: preferencias deportivas y pertenencia a colectivos del Club. Contacto
en redes sociales.
Imagen: Fotografía del socio/a; fotografía del DNI
Datos biométricos: vectores biométricos faciales y vocales”, si bien algunos datos ya
figuraban previamente por ser necesarios para la adquisición de socio o manifestar
FCB que ya disponía de ellos como la fotografía del carné de socio.

SEXTO:
FCB reconoció en su respuesta al traslado y en alegaciones que había primado la
realización de la actualización del censo de las personas asociadas la vía digital on
line por estimar la más idónea, cómoda, eficiente y segura.

Se acredita que la información de que se podía optar por la vía presencial para la
actualización del censo de socios no se contenía en el primer envío de información del
FCB a las personas asociadas remitida el 20/03/2023. (hecho cuarto, API 2) y si se
refería a esa opción en el comunicado de la primera prórroga, hasta 31/10/2023, y en
el de la segunda, hasta 30/11/2023. También figuraba en el apartado de la web del
Club, área de censo de socios y socias, “más información”, FAQS. Tampoco se
contenía en los comunicados de prórroga o en los recordatorios a las personas
asociadas que no habían todavía actualizado sus datos en el censo.

En los comunicados de prórroga de la actualización ción del censo como el efectuado
a R2 recibido el 2/10/2023 (newsletter) se añadía que la actualización del censo se
efectuaba para poder mejorar y aumentar la personalización de la comunicación entre
el Club y sus socios y abonados y que es una obligación que esta reglamentada en el
artículo 11.8 de los Estatutos del FCB, siendo necesaria la creación de su perfil digital.
Advertía de las consecuencias de no efectuarla: no poder renovar el carnet y la
consiguiente pérdida de la condición de abonado. No se indica la opción presencial.

SÉPTIMO:
Como resumen, para ambos supuestos la finalidad de los tratamientos de datos
personales biométricos tienen como objetivos:
-actualizar el censo por cualquier persona asociada desde cualquier ubicación
geográfica sin necesidad de desplazamiento con un sistema fiable y con
garantías pues las alternativas según FCB no ofrecen el mismo grado de
veracidad. Se dan casos en que no se comunican fallecimientos de socios y se
sigue utilizando el carnet de socio junto con el de abonado si así lo tuviera el
fallecido, por terceros, dado que los abonos de temporada son renovables de
forma automática cada temporada. La actualización del censo por las personas
asociadas al FCB se considera por este como una obligación de acuerdo con la
información que constaba en la web, los escritos enviados a los socios y socias
-con el tratamiento de la voz se pretende facilitar servicios telefónicamente
evitando suplantación de identidad entre socios, mediante su autenticación, en
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

86/139

casos en que igualmente se produce el uso fraudulento señalado supra, así
como en el servicio de “cesión de asientos” pero desde socios en activo a
terceros, y de forma onerosa, considerando que el sistema da mayor certeza y
seguridad al Club.
No se cuantifica el peso relativo de estos usos por sus titulares no reales en
caso de fallecidos o en caso y por parte de socios en activo.
OCTAVO:
El engarce jurídico contractual del FCB con VERIDAS para la actualización del censo,
con quien contrató las soluciones técnicas para el SBRF y SBRVoz se formalizó a
través de INDRA SOLUCIONES TECNOLOGICAS DE LA INFORMACION SLU
(INDRA) que se ocupaba según copia de contrato aportada de prestación de servicios
de 24/10/2022 como encargado de tratamiento con FCB en su labor de proveedor
principal de desarrollo de las aplicaciones para la actualización del censo de socios
mediante la identificación digital telemática y la integración de los datos en el
***SERVICIO.2 del área Social (cláusula primera-objeto hecho cuarto de API, 7, 12).
La cláusula octava y el Anexo II, son relativos a la protección de datos que son
titularidad del FCB, estando facultado el proveedor para recoger los datos y utilizarlos
en el marco de la prestación de servicios. El citado anexo “encargo de tratamiento”
contempla los requisitos del artículo 28 y ss. del RGPD, de fecha 17/11/2022 e indica
que el encargado puede acceder entre otra información a datos biométricos faciales y
de voz. El su apartado 4, se indica “que el encargado deberá implementar las medidas
de seguridad y organizativas oportunas para garantizar la protección de los datos de
carácter personal titularidad del responsable del tratamiento según lo descrito en el
artículo 32”, y en ADENDA I se contienen las medidas técnicas y organizativas
“correspondientes de acuerdo a la tipología de datos tratados”. Acompaña una tabla
con medidas descritas que el encargado declara haber implementado.

En el anexo I se contemplaba el “acceso al servicio digital onboarding de VERIDAS”.
INDRA subcontrató el 14/11/2022 con SISTEMAS INFORMÁTICOS ABIERTOS, S.A.
(SIA), un contrato de “encargo de tratamiento intragrupo” la prestación de servicios de
puesta en marcha de licencias de productos para la acreditación digital de identidad.
En la estipulación 6, Subcontratación, se autoriza expresamente la subcontratación
con VERIDAS Digital Authentication Solutions S.L. del servicio de acreditación digital
de identidad de los socios del FCB mediante la utilización de las licencias VERIDAS, y
según el alcance de las actividades incluidas en la oferta enviada al cliente FCB, por
cuenta de INDRA SOLUCIONES. En descripción del tratamiento se indica
“identificación socios FCB con licencias de VERIDAS para actualización del censo de
socios, datos biométricos con finalidad identificativas-imagen y voz y de carácter
identificativo”, en categorías de interesados y tipologías de datos, con almacenamiento
de datos alojados en servidores propios dentro del EEE.
SIA dispone de contrato para el uso de software de comparación facial y autenticación
por voz con VERIDAS, de 4/03/2021 con anexos de 30/06/2021 y 23/06/2023. El
acuerdo aportado indica que se tratan datos biométricos con finalidad identificativas-
imagen y voz y de carácter identificativo. En su punto 4, establece entre las
obligaciones de VERIDAS el uso de los datos a los que acceda, para las finalidades
del encargo y tratarlos, de acuerdo con las instrucciones recibidas, la obligación de

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

87/139

una descripción general de las medidas técnicas y organizativas de seguridad relativas
a:
-La seudonimización y el cifrado de datos personales.
-La capacidad de garantizar la confidencialidad, integridad,
disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento.
-La capacidad de restaurar la disponibilidad y el acceso a los datos
personales de forma rápida, en caso de incidente físico o técnico.
-El proceso de verificación, evaluación y valoración regulares de la
eficacia de las medidas técnicas y organizativas para garantizar la seguridad del
tratamiento
NOVENO:
El software de comparación facial para la actualización del censo que se utiliza por
FCB en su SBRF es una solución tecnológica de la empresa proveedora VERIDAS
DIGITAL AUTHENTICACTION SOLUTIONS SL (VERIDAS). Esta solución operada por
VERIDAS captura los rasgos y características únicas (sea de una imagen fotográfica
como la del DNI, sea de una foto selfi) generando un descriptor biométrico facial
irreversible (no es posible reconstruir la imagen originaria de la cara), no interoperable
(no es posible utilizarlo en otros sistemas), que caracteriza de forma única a la
persona. La solución permite realizar todo el procedimiento de verificación de identidad
a distancia. Tanto la imagen del documento como la de la foto se mandan en primer
lugar a los sistemas de validación de la solución desarrollada por VERIDAS. De la
captura de la cara (característica biométrica) sea del documento, sea de la foto, se
procesan sus cualidades por el motor biométrico que genera los vectores biométricos,
uno para la imagen de la foto del DNI, otro para la imagen de la foto selfi. El algoritmo
de la solución técnica de VERIDAS compara entre si los citados descriptores
biométricos, para en función del umbral establecido por dicha solución otorgue la
validación si supera o no el mismo.

Las imágenes (fotografías) derivadas del proceso de actualización de los socios y
socias del FCB se guardan en ***SERVICIO.5 vinculada a cada uno de los socios y
socias, junto a los documentos vinculados al contacto y a los trámites.

Paralelamente, las imágenes se guardan como imagen en (…) ***SERVICIO.2.

VERIDAS, una vez que procesa la comparación de los vectores biométricos faciales
en su solución, (comparación de vectores con superación del umbral establecido, y
resultado favorable), elimina la fotografía del DNI (hecho segundo 1, hecho cuarto 5,
hecho noveno 17.1) y envía la información al FCB, sin quedar en los sistemas de
aquel referencia alguna.

Una vez recibidos por FCB dichas referencias por parte de VERIDAS, FCB manifestó
que los vectores biométricos permanecen en los servidores de SIA por siete días
(hecho CUARTO, API 7) (hecho NOVENO 18) encriptados por si se detectaba alguna
incidencia en el proceso biométrico.

En el eventual caso de que no superara el citado umbral para la actualización del
censo con el SBRF, con resultado negativo de acuerdo con lo manifestado por FCB en

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

88/139

API, hecho CUARTO 8), aparece un mensaje advirtiendo que no se puede continuar
con el proceso, debiendo acudir a la vía presencial en oficinas del FCB.

Una vez realizado el proceso de comparación facial entre, por una parte, el vector
biométrico facial extraído a través del motor biométrico del software la foto del
documento de identidad o pasaporte, y por otra, con el vector facial de la foto selfi,
VERIDAS borra de forma automática la información de sus sistemas. VERIDAS no
conserva ni los datos personales de la persona usuaria ni los vectores biométricos que
se han creado: una vez realizado el proceso para el que se ha contratado y enviada la
información relevante al Cliente, borra toda la información que haya estado en sus
servidores de forma automática (hecho NOVENO, pruebas, 20) FCB manifiesta que
una vez hecha la comparación se elimina cualquier rasgo biométrico, conservándose
únicamente la fotografía en tiempo real como imagen actualizada del socio o socia y
sin que sea factible la recuperación de los rasgos biométricos utilizados para la
comparación facial.

Sobre la conservación de la captación de la imagen del DNI por ambos lados, obtenida
en el proceso digital online de actualización de personas asociadas, (en API, hecho
CUARTO. 7) FCB señaló FCB que elimina el DNI cuando VERIDAS compara en su
solución los vectores. No obstante, no acreditarse que conserve dicha imagen, sí que
se acredita que conserva referencias contenidas en el mismo DNI en los logs de las
personas asociadas que hicieron el trámite. Ello se acredita en la práctica de pruebas,
hecho noveno 7) en los que se refleja que para R1 y R3 queda constancia de los
siguientes datos del DNI:

- fecha validez, fecha expedición, número soporte, CAN (número de seis
cifras),
En pruebas, hecho noveno 9-2, FCB manifestó que nunca antes se ha solicitado copia
del DNI integra a las personas asociadas, y que solicitó el DNI completo en el proceso
porque se necesitaba comprobar que fuera un documento auténtico.

DÉCIMO:
En cuanto al proceso del SBRVoz, mediante la recogida de la voz de las personas
asociadas, indica FCB que no se usa para la actualización del censo, sino para
efectuar determinados tramites telefónicamente como adquisición de entradas y
abonos, uso del “asiento libre”, con finalidad de evitar suplantación de la persona del
socio o socia. Se ha de añadir que este proceso de recogida de la voz se incluye
también dentro del proceso de recogida de datos para actualización del censo,
proyectando según manifiesta FCB su uso para después de la citada actualización,
que finalmente y según manifiesta en alegaciones al acuerdo, no se ha llevado a la
práctica, y se eliminó, si bien en API, hecho cuarto 14, 20 en la fecha de contestación
17/07/2024, refería que el único perfil digital que dispone FCB de sus socios y socias
es la voz, hecho cuarto 14, y que suspendía su uso, “a raíz de los últimos informes en
relación a la biometría publicados por la AEPD en la que cambia radicalmente de
criterio, se ha optado por no poner en marcha el proceso y someter la legalidad e
idoneidad al estudio para que dictamine si lo podemos utilizar o no” hecho cuarto 20,
entendiéndose que a esta fecha, 17/07/2024, aún no se había eliminado el vector de
voz del FCB, lo que implica que su tratamiento persistía al menos hasta esta fecha.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

89/139

En el proceso de recogida, como explica FCB en API, hecho cuarto 3), la persona
asociada graba su voz extrayéndose unos vectores biométricos, almacenándose en la
ficha personal del socio o socia, en el programa de gestión del Club. Cuando la
persona asociada, tras dicho registro, contacte telefónicamente con el Club y se
identifique, se comparan con la voz registrada. Si su voz está registrada, permitirá
compararla con los rasgos de voz custodiados e identificarlos, y esto le permitirá
realizar determinados tramites telefónicamente.

También FCB señala que el vector biométrico extraído de la voz es único, irreversible y
no interoperable (solo puede ser usado con el motor biométrico de dicha solución) que
almacena los datos recabados como la grabación en la nube a través de una AP. FCB
informó que VERIDAS no almacena dato alguno, pues al generar el vector, lo devuelve
al cliente que será el encargado de almacenarlos en sus servidores. El vector se
almacena en la ficha de la persona asociada donde consta los atributos de teléfono,
DNI. En el momento de una llamada, se captura la voz y esa captura se compara con
el vector biométrico existente, comparándose los vectores biométricos de los dos
audios para saber si hay coincidencia (hecho cuarto API 19).

En el punto 2 de sus alegaciones, hecho octavo y en el noveno de pruebas 2), añade
FCB en su información que decidió “la eliminación de todos los datos biométricos de la
voz”.

DÉCIMO SEGUNDO:
A fecha 4/09/2025, cuando FCB respondió a las pruebas solicitadas, punto 12 a 14
hecho noveno, señala que:

En total, 124.872 personas asociadas realizaron el proceso de actualización del censo.
- 112.623 personas asociadas optaron por hacerlo online por vía digital, y de
ellas, 72.648 aceptaron el registro de su voz.
-12.249 personas asociadas actualizaron su censo presencialmente, y 160 de
ellas aceptaron expresamente el registro de su voz.
-Para menores de edad también funcionaba el sistema online digital de
actualización del censo, así como el presencial, indicando tan solo que el
número total de socios menores de edad es de 14.511, sin desglosar cuantos
menores lo efectuaron por una u otra modalidad.
- 14.433 personas asociadas no actualizaron sus datos en el censo de
personas asociadas del FCB.
“-993 carnés de personas asociadas fallecidas fueron detectados”, no dándose
por FCB detalles de si se hallan entre los 14.433 o modo de averiguación de tal
cifra.
DÉCIMO PRIMERO:
En la respuesta dada en pruebas por el FCB que consta en el punto 16.1, se
manifiesta que las personas asociadas que acudían para su actualización de datos del
censo de personas asociadas presencialmente a la sede del FCB, se realizaba su
verificación de identidad sin uso de reconocimiento facial, recogiendo una fotografía
suya actualizada que se utilizaba para la ficha de carné de socio, almacenándose en la
ficha personal de las personas asociadas en el ***SERVICIO.4 del Club (
***SERVICIO.4, sistema de software que implica una base de datos centralizada).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

90/139

Además, indica que, de modo extraordinario a las personas asociadas que residían en
el extranjero se les ofrecía optar por un proceso telefónico solicitándoles la remisión
por correo electrónico con sus datos y una fotografía, efectuándose la verificación por
personal del FCB.

También en las actualizaciones presenciales las personas asociadas podrían otorgar el
consentimiento para el tratamiento de la voz. En el p unto 11 de las prácticas de
pruebas figura según FCB que 12.249 personas asociadas hicieron la actualización de
sus datos presencialmente, y de ellas, 160 dieron el consentimiento para el SBRVOZ.

Tras la reanudación del proceso,5/05/2023 FCB reforzó la información sobre el
proceso de SBRF en la actualización del censo, introduciendo más explicaciones en
las FAQS de su web, añadiendo la mención a realizar el trámite presencialmente
según señaló en su respuesta en API, hecho cuarto, 5. Sin embargo el literal
informativo de la política de privacidad no se modificó.

DÉCIMO TERCERO:
La imagen (fotografía) de las personas asociadas según manifiesta FCB en respuesta
a practica de pruebas, hecho NOVENO 1-2) figura asociada al carnet de socios y
socias tanto en su formato físico como digital, no figurando en los abonos dicha foto,
debiendo conocerse que solo pueden disponer de abono los socios o socias según
informa FCB en el período de práctica de pruebas. Con la incorporación de las
fotografías efectuadas por las personas asociadas en el proceso digital online de
actualización de socios y socias, y en su modo presencial, FCB las almacenó también
en (…) por considerar actualizada la misma. FCB manifestó en pruebas que a la
persona asociada le puede ser requerido en los accesos a las instalaciones del Club la
presentación de su carnet de socio junto con el DNI para identificar la correspondencia
de identidades en los accesos a las instalaciones del Club, y que tanto en la modalidad
de alta de socio presencial como on line se exigía dicha fotografía.

DÉCIMO CUARTO:
De acuerdo con el informe recogido de la herramienta AXESOR, la entidad FÚTBOL
CLUB BARCELONA es una Asociación, dentro de las actividades de los Clubes
deportivos, sector actividades deportivas, recreativas y de entretenimiento, tipo de
empresa “matriz de grupo”. Por otro lado, en la web del FCB, figura en MEMORIAS
ANUALES, la última 2023/2024 y en su parte “área económica”. (pág. 216-341) en el
apartado de FCB y Sociedades dependientes, a 30/06/2024 consta en la página 237 el
importe neto de la cifra de negocios ejercicio 2023/2024, de ***CANTIDAD.1.

DÉCIMO QUINTO:
En el traslado de la reclamación se requirió a FCB que aportara la Evaluación de
Impacto de Protección de Datos, refiriendo en su respuesta sobre el SBRF que había
valorado los riesgos y concluyendo que no era necesaria, por no presentar su
tratamiento un probable alto riesgo, mencionando su análisis de riesgos, sin aportarlo
y mencionando un informe, que no fue aportado sino reproducido parcialmente (hecho
segundo 4).
Tras el acuerdo de inicio, en alegaciones aporta en el hecho octavo 4) y en pruebas,
hecho noveno 19, dos informes (el primero del SBRF, el segundo del SBRVoz) que
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

91/139

manifiesta contienen los elementos imprescindibles del artículo 35 del RGPD, aunque
no se denomine EIPD. En los citados denominados: INFORME DE VALORACIÓN DE
RIESGOS Y PROPORCIONALIDAD DEL TRATAMIENTO DE DATOS PERSONALES
CON SISTEMAS DE BIOMETRÍA, de 22/11/2022 el SBRF y de 22/12/2022 el SBRVoz
(uno para cada sistema biométrico de reconocimiento):
-Se describen los tratamientos, sus operaciones, así como el software utilizado y el
ciclo de vida de los tratamientos.
-La proporcionalidad sobre los sistemas de reconocimiento biométrico optan por la vía
digital on line porque los fallecimientos de personas no se comunican al Club, y otros
problemas de prácticas irregulares con los carnets de socios y abonados no
exclusivamente referidos a los fallecidos que implican fraudes en la venta y cesión de
abonos y cesión de asiento.
La necesidad de uso del SBRF la conecta con la obligación estatutaria y es
proporcional al ser necesario para responder a esa obligación, considerando que de
los 143.000 socios, casi 8 mil residen en el extranjero y unos 6 mil fuera de la CCAA
de Cataluña, con la posibilidad de que todos los socios puedan realizarlo sin tener que
acudir presencialmente a la sede, siendo necesario un sistema que permita actualizar
el censo desde distintas ubicaciones, algo que solo se puede llevar a efecto sin que
los datos puedan ser manipulables con un sistema de este tipo.
Sobre el SBRVoz con base a que ningún otro sistema no biométrico es capaz de
alcanzar el mismo objetivo, garantizar la seguridad y prevenir el fraude.
Sobre la eficacia en ambos sistemas, figura, el alto nivel de certeza en la acreditación
de la identidad.
En cuanto a la valoración de los riesgos se mencionan “seguridad”: gestión
incidencias, “calidad de datos”, “derechos arco”, “transferencias internacionales”,
“legitimación de tratamientos” y “riesgos asociados a la protección de la información”.
Se concluye respecto ambos sistemas que el riesgo detectado es mínimo y queda
compensado con las medidas impuestas.
DÉCIMO SEXTO:
FCB aportó copia del documento denominado “Conclusiones sobre el análisis del
tratamiento de datos biométricos en el proceso de actualización del censo del socio”
realizado por el DPD del FCB el 9/11/2022, antes de la presuntas EIPD de 22/11 y
22/12/2022 sobre SBRF y SBRVoz respectivamente, hecho cuarto, 18. En las
“Conclusiones sobre…”,referido solo al SBRF indica que “De las conclusiones del
informe de valoración de riesgos cuyas conclusiones se copian…”, conociendo que los
únicos análisis de riesgo son los contenidas en las citadas EIPD de aquellas dos
fechas, y que:
-no se llevan a cabo finalidades que entrañen riesgos,
-A pesar de usarse nuevas tecnologías, dada la seguridad de estas, no se
considera que el tratamiento entrañe riesgos para los socios del FCB.
-No se percibe por parte del responsable que la actividad principal del
tratamiento implique un riesgo elevado, no existe necesidad de realizar una EIPD.

FUNDAMENTOS DE DERECHO
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

92/139

I Competencia
De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679
(Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada
autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la
Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y
garantía de los derechos digitales (en adelante, LOPDGDD), es competente para
resolver este procedimiento la Presidencia de la Agencia Española de Protección de
Datos.

Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos
tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto
en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos."

II Cuestiones previas
Ha de comenzarse indicando que el considerando 1 del RGPD indica que: “La
protección de las personas físicas en relación con el tratamiento de datos personales
es un derecho fundamental”. El artículo 8, apartado 1, de la Carta de los Derechos
Fundamentales de la Unión Europea (“la Carta”) y el artículo 16 [TFUE], apartado 1,
[…] establecen que toda persona tiene derecho a la protección de los datos de
carácter personal que le conciernan.
De acuerdo con el art. 4.1 RGPD, se entiende por “datos personales: toda información
sobre una persona física identificada o identificable («el interesado»); se considerará
persona física identificable toda persona cuya identidad pueda determinarse, directa o
indirectamente, en particular mediante un identificador, como por ejemplo un nombre,
un número de identificación, datos de localización, un identificador en línea o uno o
varios elementos propios de la identidad física, fisiológica, genética, psíquica,
económica, cultural o social de dicha persona”.
El RGPD “establece las normas relativas a la protección de las personas físicas en lo
que respecta al tratamiento de los datos personales”, artículo 1, y su objeto es según
el artículo 1.2: “proteger los derechos y libertades fundamentales de las personas
físicas y, en particular, su derecho a la protección de los datos personales.”
Finalmente, cabe citar la norma sectorial aplicable a los datos de las personas
asociadas al FCB que trata la actualización del censo de asociados del FCB, objeto
primordial, aunque no único de las tres reclamaciones recibidas que se analizará en el
fundamento de derecho III.

Los datos afectados por los tratamientos objeto de las reclamaciones se relacionan
con los definidos en el artículo 4.14 del RGPD como: “datos biométricos»: datos
personales obtenidos a partir de un tratamiento técnico específico, relativos a las
características físicas, fisiológicas o conductuales de una persona física que permitan
o confirmen la identificación única de dicha persona, como imágenes faciales o datos
dactiloscópicos;”

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

93/139

Así pues, el precepto determina que, mediante procesos técnicos específicos,
partiendo de características físicas como la cara, o fisiológicas, como la voz de una
persona física se puede singularizar a esa persona entre varias, usando esas técnicas
biométricas que resultaran en datos biométricos, que pueden confirmar o permitir algo
que no se sabe.
Por su parte, el artículo 4.2. del RGPD define el tratamiento como “cualquier operación
o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos
personales, ya sea por procedimientos automatizados o no, como la recogida, registro,
organización, estructuración, conservación, adaptación o modificación, extracción,
consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de
habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción”.
La descripción legal de dato biométrico incluye características biométrica físicas
(ejemplos: la huella dactilar, el rostro) fisiológicas, ejemplo la voz, incluso psicológicas
o comportamentales, como podrían ser los análisis de pulsaciones de teclas, o la firma
manuscrita que son los suficientemente distintivas como para reconocer a una
persona. Una vez capturadas y transformadas en datos biométricos a través de
procesos técnicos, estas características se pueden medir y comparar. Este proceso de
reconocimiento se divide en varias etapas técnicas durante las cuales se generan
datos biométricos, partiendo de la base que el reconocimiento biométrico no tiene por
objeto determinar la identidad de una persona, sino comparar conjuntos de datos
generados por un sistema biométrico para determinar si coinciden.

La medición se realiza por comparación entre conjuntos de datos biométricos. Resulta
en una puntuación estadística de similitud entre diferentes conjuntos de datos
biométricos que se comparan para establecer la probabilidad de que pertenezcan al
mismo individuo.

Esa comparación determina la probabilidad en porcentaje de que los datos provengan
de la misma persona.

Mientras que los métodos tradicionales de autenticación como las contraseñas
requieren una coincidencia del 100% para permitir que el usuario acceda por ejemplo
a una cuenta o aplicación (métodos deterministas), los métodos de biometría se
denominan “probabilísticos”, porque son tecnologías probabilísticas que en el uso de
los sistemas biométricos es difícil obtener resultados con 0% de errores al comparar
las referencias biométrica capturadas con la de referencia o almacenada, pudiendo
surgir márgenes de error que se miden por tasa de falsos rechazos (usuario legitimo
es rechazado) y tasa de falsas aceptaciones (usuario no autorizado es aceptado), y
así se manifiesta en el Dictamen 3/2012 “.2 definiciones”.

Si la probabilidad de coincidencia supera un umbral determinado, el sistema considera
es la misma persona y realiza su validación, caso contrario su rechazo. Al mismo
tiempo, si se desea implantar un sistema, por ejemplo, con fines de identificación a
efectos de aplicación de la ley, es conveniente implantar unos identificadores
biométricos caracterizados por bajas tasas de rechazo.
En este caso, el resumen del proceso de actualización del censo sería que las
personas asociadas al Club FCB acceden a la web del FCB o a la APP con su
contraseña y clave en otro apartado específico para actualizar el censo, y figura la
información de protección de datos con dos casillas para marcar, a continuación,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

94/139

suben el DNI completo escaneado por las dos caras y a continuación se realizan una
foto selfi, por este orden.
Después, en el mismo proceso de actualización del censo, si se marca la segunda
casilla: “acepto la grabación, registro y uso de mi voz como dato biométrico de
acuerdo con la política de privacidad que he aceptado”, conducía a más información
de la segunda capa, que se reproduce en el hecho probado 3. Una vez captada la voz
se pasaba a una ficha de actualización de datos personales en la que se ofrecían los
de la persona que interactuaba con el sistema.
Datos personales que se acredita fueron recogidos, y tratados que se reconducen al
responsable de su implantación bajo la definición que proporciona el artículo 4.7 del
RGPD del “responsable del tratamiento” o “responsable”: “la persona física o jurídica,
autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los
fines y medios del tratamiento”, condición que corresponde atribuir al FCB tal como
además el mismo reconoce, con independencia de que utilice para sus funciones de
tratamiento de datos del SBRF y SBRVoz la figura de encargado y subencargado de
tratamiento. Esta, se define en el artículo 4.8 del RGPD:” encargado del tratamiento o
encargado: la persona física o jurídica, autoridad pública, servicio u otro organismo
que trate datos personales por cuenta del responsable del tratamiento;”.
En atención a lo anterior, en el presente caso y, de acuerdo con lo establecido en los
artículos señalados, consta la realización de DOS tipos de tratamientos de datos
personales de carácter biométrico diferenciados por parte de FCB como su
responsable, compuestos por distintas operaciones de tratamiento no limitadas
exclusivamente a la recogida y uso de los citados datos. Estos tratamientos, se
concretan, en atención a las tres reclamaciones presentadas con ocasión de la
actualización del censo de las personas asociadas al Club, para las que, según el
FCB, tenían una obligación de efectuarlo por mor de los Estatutos del Club. Además,
la Junta Directiva del FCB, en interés y representación del FCB, acordó, sirviendo sus
propios intereses y decisión efectuarla con un sistema biométrico de reconocimiento
facial (SBRF) o presencialmente, con advertencia de sanción de baja como socio en
caso de no realizarse la actualización de los datos. Adicionalmente, con el tratamiento
de la voz de las mismas personas asociadas (excluidos menores de edad) FCB es el
responsable del tratamiento para prestación de servicios como parte de creación y
potenciación del perfil digital con futuras ofertas de servicios como tenía proyectado
tras finalizar el censo de socios con el fin de, por ejemplo, compra de entradas, uso del
asiento libre evitando suplantación de las personas asociadas que se viene
produciendo.
Los datos biométricos son recogidos por FCB en el mismo momento y usando la
misma herramienta en la web o app del FCB a través de un sistema biométrico de
reconocimiento facial SBRF, junto con un segundo supuesto de tratamiento distinto, de
datos biométricos de reconocimiento de la voz (SBRVOZ), en este caso, según
manifiesta FCB con el consentimiento del socio/a.
Subsidiariamente, como tercer tipo de datos tratados, también se han producido
tratamientos relacionados con la actualización de datos del censo de socios,
especialmente de una fotografía actualizada, tanto para las personas que efectuaron el
proceso de actualización del censo en vía digital on line, como los que acudieron
presencialmente a las oficinas del Club, que según manifiesta FCB forma parte del
carnet de socio que puede ser requerido por su personal en los accesos a sus
instalaciones deportivas.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

95/139

De ello se concluye que existen diversas operaciones de tratamientos de datos
personales biométricos que se llevan a cabo con el mismo acto de actualización del
censo de socios, con dos soluciones técnicas distintas bajo el mismo prestador de
servicios VERIDAS, subencargado del tratamiento.
Asimismo, según la primera contestación al traslado con fines y bases legitimadoras
de tratamiento distintas, y con una sola cláusula informativa común de recogida de
datos.
El tiempo en el que se tratan los datos hay que considerarlo sobre las operaciones de
tratamiento que figuran realizadas sobre los datos, desde 20/03/2023 a 30/11/2023
como período posible de recogida de estos, pero comprendiendo también que se
efectúa tratamiento mientras se conservan, almacenan o se usan, incluso su borrado
sería una operación de tratamiento. A tal efecto, se significa que FCB controlaba el
proceso de las personas asociadas que aún no habían procedido a actualizar el censo
remitiéndoles recordatorios sobre su obligación y efectos adversos si no lo realizaban.
Del proceso de SBRF se acredita que todavía conserva FCB logs con registros del
proceso en el que se contienen datos de dicha actualización, como ejemplo, del DNI
que comparaba con el selfi.
En resumen, el FCB realiza esta actividad de tratamiento de datos personales en su
condición de responsable del tratamiento, dado que es quien determina los fines y
medios de tal actividad, en virtud del artículo 4.7 del RGPD.

III Obligación de actualización y exactitud de datos de las personas asociadas del FCB

El objeto de la actualización del censo de las personas asociadas del FCB radica en
que desde 2012 no se ha efectuado una campaña unilateral del responsable del
tratamiento para la actualización de datos de los socios. El principal motivo para
realizarla en 2023 es la depuración del censo por cuanto la conservación de carnets
de socios y abonados de personas fallecidas puede restar localidades y suponer
prácticas fraudulentas dentro del Club. Es una parte de la solución, puesto que estas
irregularidades no solo dependen del uso de carnets de socios fallecidos. FCB informó
que esta actualización era obligatoria para las personas asociadas y ha manifestado
que pueden existir dos vías de legitimación de dicho tratamiento, la necesidad para la
ejecución del contrato, artículo 6.1.b) del RGPD, o la prevista en el artículo 6.1.c):
“tratamiento necesario para el cumplimiento de una obligación legal por parte del
responsable del tratamiento”.

Para encuadrar las actividades de tratamiento llevadas a cabo por FCB, conviene
determinar antes y en general, en que consiste la obligación y el principio de mantener
los datos exactos y actualizados.

Los Estatutos del FCB establecen:

“Artículo 12. Adquisición de la condición de socio

La incorporación de socios al Club es facultad de la Junta Directiva, que puede
establecer en cualquier momento limitaciones temporales al número máximo de
socios, o condiciones generales para la admisión.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

96/139

El ingreso de los socios debe hacerse mediante solicitud presencial o telemática con
firma digital o elemento de seguridad similar del interesado, o de sus representantes
legales si son menores de edad o están incapacitados.

Las incorporaciones de nuevos socios deben quedar inscritas en el registro que regula
el artículo 61.1.”

El artículo 33.3 de los Estatutos, como funciones del Secretario, establece la de “ tener
la responsabilidad del registro de socios previsto en el artículo 61.1 y mantener
actualizados los datos y las anotaciones que deban realizarse”.

El artículo 11 de los Estatutos del FCB señala como obligación de los socios 11.8
“ejecutar los trámites de actualización del censo electoral que promueva el Club ya
sea requiriendo la presencia del socio o aportando los datos requeridos”.

El artículo 10 de los citados Estatutos prevé que la condición de socio será personal e
intransferible. “Cada socio solo tiene derecho a un abono” (título de acceso a los
acontecimientos deportivos) (art 10.4), y: “Queda expresamente prohibida la cesión
onerosa por parte de los socios abonados del derecho a asistir a acontecimientos
deportivos en las localidades objeto de los abonos, excepto cuando la cesión se haga
a través del propio Club o a favor de éste”, (art 10.4 fin).

El artículo 10.9 de los Estatutos considera el derecho del respeto de la intimidad y la
dignidad de los socios, mientras que su artículo 14, indica entre otras, en el apartado
1, como causa de la pérdida de la condición de socio o socia, su defunción, sin que se
establezca plazo alguno de pérdida de la condición de persona asociada, mientras
cumpla las obligaciones de su condición.

Como pérdida de la condición de socio y las consecuencias de la falta de actualización
del censo de personas asociadas para las personas asociadas que no lo realicen,
considera FCB de aplicación lo previsto en el artículo 15 de los Estatutos, que indica:

“La pérdida de la condición de socio solo puede producirse de forma individual y por
las siguientes causas: final, que señala:

…

-por decisión disciplinaria acordada en los supuestos de infracciones muy graves
relacionadas con la conducta asociativa previstas en el artículo 75…”

“el Club podrá dar de baja a los socios que, tras dos requerimientos fehacientes y
transcurridos tres meses desde el segundo, no hayan efectuado los trámites de
actualización del censo exigidos”.

En su respuesta en pruebas, punto 11, FCB informó que 14.433 personas asociadas
no actualizaron el censo de socios, perdiendo su condición de tal, y que 993 carnés de
personas asociadas fallecidas fueron detectados, sin haber dado detalles de cómo lo
fueron, mientras que en la última actualización de 2012, que el proceso no fue con
datos biométricos, recuperaron 1.000 abonos.

Entre los principios del tratamiento que los responsables del tratamiento deben
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

97/139

respetar, figura el artículo 5 del RGPD, que señala:

“1. Los datos personales serán:

d) exactos y, si fuera necesario, actualizados; se adoptarán todas las medidas
razonables para que se supriman o rectifiquen sin dilación los datos personales que
sean inexactos con respecto a los fines para los que se tratan («exactitud»);
La sentencia del asunto C-247/23 del TJUE indica:

“26 a este respecto, debe precisarse que, según la jurisprudencia del Tribunal de
Justicia, el carácter exacto y completo de los datos personales debe ser apreciado
atendiendo a los fines para los que fueron recabados (véase, por analogía, la
sentencia de 20 de diciembre de 2017, Nowak, C-434/16, EU:C:2017:994,
apartado 53).

Se ha de estimar la nota de la perdurabilidad en el tiempo de la relación y condición de
las personas asociadas al FCB. Asimismo, se ha de precisar que la obligación de
mantener actualizados y exactos los datos personales recae principalmente en el
responsable del tratamiento, quien debe asegurar que la información sea exacta y esté
al día, tal como establece el principio de responsabilidad proactiva del RGPD. Sin
embargo, también la persona asociada, tiene el derecho y la responsabilidad de
informar al responsable del tratamiento sobre cualquier cambio en sus datos
personales, para que este pueda cumplir con su obligación de rectificación. En los
supuestos de fallecimiento de una persona asociada al FCB, a menos que
voluntariamente los familiares, de haberlos, comuniquen la circunstancia, resultaría
complicado actualizar dichos datos y por otro lado solicitar la colaboración para ello,
sería meramente tal, con resultados inciertos siempre.

El responsable del tratamiento es quien debe adoptar medidas para garantizar la
exactitud de los datos y poder demostrarlo, según el artículo 5.2 del RGPD.

Esto implica que el responsable no solo debe reaccionar ante las peticiones de los
interesados, de rectificación o corrección de los datos de los afectados, sino que debe
tener procesos para mantener los datos actualizados.

La obligación principal es del responsable del tratamiento, pero es un proceso
colaborativo. La persona debe comunicar sus datos actuales, y el responsable debe
tener los mecanismos para asegurar la exactitud y responder a las solicitudes de
corrección.

El tratamiento de datos inexacto de una persona puede dar lugar a importantes efectos
negativos en la misma, sin mencionar la ocupación de recursos que se podrían
disfrutar por otras personas asociadas. La exactitud de los datos expresa una correcta
representación de la persona en todos los niveles y contextos.

Se observa en este caso que los problemas del FCB no devienen por ejemplo por
imposibilidad de comunicación con los socios y socias o por falta de datos para tratar y
conseguir los fines de la relación de asociados, sino que proceden más bien por las
bajas por defunciones que se producen y no se comunican, continuando en el uso de
los carnets o abonos ligados a la condición de socio, o subsidiariamente sin liberar la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

98/139

condición de socio y abonado cuando puede figurar lista de espera.

Es una parte, no toda de los usos fraudulentos que tienen lugar con las localidades
limitadas del estadio del FCB en relación con la demanda superior. Otros problemas
de fraudes se cometen por socios en activo que revenden sus localidades o las ceden,
pudiendo incluso existir elementos organizados para tal fin como parece revelar el
hecho puesto de manifiesto por FCB en pruebas (…), abarcando un total de 1.446
socios y socias, lo que puede hacer pensar en la idea de dirigir las acciones de
actualización de censo de socios a objetivos determinados en vez de a todo un
colectivo.

Para ello, FCB estableció un proceso de SBRF utilizando el DNI, operando con el
resultado del tratamiento técnico de la foto de este (imagen estática) en comparación
con el resultado del tratamiento técnico operado en una fotografía selfi, para
determinar si superaban el umbral de coincidencia del software una identificación
unívoca de la persona asociada.

IV Obligación incumplida. Art. 9 RGPD
El artículo 9 del RGPD, relativo al tratamiento de categorías especiales de datos
personales, establece que,
“1. Quedan prohibidos el tratamiento de datos personales que revelen el
origen étnico o racial, las opiniones políticas, las convicciones religiosas o
filosóficas, o la afiliación sindical, y el tratamiento de datos genéticos, datos
biométricos dirigidos a identificar de manera unívoca a una persona física,
datos relativos a la salud o datos relativos a la vida sexual o las orientación
sexuales de una persona física.
2. El apartado 1 no será de aplicación cuando concurra una de las
circunstancias siguientes:
a) el interesado dio su consentimiento explícito para el tratamiento de dichos
datos personales con uno o más de los fines especificados, excepto cuando el
Derecho de la Unión o de los Estados miembros establezca que la prohibición
mencionada en el apartado 1 no puede ser levantada por el interesado;
b) el tratamiento es necesario para el cumplimiento de obligaciones y el
ejercicio de derechos específicos del responsable del tratamiento o del
interesado en el ámbito del Derecho laboral y de la seguridad y protección
social, en la medida en que así lo autorice el Derecho de la Unión de los
Estados miembros o un convenio colectivo con arreglo al Derecho de los
Estados miembros que establezca garantías adecuadas del respeto de los
derechos fundamentales y de los intereses del interesado;
c) el tratamiento es necesario para proteger intereses vitales del interesado o
de otra persona física, en el supuesto de que el interesado no esté capacitado,
física o jurídicamente, para dar su consentimiento;
d) el tratamiento es efectuado, en el ámbito de sus actividades legítimas y
con las debidas garantías, por una fundación, una asociación o cualquier otro
organismo sin ánimo de lucro, cuya finalidad sea política, filosófica, religiosa o
sindical, siempre que el tratamiento se refiera exclusivamente a los miembros
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

99/139

actuales o antiguos de tales organismos o a personas que mantengan
contactos regulares con ellos en relación con sus fines y siempre que los datos
personales no se comuniquen fuera de ellos sin el consentimiento de los
interesados;
e) el tratamiento se refiere a datos personales que el interesado ha hecho
manifiestamente públicos;
f) el tratamiento es necesario para la formulación, el ejercicio o la defensa de
reclamaciones o cuando los tribunales actúen en ejercicio de su función
judicial;
g) el tratamiento es necesario por razones de un interés público esencial,
sobre la base del Derecho de la Unión o de los Estados miembros, que debe
ser proporcional al objetivo perseguido, respetar en lo esencial el derecho a la
protección de datos y establecer medidas adecuadas y específicas para
proteger los intereses y derechos fundamentales del interesado;
h) el tratamiento es necesario para fines de medicina preventiva o laboral,
evaluación de la capacidad laboral del trabajador, diagnóstico médico,
prestación de asistencia o tratamiento de tipo sanitario o social, o gestión de
los sistemas y servicios de asistencia sanitaria y social, sobre la base del
Derecho de la Unión o de los Estados miembros o en virtud de un contrato con
un profesional sanitario y sin perjuicio de las condiciones y garantías
contempladas en el apartado 3;
i) el tratamiento es necesario por razones de interés público en el ámbito de
la salud pública, como la protección frente a amenazas transfronterizas graves
para la salud, o para garantizar elevados niveles de calidad y de seguridad de
la asistencia sanitaria y de los medicamentos o productos sanitarios, sobre la
base del Derecho de la Unión o de los Estados miembros que establezca
medidas adecuadas y específicas para proteger los derechos y libertades del
interesado, en particular el secreto profesional,
j) el tratamiento es necesario con fines de archivo en interés público, fines de
investigación científica o histórica o fines estadísticos, de conformidad con el
artículo 89, apartado 1, sobre la base del Derecho de la Unión o de los Estados
miembros, que debe ser proporcional al objetivo perseguido, respetar en lo
esencial el derecho a la protección de datos y establecer medidas adecuadas y
específicas para proteger los intereses y derechos fundamentales del
interesado.
3. Los datos personales a que se refiere el apartado 1 podrán tratarse a los
fines citados en el apartado 2, letra h), cuando su tratamiento sea realizado por
un profesional sujeto a la obligación de secreto profesional, o bajo su
responsabilidad, de acuerdo con el Derecho de la Unión o de los Estados
miembros o con las normas establecidas por los organismos nacionales
competentes, o por cualquier otra persona sujeta también a la obligación de
secreto de acuerdo con el Derecho de la Unión o de los Estados miembros o
de las normas establecidas por los organismos nacionales competentes.
4. Los Estados miembros podrán mantener o introducir condiciones
adicionales, inclusive limitaciones, con respecto al tratamiento de datos
genéticos, datos biométricos o datos relativos a la salud”.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

100/139

Según la información obrante en el expediente y que ha quedado reflejada en los
antecedentes, el FCB no considera que los datos personales objeto de tratamiento de
RF y de voz constituyan categorías especiales de datos durante el tiempo que realizó
el tratamiento y, por lo tanto, no determinó que concurriera ninguna circunstancia de
las previstas en el artículo 9.2 del RGPD que levantaran la prohibición de los
tratamientos del RF y la voz, al interpretar que no trataba datos de categoría especial.
Como segunda consecuencia, detrae en sus dos alegaciones, la de que por no
pertenecer a la misma, no se precisa realizar una EIPD.
Por esta conducta, se acordó iniciar procedimiento sancionador imputando al FCB la
infracción del artículo 9 del RGPD, al considerar lo contrario esta AEPD en el acuerdo
de inicio.
Pues bien, el FCB realiza una serie de alegaciones al respecto, debiendo indicar que,
si bien la Guía de Relaciones Laborales publicada por esta Agencia en mayo de 2021,
analizó esta cuestión, en aplicación del criterio contenido en el Dictamen 3/2012 del
grupo del artículo 29, indicando expresamente que:
“No obstante, el RGPD no considera a todo tratamiento de datos biométricos
como tratamiento de categorías especiales de datos ya que el artículo 9.1 se
refiere a los “datos biométricos dirigidos a identificar de manera unívoca a una
persona física”, por lo que, de una interpretación conjunta de ambos preceptos,
se deriva que los datos biométricos solo constituirían una categoría especial de
datos en el caso de que se sometan a un tratamiento técnico específico dirigido
a identificar de manera unívoca a una persona física.(…)”,
Los tratamientos ejecutados por FCB fueron ideados y ejecutados antes de que el
CEPD se pronunciase al respecto, en concreto, en las Directrices 05/2022 del CEPD,
cuando éste fijó su posición al respecto de la nueva regulación contenida en el artículo
9 del RGPD. Una posición que fue acogida por esta Agencia en 23/11/2023, cuando se
publicó la Guía sobre tratamientos de control de presencia mediante sistemas
biométricos a la que se refiere el FCB. Por tanto, y en base a lo anterior, procede,
estimar sus alegaciones en relación con la culpabilidad de la conducta.

V Sobre la necesidad de realizar y superar una evaluación de impacto de protección
de datos (EIPD) previa y adecuada al tratamiento

El artículo 35 RGPD- Evaluación de impacto relativa a la protección de datos- señala
lo siguiente (el subrayado es nuestro):
1. Cuando sea probable que un tipo de tratamiento, en particular si utiliza
nuevas tecnologías, por su naturaleza, alcance, contexto o fines, entrañe un
alto riesgo para los derechos y libertades de las personas físicas, el
responsable del tratamiento realizará, antes del tratamiento, una evaluación del
impacto de las operaciones de tratamiento en la protección de datos
personales. Una única evaluación podrá abordar una serie de operaciones de
tratamiento similares que entrañen altos riesgos similares.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

101/139

2. El responsable del tratamiento recabará el asesoramiento del delegado de
protección de datos, si ha sido nombrado, al realizar la evaluación de impacto
relativa a la protección de datos.
3. La evaluación de impacto relativa a la protección de los datos a que se
refiere el apartado 1 se requerirá en particular en caso de:
a) evaluación sistemática y exhaustiva de aspectos personales de personas
físicas que se base en un tratamiento automatizado, como la elaboración de
perfiles, y sobre cuya base se tomen decisiones que produzcan efectos
jurídicos para las personas físicas o que les afecten significativamente de
modo similar;
b) tratamiento a gran escala de las categorías especiales de datos a que se
refiere el artículo 9, apartado 1, o de los datos personales relativos a condenas
e infracciones penales a que se refiere el artículo 10, o
c) observación sistemática a gran escala de una zona de acceso público.
4. La autoridad de control establecerá y publicará una lista de los tipos de
operaciones de tratamiento que requieran una evaluación de impacto relativa a
la protección de datos de conformidad con el apartado 1. La autoridad de
control comunicará esas listas al Comité a que se refiere el artículo 68.
5. La autoridad de control podrá asimismo establecer y publicar la lista de los
tipos de tratamiento que no requieren evaluaciones de impacto relativas a la
protección de datos. La autoridad de control comunicará esas listas al Comité.
6. Antes de adoptar las listas a que se refieren los apartados 4 y 5, la autoridad
de control competente aplicará el mecanismo de coherencia contemplado en el
artículo 63 si esas listas incluyen actividades de tratamiento que guarden
relación con la oferta de bienes o servicios a interesados o con la observación
del comportamiento de estos en varios Estados miembros, o actividades de
tratamiento que puedan afectar sustancialmente a la libre circulación de datos
personales en la Unión.
7. La evaluación deberá incluir como mínimo:
a)una descripción sistemática de las operaciones de tratamiento previstas y de
los fines del tratamiento, inclusive, cuando proceda, el interés legítimo
perseguido por el responsable del tratamiento;
b)una evaluación de la necesidad y la proporcionalidad de las operaciones de
tratamiento con respecto a su finalidad;
c)una evaluación de los riesgos para los derechos y libertades de los
interesados a que se refiere el apartado 1, y
d)las medidas previstas para afrontar los riesgos, incluidas garantías, medidas
de seguridad y mecanismos que garanticen la protección de datos personales,
y a demostrar la conformidad con el presente Reglamento, teniendo en cuenta
los derechos e intereses legítimos de los interesados y de otras personas
afectadas.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

102/139

8. El cumplimiento de los códigos de conducta aprobados a que se refiere el
artículo 40 por los responsables o encargados correspondientes se tendrá
debidamente en cuenta al evaluar las repercusiones de las operaciones de
tratamiento realizadas por dichos responsables o encargados, en particular a
efectos de la evaluación de impacto relativa a la protección de datos.
9. Cuando proceda, el responsable recabará la opinión de los interesados o de
sus representantes en relación con el tratamiento previsto, sin perjuicio de la
protección de intereses públicos o comerciales o de la seguridad de las
operaciones de tratamiento.
10. Cuando el tratamiento de conformidad con el artículo 6, apartado 1, letras
c) o e), tenga su base jurídica en el Derecho de la Unión o en el Derecho del
Estado miembro que se aplique al responsable del tratamiento, tal Derecho
regule la operación específica de tratamiento o conjunto de operaciones en
cuestión, y ya se haya realizado una evaluación de impacto relativa a la
protección de datos como parte de una evaluación de impacto general en el
contexto de la adopción de dicha base jurídica, los apartados 1 a 7 no serán de
aplicación excepto si los Estados miembros consideran necesario proceder a
dicha evaluación previa a las actividades de tratamiento.
11. En caso necesario, el responsable examinará si el tratamiento es conforme
con la evaluación de impacto relativa a la protección de datos, al menos
cuando exista un cambio del riesgo que representen las operaciones de
tratamiento.”

El RGPD requiere que los responsables del tratamiento apliquen medidas adecuadas
para garantizar y poder demostrar el cumplimiento de dicho reglamento, teniendo en
cuenta entre otros «los riesgos de diversa probabilidad y gravedad para los derechos y
libertades de las personas físicas» (artículo 24, apartado 1).
El RGPD no obliga a que para cualquier tratamiento de datos personales sea
necesario realizar una EIPD, pero sí establece que es obligatorio que se realice
cuando hay una probabilidad de que entrañe un alto riesgo. La existencia de un grado
razonable de presunción de que el tratamiento puede entrañar un alto riesgo hace
imprescindible la realización de una EIPD.
En el RGPD no se define la EIPD, que se desarrolla en las Directrices sobre la
evaluación de impacto relativa a la protección de datos (EIPD) y para determinar si el
tratamiento entraña probablemente un alto riesgo a efectos del Reglamento UE
2016/679 adoptadas el 4/04/2017, revisadas por última vez y adoptadas el 4/10/2017
(WP 248 en lo sucesivo), como:
“… un proceso concebido para describir el tratamiento, evaluar su necesidad y
proporcionalidad y ayudar a gestionar los riesgos para los derechos y libertades de las
personas físicas derivados del tratamiento de datos personales evaluándolos y
determinando las medidas para abordarlos.”
El CEPD considera la EIPD como un proceso, y por tanto:
- “La EIPD ha de estar documentada, pero es más que el informe que
refleja sus resultados”.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

103/139

-La EIPD ha de evaluar los riesgos, determinando las medidas para
abordarlos, obliga al responsable a actuar y tiene un dimensión mayor que un mero
formalismo plasmado en un documento es un proceso de análisis de un tratamiento
que se extiende en el tiempo a lo largo de todo el ciclo de vida de un tratamiento
El análisis de la obligación de realizar una EIPD forma parte del proceso de evaluación
del riesgo para los derechos y libertades. La obligación de los responsables del
tratamiento de llevar a cabo una EIPD en determinadas circunstancias debe
entenderse en el contexto de su obligación general de gestionar adecuadamente los
riesgos derivados del tratamiento de datos personales. El alto riesgo a los derechos y
libertades de los interesados atañe principalmente a los derechos a la Protección de
Datos y a la intimidad, pero también puede implicar otros derechos fundamentales
como la dignidad humana especialmente cuando no cabe oposición al tratamiento que
se habrían de diferenciar en los análisis de proporcionalidad y necesidad de estos
tratamientos, como de hecho en la voz, no se tomó respecto de los menores de 14
años.

El considerando 90 del RGPD establece la obligación de llevar a cabo antes del
tratamiento una evaluación de impacto relativa a la protección de datos con el fin de
valorar la particular gravedad y probabilidad de alto riesgo para los derechos y
libertades teniendo en cuenta la naturaleza, ámbito, contexto y fines del tratamiento y
los orígenes del riesgo incluyendo el tipo de operaciones de tratamiento que implican
nuevas tecnologías o son de nueva clase, según el considerando 89, debiendo
establecerse en ella, “las medidas, garantías y mecanismos previstos para mitigar el
riesgo, garantizar la protección de los datos personales y demostrar la conformidad
con el RGPD.
El considerando 76 del RGPD fija unos principios generales para la determinación de
la probabilidad y la gravedad del riesgo para los derechos y libertades del interesado,
de acuerdo con la naturaleza, el alcance, el contexto y los fines del tratamiento de
datos, precisando que el riesgo debe ponderarse sobre base de una evaluación
objetiva mediante la cual se determine si las operaciones de tratamiento de datos
suponen un riesgo o si el riesgo es alto.

El apartado 1 del artículo 35 del RGPD establece, con carácter general, la obligación
que tienen los responsables de los tratamientos de datos de realizar una EIPD con
carácter previo a la puesta en funcionamiento de tales tratamientos cuando sea
probable que éstos, por su naturaleza, alcance, contexto o fines entrañen un alto
riesgo para los derechos y libertades de las personas físicas, alto riesgo que, según el
propio Reglamento, se verá incrementado cuando los tratamientos se realicen
utilizando “nuevas tecnologías”.

Partiendo de que la biometría no es una tecnología de información más, sino que es
una que cambia de manera irrevocable la relación entre el cuerpo y la identidad en el
sentido de que hace que una maquina pueda leer las características del cuerpo
humano y estas quedan sometidas a un uso posterior, ofrecen un carácter distintivo
casi absoluto, es decir cada persona posee una biometría única que casi nunca
cambia a lo largo de la vida, dando permanencia a estas características y tiene
dimensión de universalidad por cuanto todo tenemos los mismos elementos físicos.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

104/139

además, como en este caso, la información biométrica obtenida se relacionad desde el
primer momento con las personas asociadas procedentes del registro de socios junto
con otros datos como el uso del DNI utilizado.
Los procesos técnicos a los que se someten las imágenes del DNI (foto del DNI) y la
cara con su selfi, o la voz, son en todo dirigidos a efectuar en sus usos a
comparaciones técnicas que implican la existencia de datos biométricos que se
comparan, lo foto selfie con la del DNI, la voz con la plantilla registrada. Ambos
tratamientos son o incluyen fines de reconocimiento biométrico. Se ha de entender que
la fotografía del DNI es susceptible de ser usada para obtener un dato biométrico, por
cuanto fue sometida a un procesamiento técnico, y lo fue no por casualidad, sino que
ese tratamiento era para lograr identificar de forma única a una persona. Si solo se
hubiera hecho la foto selfi, y se hubieran extraído su plantilla, no tendría contra quien
comparar para obtener la identidad de la persona
El FCB decidió en junio de 2022 que iba a actualizar el censo de socios.

A tales efectos y tal y como consta en el hecho probado octavo, con fecha 24/10/2022,
el FCB suscribe con INDRA SOLUCIONES TECNOLOGÍAS DE LA INFORMACIÓN
S.L.U. un contrato de prestación de servicios en el que consta como objeto, la
“Actualización del censo de socios/as de la entidad, mediante la identificación digital
telemática y la integración de los datos en el ***SERVICIO.2 del área Social. El detalle
de todos estos SERVICIOS, así como las condiciones específicas de su ejecución, se
establecen tanto en el cuerpo del presente Contrato, como en la oferta técnica y
económica que en su caso haya presentado el PROVEEDOR y que se adjuntan como
Anexo I, formando el mismo parte integral del presente Contrato y vinculado a las
partes a todos los efectos”. (el subrayado es nuestro)

El contrato de encargo de tratamiento consta como Anexo II del citado contrato, siendo
suscrito el 17/11/2022.

En el citado contrato de encargo de tratamiento, y en relación con las medidas de
seguridad, recoge previsiones genéricas, remitiéndose a la Adenda I donde se
determinan en apenas dos páginas una serie de medidas referidas al tratamiento
concreto, pero muy generales, sin describir en qué consisten y cómo han de
implementarse.

El FCB solicitó a su DPD el 22/09/2022 un análisis previo sobre el uso de la biometría
en el proceso de actualización del censo de socios y socias, cuyas conclusiones
constan en el documento “conclusiones sobre el análisis del tratamiento de datos
biométricos en el proceso de actualización del censo del socio” de 9/11/2022.

Dicho documento, posterior a la firma del contrato de prestación de servicio, recoge las
conclusiones obtenidas, sin ningún soporte documental adicional ni justificación
jurídica más allá de las meras aseveraciones formuladas. Concluye que no es
necesario realizar una EIPD, desgranando las razones por las que no es necesaria la
EIPD (y no las razones por las que sí podría ser necesaria) y que tal tratamiento es
conforme al RGPD.

Posteriormente, con fecha 20/11/2022 se emite por FCB el “Informe valoración de
riesgos y proporcionalidad del tratamiento de datos personales con sistema de
biometría facial proceso actualización censo” que identifica en alegaciones, hecho

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

105/139

octavo 4, como presunta EIPD material del SBRF, volviendo a ser aportada en
pruebas, hecho noveno, 20.

Y con fecha 22/12/2022, se emite el “Informe valoración de riesgos y proporcionalidad
del tratamiento de datos personales con sistema de biometría de voz”, solicitado y
aportado en pruebas por FCB, hecho noveno 19, también catalogado como EIPD
material, con la misma estructura y contenido que el precedente de 20/11/2022.

Señalar, además, que ni en las respuestas al traslado ni en las actuaciones previas de
investigación había manifestado FCB que tenía documentos con el citado contenido
presumiblemente adaptado al contenido formal de las EIPD, a pesar de requerirse
expresamente el documento, sino en todo momento manifestó que no era necesario
realizar una EIPD, y así figuraba sobre el SBRF incluso en el documento de fecha
previa de 9/11/2022 citado del DPD titulado “conclusiones sobre el análisis del
tratamiento de datos biométricos en el proceso de actualización del censo del socio”
con argumentos como:

-“El tratamiento no está incluido en los artículos 35.1 y 2 RGPD”

-“A pesar de que se tratan datos biométricos no pueden catalogarse de
categoría especial”.

-“En base a los tres niveles de análisis” (referido en la respuesta al
traslado, hecho segundo 4).

Ambos informes se emiten, además, con posterioridad a la firma del contrato de
prestación de servicio y del contrato de encargo de tratamiento antes citados.

El FCB consideró tanto en el documento de conclusiones sobre el análisis del
tratamiento de datos biométricos en el proceso de actualización del censo del socio de
9/11/2022, como en los informes de 20/11/2022 y de 22/12/2022, indicó el FCB que no
era necesaria realizar una EIPD para ninguno de los tratamientos referenciados.

Sobre este particular se ha de significar, en primer lugar, que sí era necesario realizar
una EIPD para ambos tratamientos.

Sobre este particular, hemos de traer a colación las listas de tipos de tratamientos de
datos que requieren evaluación de impacto relativa a protección de datos (art 35.4)
elaboradas por la AEPD, aprobadas por el CEPD.

Tal lista es orientativa y no restrictiva, tal y como la AEPD expone al efecto, ya que,
con carácter general, existe la obligación de llevar a cabo la realización de una EIPD
siempre que el tratamiento implique un alto riesgo para los derechos y libertades de
las personas físicas. En este sentido hay que poner el foco en el tratamiento mismo
examinado en su conjunto, “en particular si utiliza nuevas tecnologías, por su
naturaleza, alcance, contexto o fines”, y no en elementos aislados del mismo como
pudiera ser simplemente si estamos ante categorías especiales de datos personales o
si un tratamiento implica autenticación o identificación de los interesados.

En la lista publicada al efecto se pretende orientar al responsable del tratamiento para
que sea consciente y constate cuándo un tratamiento implica un alto riesgo para los
derechos y libertades de las personas físicas.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

106/139

Así, se indica en la lista, en cuanto a lo que en este procedimiento interesa, que:

“En el momento de analizar tratamientos de datos será necesario realizar una
EIPD en la mayoría de los casos en los que dicho tratamiento cumpla con dos
o más criterios de la lista expuesta a continuación, salvo que el tratamiento se
encuentre en la lista de tratamientos que no requieren EIPD a la que se refiere
en artículo 35.5 del RGPD. Cuantos más criterios reúna el tratamiento en
cuestión, mayor será el riesgo que entrañe dicho tratamiento y mayor será la
certeza de la necesidad de realizar una EIPD.

Esta lista se basa en los criterios establecidas por el Grupo de Trabajo del
Artículo 29 en la guía WP248 “Directrices sobre la evaluación de impacto
relativa a la protección de datos (EIPD) y para determinar si el tratamiento
«entraña probablemente un alto riesgo» a efectos del RGPD”, los complementa
y debe entenderse como una lista no exhaustiva:

…

2. Tratamientos que impliquen la toma de decisiones automatizadas o que
contribuyan en gran medida a la toma de tales decisiones, incluyendo cualquier
tipo de decisión que impida a un interesado el ejercicio de un derecho o el
acceso a un bien o un servicio o formar parte de un contrato. …

5. Tratamientos que impliquen el uso de datos biométricos con el propósito de
identificar de manera única a una persona física.

…

7. Tratamientos que impliquen el uso de datos a gran escala. Para determinar
si un tratamiento se puede considerar a gran escala se considerarán los
criterios establecidos en la guía WP243 “Directrices sobre los delegados de
protección de datos (DPD)” del Grupo de Trabajo del Artículo 29.

…

9. Tratamientos de datos de sujetos vulnerables o en riesgo de exclusión
social, incluyendo datos de menores de 14 años, mayores con algún grado de
discapacidad, discapacitados, personas que acceden a servicios sociales y
víctimas de violencia de género, así como sus descendientes y personas que
estén bajo su guardia y custodia.

10. Tratamientos que impliquen la utilización de nuevas tecnologías o un uso
innovador de tecnologías consolidadas, incluyendo la utilización de tecnologías
a una nueva escala, con un nuevo objetivo o combinadas con otras, de forma
que suponga nuevas formas de recogida y utilización de datos con riesgo para
los derechos y libertades de las personas.

…”. (el subrayado es nuestro)

Pues bien, todos y cada uno de estos apartados destacados concurren en los dos
tratamientos de datos personales ahora enjuiciados.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

107/139

Nos encontramos ante tratamientos que implican la toma de decisiones
automatizadas. Así, el tratamiento de datos personales de actualización del censo,
basado en el reconocimiento facial, se produce automáticamente sin intervención
humana a través de la aplicación de algoritmos procesando una serie de datos,
proporcionando un resultado (positivo o negativo). La decisión está basada
únicamente en el tratamiento de los datos requeridos sin perjuicio de que, si la
decisión es negativa en cuanto a la identificación del socio, este tenga la posibilidad de
revisión presencial. Esta decisión de identificación positiva o negativa produce efectos
jurídicos directos sobre los socios, permitiendo si es positiva actualizar el censo y si es
negativa dejarlo sin actualizar, hasta el punto de que, si tal revisión posterior no se
produce, el socio puede perder su condición tal y como indican los estatutos del FCB.

Idéntica previsión podemos determinar para el tratamiento afectado por la voz del
socio en cuanto a la prestación de diversos servicios por el Club y la identificación del
socio a través de su voz, pues también en dicho tratamiento hay previstas decisiones
automatizadas cuando para la prestación del servicio se identifica al socio a través de
su voz.

Sin embargo, en los dos análisis de riesgos considera que “no” se toman decisiones
con efectos jurídicos para los socios ni que conlleven efectos directos o indirectos que
puedan afectar a las personas.

Sobre este particular, la STJUE de 7/12/2023, en el asunto C-634/21 “45 El amplio
alcance del concepto de decisión, confirmado en el considerando 71 del RGPD, “a
tenor del cual una decisión que implique la evaluación de aspectos personales
relativos a un interesado, de la que este debe tener derecho a no ser objeto, «puede
incluir una medida» que bien produzca «efectos jurídicos en él» o bien «le afecte
significativamente de modo similar». Según este considerando, se incluyen en el
término «decisión», a modo de ejemplo, la denegación automática de una solicitud de
crédito en línea o los servicios de contratación en red en los que no medie
intervención humana alguna.”

“46 El concepto de “decisión”…puede incluir diversos actos con potencial para afectar
al interesado de múltiples maneras, ya que es lo suficientemente amplio para englobar
el resultado del cálculo de la solvencia de una persona en forma de un valor de
probabilidad relativo a su capacidad para hacer frente a sus compromisos de pago en
el futuro”, e indicando que, cuando se trata de decisiones automatizadas, existen
riesgos específicos que inciden en los derechos y libertades de los interesados que
imponen obligaciones y garantías adicionales.

No se ha evaluado por el FCB si se encontraba ante tratamientos que implicaban
decisiones individuales automatizadas.

Por otro lado, nos encontramos ante tratamientos, que, en contra de lo determinado
por el FCB, implican el uso de datos a gran escala.

En este sentido las Directrices sobre los delegados de protección de datos (adoptadas
el 13/12/2016, revisadas por última vez y adoptadas el 5/04/2017) y las Directrices WP
248, establecen diversos factores para determinarlo incluyendo “el número de
interesados afectados, bien como cifra concreta o como proporción de la población
correspondiente; el volumen de datos o la variedad de elementos de datos que son

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

108/139

objeto de tratamiento; la duración, o permanencia, de la actividad de tratamiento de
datos; el alcance geográfico de la actividad de tratamiento”.

Pues bien, frente a la afirmación del FCB en su documento de 9/11/2022 de que “Tras
analizar si se debe considerar un tratamiento a gran escala, se ha concluido que, en
base al número de socios y socias del FCB afectados (actualmente143.000), en
proporción con la población correspondiente, así como el volumen de datos tratados,
la duración del tratamiento y su alcance geográfico, no se trata de un tratamiento a
gran escala de datos”, se ha de significar que:

 Los dos tratamientos de datos personales engloban a la totalidad de los socios
del FCB, esto es, a los 143.000, considerada esta como cifra concreta. Amén
de que no es una cifra de personas desdeñable en absoluto, no explican la
afectación del número de interesados como proporción de qué “población
correspondiente” (mundial, estatal, autonómica o local) y cómo incide tal
previsión para considerar que no es a gran escala.

 Tal y como explicita el FCB tiene socios por todo el mundo, con lo que el
alcance geográfico de la actividad de tratamiento también es amplio y no se
limita a la Comunidad Autónoma de Cataluña, como asevera en los análisis de
riesgos de ambos tratamientos.

 El volumen de los datos tratados es alto, afectando a diversos datos
personales de los 143.000 socios, además de la especial sensibilidad de
alguno de ellos como el DNI (trata todos los datos personales que constan en
el DNI, no es una mera imagen), la voz o los datos biométricos.

 El tratamiento de datos biométricos de voz estaba previsto para permanecer en
el tiempo de manera indefinida, sin perjuicio de la eventual revocación del
interesado, para prestar los servicios referidos por el FCB a sus socios.

Asimismo, tratan datos de menores de edad, así como de menores de 14 años, a los
que el RGPD reconoce una situación especial de protección en atención a su
vulnerabilidad.

También llevan a cabo tratamientos que implican la utilización de nuevas tecnologías,
con un uso innovador dentro del FCB, con un nuevo objetivo y combinando bajo el
paraguas de actualización del censo dos tratamientos que se combinan,
incrementando el riesgo.

Así lo reconoce el FCB en su documento de 9/11/2022 al señalar que “En cuanto a las
tecnologías empleadas, a pesar de que los tratamientos biométricos se podrían
encuadrar dentro de la definición de tecnologías consideradas inmaduras, el software
utilizado está contrastado y se ha determinado que es totalmente seguro. Además,
Veridas Digital Authentication Solutions S.L., titular del software, en adelante Veridas,
dispone de las más reconocidas certificaciones, por lo que consideramos que su uso
no entraña riesgos para los socios y socias del FCB”. (el subrayado es nuestro).

De igual forma en los análisis de riesgos presentados para ambos tratamientos
considera que las tecnologías son inmaduras, aunque son “totalmente seguras” y
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

109/139

ratifica que ningún riesgo hay para sus socios derivado del tratamiento. Respecto del
reconocimiento facial, además, indica que se trata de una tecnología especialmente
invasiva.

Y todo ello, amén de que, por definición nada es totalmente seguro (máxime el uso de
un sistema probabilístico), ni es posible que el uso de tales tecnologías en las diversas
operaciones de tratamientos que implica, muchos de ellos técnicos, no entrañe riesgos
para los socios del FCB.

Por todas las razones explicitadas, el FCB debería de haber llevado a cabo una EIPD
para cada uno de estos tratamientos de datos personales.

En segundo lugar, y respecto del examen de los análisis de riesgos del FCB, se ha de
señalar, sobre la base de la responsabilidad proactiva, y bajo el prisma de la
privacidad desde el diseño, se ha de tener en cuenta que cualquier análisis de
necesidad y proporcionalidad de un tratamiento de datos personales, así como de
examen de los riesgos (identificación, evaluación y valoración) en los derechos y
libertades de los interesados derivados del tratamiento de datos personales y la
determinación de las medidas técnicas y organizativas de todo tipo para evitar su
materialización, entre otras cuestiones, debe producirse, por definición antes del inicio
material del tratamiento de datos personales.

Ello ha de englobar, como no podría ser de otra manera, si el responsable decide
realizar materialmente el tratamiento a través de un tercero (encargado del
tratamiento), al contrato de prestación de servicios y al contrato de encargo de
tratamiento suscrito al efecto. Y ello porque no resulta ni posible ni lógico ni acorde con
el RGPD indicar al encargado del tratamiento cuestiones relativas al tratamiento de
datos personales, fijar condiciones del tratamiento en el contrato de prestación de
servicios y en el contrato de encargo (como lo que comprende el tratamiento o las
medidas de seguridad), cuando ni siquiera han sido examinadas tales cuestiones y el
responsable carece de las conclusiones de tal examen y no puede saber si el
tratamiento se ajusta al RGPD. Firmar los contratos de prestación de servicios y de
encargo de tratamiento antes de realizar los análisis de riesgos invalida de facto
cualquier conclusión posterior sobre el ajuste del tratamiento al RGPD.

Por ello, los análisis de riesgos presentados por el FCB, sobre los que el FCB
argumenta que son verdaderas EIPD en atención a su contenido, no sirven ni como
análisis de riesgos ni como EIPD, ni tienen virtualidad, pues son posteriores a la firma
de los contratos de prestación de servicios y de encargo de tratamiento y difícilmente
pueden ser incorporados ni tenidos en consideración en los contratos firmados.
Parecen más bien un mero respaldo formal a una decisión tomada.

Los análisis de riesgos de protección de datos no son un mero documento, no son una
mera formalidad. Conforme determina el artículo 24 del RGPD constituyen verdaderas
obligaciones materiales para cumplir con la responsabilidad proactiva y dar cobertura
al pilar del enfoque de riesgos del RGPD. Sin que estos análisis, incluyendo las EIPD,
sean previos, resulta imposible determinar los riesgos, decidir sobre las medidas e
incluso si puede siquiera realizarse un tratamiento.

En conclusión, las actuaciones llevadas a cabo por el FCB en relación con los análisis
de riesgos no cumplen con las obligaciones establecidas en el RGPD.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

110/139

A lo anterior hemos de añadir que tales análisis de riesgos adolecen de importantes
defectos de fondo que invalidan el análisis.

Como hemos indicado anteriormente los análisis de riesgos se presentan sin ningún
respaldo documental respecto de las conclusiones obtenidas en los mismos. El
documento resumen del análisis de riesgos debe de llevar aparejado un trabajo previo
con respaldo documental propio de la responsabilidad proactiva que implica cumplir
con el RGPD y demostrarlo.

Igualmente hemos de destacar algunas cuestiones que ponen de manifiesto, entre
otras, de los defectos de los que adolecen los análisis de riesgos de ambos
tratamientos.

Por un lado, el propio DPD recomienda respecto del tratamiento referido a la
actualización del censo que “el proceso digital de actualización del censo debe tener
carácter voluntario, pudiendo optar el socio o socia a realizar el proceso
presencialmente”. Esta aseveración pone de manifiesto la existencia de otros medios
igualmente válidos para llevar a cabo la actualización del censo. De hecho, ambos
medios coexisten tal y como consta en el “Informe valoración de riesgos y
proporcionalidad del tratamiento de datos personales con sistema de biometría facial
proceso actualización censo” de 20/11/2022.

Es innegable que la actualización del censo presencial es claramente menos invasiva
para los socios, y que la mayoría de personas asociadas residen en la ciudad de
Barcelona, área metropolitana, excepcionalmente a la misma CCAA. La excepción y
por tanto la real dispersión geográfica ligada a las dificultades de desplazamientos
para efectuarlo podrían explicarse para una proporción reducida del personal
asociado, junto a la comodidad por no tener que desplazarse en la realización son
cuestiones relacionadas con la necesidad y proporcionalidad que no se barajaron en el
tratamiento ni resulta razonado.

Sin embargo, el FCB resulta incongruente en sus afirmaciones, puesto que indica en el
citado análisis que: “el FCB a la hora de valorar el sistema de tratamiento para la
actualización de los socios y socias, ha tenido que tener en cuenta un medio que le
permita autentificar al interesado con mayor seguridad y certeza, sin que sea
necesaria la presencia física de los socios y socias”…Existencia de medios menos
invasivos: Como cuarto aspecto para evaluar la adecuación del sistema biométrico
analizado, se ha tenido en consideración si existen medios menos invasivos de la
intimidad que pudieran alcanzar el mismo fin deseado. Después de analizar las
alternativas se ha comprobado que estas no pueden obtener el mismo fin”. (el
subrayado es nuestro).

Amén de que no examina cuáles son esas alternativas, lo cierto es que la de
reconocimiento facial, está coexistiendo de facto con la actualización del censo
presencial, que es menos invasivo. Es más, cuando el reconocimiento facial arroja un
resultado negativo, se indica al socio que se dirija a las oficinas de atención al socio
del FCB, habiendo afirmado que se han realizado actualizaciones presenciales a tales
efectos.

Todo ello pone de manifiesto una clara incongruencia y un deficiente examen sobre la
necesidad y proporcionalidad del tratamiento.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

111/139

Asimismo, indica que “es un sistema al que no se le puede engañar, de manera que
los socios y socias no podrán suplantarse entre ellos, cualquier otro sistema conlleva
riesgos de suplantación (sea mediante carnets, códigos, formularios en papel,
formularios online...).” (el subrayado es nuestro).

Sin embargo, no prevé la posibilidad que mediante el sistema de reconocimiento facial
se presente un DNI manipulado, con una fotografía que corresponda a quien se toma
la foto y no a su verdadero titular. No mencionan ese riesgo ni determinan medidas
para paliarlo.

En cuanto al análisis de riesgos relativo a la voz:

Asimismo, también indica en este tratamiento que “Necesidad: En lo que respecta a la
autenticación por voz, no existe actualmente ningún sistema no biométrico capaz de
alcanzar el mismo objetivo: garantizar la seguridad en trámites a distancia mediante la
prevención del fraude o la suplantación de identidad. … Eficacia: …es un sistema al
que no se le puede engañar, de manera que los socios y socias no podrán suplantarse
entre ellos, cualquier otro sistema conlleva riesgos de suplantación (sea mediante
carnets, códigos, formularios en papel, formularios online...)…. En definitiva, no existe
actualmente ningún sistema no biométrico que permita alcanzar el mismo objetivo con
un nivel de seguridad equivalente y sin comprometer la protección de claves o
contraseñas. La finalidad de este tratamiento es implementar un mecanismo eficaz de
autenticación y prevención del fraude o suplantación de identidad en trámites
realizados a distancia, mediante el reconocimiento de la voz del socio/a. Por ello,
cualquier alternativa no biométrica no lograría cumplir con dicha finalidad de forma
equivalente…. Existencia de medios menos invasivos: Como cuarto aspecto para
evaluar la adecuación del sistema biométrico analizado, se ha tenido en consideración
si existen medios menos invasivos de la intimidad que pudieran alcanzar el mismo fin
deseado. Después de analizar las alternativas se ha comprobado que estas no
pueden obtener el mismo fin. Todos los sistemas alternativos analizados carecen de
mecanismos de defensa ante suplantación (es muy fácil suplantar a otra persona si
tienes sus códigos, nº de DNI, nº de socios, etc.)” (el subrayado es nuestro).

Sin embargo, como se ha indicado anteriormente, es un sistema probabilístico, no
exento de errores. Por ello, hemos de destacar que, dado que la identificación del
socio se logra a través de una decisión automatizada (comparando la voz del socio
con el dato biométrico conservado), si el resultado automático fuera, por la razón que
sea, negativo, debería de estar sometido como mínimo a la posibilidad, entre otras, de
que se obtuviera una intervención humana. No se prevé qué sucede en ese escenario
y si hay que solicitar otra serie de datos a los socios a los efectos de identificarles y
prestar el servicio.

Además, resultando que este sistema es voluntario para los socios, coexistiendo con
otros para la compra de entradas o abonos, resulta a todo punto incongruente que se
indique que “cualquier alternativa no biométrica no lograría cumplir con dicha finalidad
de forma equivalente”.

A mayor abundamiento, no se indica cuáles son los otros sistemas no biométricos con
los que se realiza la comparación. Se debe demostrar que se han considerado y
evaluado tratamientos alternativos que, empleando medios menos intrusivos,
alcanzan, al menos, igual eficacia. Los informes defienden que no existe ningún

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

112/139

sistema no biométrico que alcance el mismo nivel de seguridad, pero una EIPD
debería detallar formalmente este análisis comparativo

En relación con ambos análisis de riesgos, el ciclo de vida de los datos que consta en
aquellos es tan genérico que podría servir para cualquier tratamiento. De hecho, el
ciclo de vida contenido en ambos análisis es prácticamente idéntico. Como ejemplo en
el SBRF figura en “ciclo de vida en actividades de tratamiento”, “tratamiento:
Actualización de los datos de los socios”, o en “clasificación/almacenamiento:
actualización en la ficha del socio o socia de los datos proporcionados”. En este caso
intervienen en la recogida una aplicación online, a través de dos subencargados de
tratamiento por los que transcurren datos biométricos obrando el vector facial en los
servidores de SIA por siete días

Es vital describir de manera pormenorizada el ciclo de vida de los datos, refiriendo
exactamente qué sucede con los datos, durante cuánto tiempo, quien tiene acceso a
ellos, a través de qué medios, si se pueden modificar, borrar, etc., por qué tipo de
procesos pasan en el marco de qué operaciones de tratamiento, etc., a los efectos de
determinar de manera pormenorizada dentro del ciclo de vida de los datos cuáles son
los riesgos en los derechos y libertades de los interesados concretos en cada
operación del tratamiento, en cada momento, con qué impacto y probabilidad.

Por ejemplo, puede existir un riesgo de pérdida de confidencialidad en un tratamiento
de datos personales, pero no es idéntico en todas las fases del tratamiento, sino que
puede variar en cuanto a la afectación a los datos personales, a la probabilidad de su
materialización y a su impacto, lo que determinará su específica categorización y la
determinación de medidas técnicas y organizativas apropiadas para cada riesgo.

Esto determina que, sin esa descripción pormenorizada, difícilmente se van a
determinar todos los riesgos, su probabilidad e impacto, el nivel de riesgos del
tratamiento y la adopción e implementación de medidas técnicas y organizativas
apropiadas.

Así, en los análisis de riesgos se examinan los riesgos asociados a la protección de la
información.

Por ejemplo, y así sobre el resto, sobre la integridad de los datos personales se
menciona en ambos tratamientos y de forma idéntica que hay un riesgo de
“modificación o alteración de datos personales no intencionada” cuya probabilidad es
de 1 y su impacto de 2, concluyendo que hay “poco riesgo” e indicando una serie de
medidas de control. La interpretación de los umbrales de probabilidad e impacto de los
riesgos desde los que se parten en ambos análisis de riesgos, carecen de explicación,
a pesar de que el RGPD establece que el uso de nuevas tecnologías y la biometría
aunque se trate con fines de verificación son factores que elevan el riesgo. Por
ejemplo, el riesgo de modificación o alteración de datos personales no intencionada
tiene una Probabilidad de 1 (Despreciable) y un Impacto de 2 (Limitado). El riesgo de
incapacidad para detectar y/o gestionar incidentes es Poco Riesgo (P=2, I=2).

Según la Guía de la AEPD, la complejidad del proceso de gestión de riesgo debe
ajustarse al posible impacto de la actividad, y el riesgo intrínseco debe considerarse
antes de aplicar las medidas de mitigación. Asignar riesgos tan bajos para un proceso
que busca la máxima seguridad (evitar el fraude) parece una valoración optimista que

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

113/139

podría subestimar el riesgo real antes de la implementación de controles (riesgo
inherente).

Mas, (i) no se explica dónde está presente ese riesgo en el ciclo de vida de los datos,
(ii) en cada fase del tratamiento con qué probabilidad de impacto, (iii) de dónde han
obtenido las cifras de probabilidad 1 e impacto 2 y qué supone eso, (iv) cuál es el
impacto real, en qué derechos y libertades de los interesados, en qué les impacta una
materialización del riesgo de integridad, (v) determinan “poco riesgo” sin saber si es el
inherente al tratamiento o el residual tras aplicar las medidas, (vi) desconocemos cómo
se aplican e implementan las medidas y cómo reducen el riesgo y si reducen su
probabilidad, su impacto o ambas cosas y cómo.

Es curioso que no prevean el riesgo cierto de modificación o alteración de datos
personales no intencionada claramente presente en el tratamiento que puede impactar
en los derechos y libertades de los interesados.

Además de que nunca hay un riesgo cero para los derechos y libertades de los
interesados, tal y como sí asevera el FCB, no se observa en los referidos análisis cuál
es el riesgo inherente del tratamiento y cuál es el riesgo residual una vez aplicadas las
medidas apropiadas.

Asimismo, se hace referencia a 19 tipos de riesgos existentes, resultando que en los
análisis de riesgos no se examinan todos ellos como puede comprobarse. Igualmente,
aunque los informes concluyen que el riesgo residual es mínimo, en una EIPD, este
análisis debe ser más granular y explicito, y llevar a la determinación de la viabilidad
final del tratamiento y carece de análisis de la interactuación de los distintos factores
de riesgo entre si -factor de riesgo acumulado-.

Tampoco consta en la presuntas EIPD:

- que se haya recabado la opinión de las personas asociadas del FCB o sus
representantes, requisito explicito en el contenido de la EIPD. En los documentos
relacionados con los tratamientos, no consta ni se menciona que se hubiera recabado
dicha opinión, que cobra más relevancia al ser también propietarios del Club según
manifestó el Club. El objetivo sería hacer conscientes a los interesados de que el
tratamiento es de alto riesgo, detallando los factores que así lo atestiguan y los
potenciales impactos, con señalamiento de alternativas para cumplir los mismos
objetivos de forma menos intrusiva para sus intereses colectivos.

-No se define un plan de acción y seguimiento. No aparece el cargo que la
firma.

En conclusión, por una parte, el FCB debería de haber realizado dos EIPD en los
tratamientos y, por otra, los análisis de riesgos referenciados adolecen de virtualidad y
no cumplen con el RGPD al haberse realizado en un momento temporal posterior a la
firma de los contratos de prestación de servicio y de encargo de tratamiento por el
FCB y por adolecer de graves defectos en su planteamiento y realización que le
imposibilitan cumplir con lo dispuesto por el RGPD. Tales análisis de riesgos, además,
no pueden considerarse, tal y como pretende el FCB como EIPD por idénticas
razones, pues para que una EIPD sea válida y cumpla con el RGPD, no basta con que
se realice formalmente, sino materialmente y se supere. En definitiva el contenido

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

114/139

material que el FCB manifestó referirse como dos EIPD, carecen de elementos
esenciales para poder ser considerada como tal .

VI Contestación a las alegaciones
En relación con las alegaciones formuladas por el FCB al acuerdo de inicio, relativas a
que realiza un tratamiento de autenticación de datos biométricos, que no suponen su
encuadre en las categorías especiales de datos personales, a que existe causa no
obstante que levantaría tal prohibición pues se ha prestado el consentimiento por parte
de los socios, en relación con el artículo 9 del RGPD, carece de sentido su
contestación puesto que se propone archivar a tales efectos de conformidad con lo
dispuesto en fundamentos de derecho anteriores. Ello tiene como consecuencia que
expresamente no hay pronunciamiento segundo sobre la conformidad y licitud del
citado consentimiento.

En cuanto a las respuestas a las alegaciones efectuadas por FCB frente a la
propuesta de resolución, se ha de comenzar indicando en relación con el archivo del
artículo 9 del RGPD, que se refiere a los dos tratamientos, SBRF y SBRVoz en el
período temporal en que tuvieron lugar, precisando las circunstancias que concurrían
reflejadas en el fundamento de derecho IV finalizando en la asunción de la falta de
culpabilidad del FCB por los motivos que figuran.

Entrando en el detalle de las formuladas contra la infracción imputada por el artículo
35 de los tratamientos de dichos datos, que se llevaron a efecto en dicho período y
que así figuran en el hecho decimoprimero, cabe indicar:

PRIMERA-1

Se ha de precisar que no solo los tratamientos de datos personales de categoría
especial, entre ellos los biométricos contenidos en el artículo 9.1 del RGPD se
hallarían sujetos a la obligación de evaluación de impacto de protección de datos, por
suponer un probable alto riesgo para los derechos y libertades de los interesados. El
hecho de que eventualmente no entrasen en dicha categoría no implicaría per sé que
la valoración de riesgos para los derechos y libertades e intereses de las personas no
pueda ser considerada como de probable alto riesgo.

Como ya se ha indicado anteriormente, lo que obliga a la realización de una EIPD es
que un responsable del tratamiento se encuentre ante un tipo de tratamiento en el que
sea probable (basta la probabilidad, ni siquiera es preciso que el alto riesgo esté
confirmado) que comporte un alto riesgo en los derechos y libertades de las personas
físicas. Y ello puede deberse a diversos elementos propios del tratamiento, como son
las tecnologías utilizadas, la naturaleza, alcance, contexto y fines del tratamiento, que
deberán ser analizados en el caso concreto. Muestra de ello es que la propia lista de
tipos de tratamientos de datos que requieren evaluación de impacto relativa a
protección de datos (art 35.4) elaboradas por la AEPD, aprobada por el CEPD, no
comprende escenarios cerrados y supuesto tasados.

Por ello no se puede constreñir, como pretende el FCB, a que no debía hacerse una
EIPD sólo por el hecho de que no nos encontramos ante categorías especiales de
datos personales, sin examinar el tratamiento en su conjunto, desde el enfoque en los

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

115/139

riesgos en los derechos y libertades de la personas físicas, tal y como mandata el
RGPD.

En cuanto a la herramienta utilizada por FCB para la valoración de riesgos, refiere la
“Guía práctica de análisis de riesgos en los tratamientos de datos personales sujetos
al RGPD” publicada el 28/02/2018, se ha de señalar que esta Guía, fue superada
desde 29/06/2021 con la nueva publicación en la web de la Guía de “Gestión del
riesgo y evaluación de impacto en tratamientos de datos personales” (GGR en lo
sucesivo).

En la introducción de la misma, se indica que “es una guía para la gestión de riesgos
para los derechos y libertades de los interesados aplicable a cualquier
tratamiento, independientemente de su nivel de riesgo. Además, y para los casos de
tratamientos de alto riesgo, incorpora las orientaciones necesarias para realizar la
Evaluación de Impacto para la Protección de Datos (EIPD)”.

Esta GGR de riesgos de junio 2021 más completa y detallada que la de 2018, si bien
no se impone ningún modelo a seguir para la valoración de los mismos, si se
considera orientativa con el fin de que reúna un mínimo de calidad en su análisis.

En su sección 1, III, como identificación de los factores de riesgo, “metodología básica
para la aplicación de la gestión del riesgo para los derechos y libertades” se describe
en su punto VI la “identificación y análisis de los factores de riesgo” que es el paso
previo a la evaluación del nivel de riesgo del tratamiento. Como principio señala que es
en el RGPD, en la LOPDGDD, normativa especial, guías y directrices aprobadas por
las autoridades de protección de datos donde se identifican un conjunto de factores de
riesgo, lo que constituye una lista de mínimos.

Los documentos del GT 29 emitidos hasta la fecha del proceso de recogida de datos
biométricos del FCB, de marzo a noviembre 2023, ya desde el “documento de trabajo
sobre biometría de 2003” del GT 29, adoptado el 1/08/2003, señalan que se han de
tener en cuenta los riesgos para la protección de los derechos y libertades
fundamentales de las personas, y contiene diversos ejemplos de riesgos asociados a
las diversas operaciones de tratamiento que caracterizan a los mismos.

Igual sentido de subrayar diversos riesgos se contienen en el Dictamen 3/2012 sobre
la evolución de las tecnologías biométricas, o también apunta las directrices 3/2019
sobre el tratamiento de datos personales mediante dispositivos de video adoptadas el
29/01/2020.

La valoración de riesgos supone la forma y medida de cumplimiento del tratamiento
que todo responsable de tratamiento ha de llevar a cabo con el fin de determinar qué
medidas aplicar y cómo hacerlo. Parte de las alegaciones del FCB se centran en
determinar que consideran que el sistema era seguro (y por tanto sin comportar ningún
riesgo para los socios), resultando que los tratamientos de datos personales no solo se
ven afectados por la seguridad de los datos personales, también pueden afectar a las
personas físicas en sus derechos y libertades e intereses, aunque no se haya
producido una deficiencia relacionada estrictamente con la seguridad. Y eso, los
derechos y libertades de las personas físicas, es lo que protege el RGPD.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

116/139

El probable alto riesgo en los tratamientos analizados en este procedimiento, y el
cumplimiento de criterios establecidos como tal, a título orientativo en la WP 248 son
los que se discuten en este procedimiento, por lo que la alegación ha de ser
desestimada.

PRIMERA-2

Sobre la afirmación hecha por FCB de convalidar para la interpretación del RGPD la
autenticación biométrica en sistemas de reconocimiento biométrico facial remoto,
como de riesgo bajo, como consecuencia de lo previsto en el ANEXO citado del
Reglamento (UE) 2024/1689 del Parlamento Europeo y del Consejo, de 13/06/2024,
por el que se establecen normas armonizadas en materia de inteligencia artificial y por
el que se modifican los Reglamentos (CE) nº 300/2008, (UE) nº 167/2013, (UE) nº
168/2013, (UE) 2018/858, (UE) 2018/1139 y (UE) 2019/2144 y las Directivas
2014/90/UE, (UE) 2016/797 y (UE) 2020/1828 (Reglamento de Inteligencia Artificial, a
partir de ahora RIA), se debe indicar que:

- El RIA no resulta de aplicación al supuesto examinado, ni siquiera
comparativamente, con sólo tener en consideración lo previsto en el artículo 2
del mismo respecto del ámbito de aplicación del citado Reglamento, así como
de su ámbito objetivo, amén que, en este supuesto examinado en el presente
procedimiento sancionador, el FCB no ha utilizado inteligencia artificial.

Además, tampoco resulta de aplicación puesto que, de conformidad con lo
previsto en el artículo 113 del mismo, tanto su entrada en vigor (1/08/2024)
como su aplicación (a partir del 2/02/2025, 2/08/2025, 2/08/2026 y 2/08/2027)
son claramente posteriores a la terminación del procedimiento de actualización
del censo del FCB (30/11/2023), tal y como consta en los hechos probados.

En este momento se ha de significar que el FCB en defensa de sus intereses
está citando normas, guías y recomendaciones anteriores a lo aplicable en el
momento de la realización del tratamiento de datos personales y a la vez
normas posteriores, como el RIA, que no es ni objetiva ni subjetivamente
aplicables y ni siquiera estaban en vigor y resultaban de aplicación cuando
llevo a cabo el tratamiento. Esta técnica de espigueo normativo no puede ser
considerada para estimar sus alegaciones.

- No obstante lo anterior, y a mayor abundamiento, el considerando 6 del RIA
prevé: “El concepto de «sistema de identificación biométrica remota» a que
hace referencia el presente Reglamento debe definirse de manera funcional
como un sistema de IA destinado a identificar a personas físicas sin
su participación activa, generalmente a distancia, comparando sus datos
biométricos con los que figuren en una base de datos de referencia, con
independencia de la tecnología, los procesos o los tipos de datos biométricos
concretos que se usen”.

Como hemos indicado, no queda acreditado que las herramientas usadas a
través del subencargado VERIDAS para tratar los datos biométricos de
actualización del censo utilizara inteligencia artificial en su tecnología.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

117/139

En caso de que se utilizara, sería un añadido más para ratificar la necesidad de
efectuar una EIPD en cuanto afectaría como un riesgo más al tratamiento o
tratamientos efectuados por el FCB por su carácter de tecnología novedosa. El
hecho de no utilizar sistemas de IA no significa que no pueda existir un
probable alto riesgo en un tipo de tratamiento, que como se aprecia no
obedece solo a que en el tratamiento haya datos biométricos.

-Parte de los supuestos en que su uso esté permitido por el derecho de la
Unión o de los Estados miembros,, lo cual remitiría a los requisitos para su
tratamiento recogidos en el RGPD y en la LOPDGDD, así como los
dictámenes y directrices.

En este caso, no se produce un uso de recogida de datos en remoto en
ninguno de los dos tratamientos, sino una vez iniciada sesión en la web del
FCB partiendo de su usuario y contraseña. La definición de identificación
biométrica remota en tiempo real a que se refiere el RIA no es la que se analiza
en la actualización del censo con SBRF.

Por todo lo indicado, el razonamiento jurídico y la alegación efectuada por el FCB debe
de ser desestimada.

PRIMERA.3-A

En relación con las alegaciones referidas a que no nos encontramos ante “2…
decisiones automatizadas…” se ha de indicar que, según el artículo 22 del RGPD, las
personas tienen derecho a no ser objeto de decisiones basadas únicamente en el
tratamiento automatizado (incluida la elaboración de perfiles), si tienen efectos
jurídicos o tienen un efecto significativo, a menos que:

-Sea necesario para ejecutar un contrato entre el interesado y el responsable.

-Esté autorizado por el derecho de la Unión o de un estado miembro.
-El interesado haya dado su consentimiento explícito.
En los supuestos en los que la decisión individual automatizada se produzca en el
marco de la celebración o ejecución de un contrato o del consentimiento del
interesado, este último gozará de una serie de garantías y siempre, y como mínimo,
tendrá derecho a obtener intervención humana por parte del responsable, a expresar
su punto de vista y a impugnar la decisión.

De hecho, una cosa es la adopción de decisiones individuales automatizadas y otra la
posterior intervención humana (precisamente porque el sistema ha decidido
automáticamente) que es una garantía que como mínimo ha de tener el interesado.

Que haya una posterior intervención humana no invalida que la decisión individual
automatizada anterior lo sea (máxime con el concepto amplio de decisión fijado por el
TJUE).

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

118/139

Estas decisiones individuales automatizadas sólo pueden hacer uso de categorías
especiales de datos si existe el consentimiento explícito del interesado o si el
tratamiento se hace para proteger los intereses vitales del interesado o de otra
persona.

No se discute si el sistema excluye o bloquea automáticamente al socio en su
actualización del censo existiendo una opción para poder continuar con el proceso del
censo (garantía de la intervención humana), sino que evidentemente, se toman
decisiones individuales automatizadas.

Así, como ya se ha indicado, el tratamiento de datos personales de actualización del
censo, basado en el reconocimiento facial, se produce automáticamente sin
intervención humana a través de la aplicación de algoritmos procesando una serie de
datos, proporcionando un resultado (positivo o negativo).

La decisión está basada únicamente en el tratamiento de los datos requeridos sin
perjuicio de que, si la decisión es negativa en cuanto a la identificación del socio, este
tenga la posibilidad de revisión presencial.

Y ello no solo por la comparación de plantillas derivada de la configuración técnica que
se ha de introducir en los sistemas para la comparación de vectores, considerando los
eventuales falsos rechazos y aceptaciones en falso, sino porque en el resultado de la
verificación del SBRF no consta que automáticamente se detecte la falta de
coincidencia y se actúe directamente por FCB, sino que la persona asociada habrá de
comunicarlo al FCB iniciándose en ese caso la revisión por otros métodos que
convengan a esta entidad (telefónicamente o por e mail).

Por tanto, el hecho de que exista la intervención humana posterior ante un negativo
para poder terminar los procesos y no sufrir las consecuencias, no significa que no se
trate de decisiones individuales automatizadas que producen efectos jurídicos o le
afecten significativamente de modo similar al interesado. Como ya se señaló, esta
decisión de identificación positiva o negativa produce efectos jurídicos directos sobre
los socios, permitiendo si es positiva actualizar el censo y si es negativa dejarlo sin
actualizar, hasta el punto de que, si tal revisión posterior no se produce a instancia del
propio socio, el socio puede perder su condición tal y como indican los estatutos del
FCB.

En el mismo sentido, para el SBRVoz, no consta tampoco que a resultas de la falta de
coincidencia se ponga en marcha algún dispositivo por parte directamente y en ese
momento para solventar por una persona la eventual falta de coincidencia, sin que
conste si existía un protocolo especifico de las medidas que tomaría el FCB.

Por todo ello, la alegación formulada debe de ser desestimada.

PRIMERA.3-B

En cuanto a las alegaciones formuladas por el FCB de que no nos encontramos, a los
efectos de la obligatoriedad de una EIPD ante: “5. tratamientos que implique uso de
datos biométricos con propósito de identificar de manera única a una persona física”,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

119/139

se ha de indicar que pese a archivarse la infracción del artículo 9 del RGPD, existe
una diferencia en relación a la referencia a “una probabilidad de un alto riesgo” de los
muchos y variados que señala el considerando 75 del RGPD, que concurriría en este
caso como se sostiene entre otras circunstancias; y ello porque en este caso, hay que
considerar que se tratan datos combinados en los tratamientos realizados tanto en el
SBRF como en el SBRVoz.

En el primero de los tratamientos, el SBRF, junto con el del documento oficial y público
de identificación, DNI o pasaporte, en caso de no nacionales, regido en cuanto a dato
personal por el artículo 87 del RGPD como una situación específica para su
tratamiento, denominándolo los “números nacionales identificativos”, y teniendo a
todos los efectos como tal valor por sí solo para acreditar la identidad y los datos
personales de su titular que en él se consignen.

Se ha de tener en cuenta, que es a partir del DNI vigente a través del que se realiza
como base primigenia la comparación biométrica, obteniéndose primero el vector del
DNI que se escanea y después la foto selfie, extrayendo su vector, contrastando el
vector de esta con el del DNI, con lo cual, pese a entender FCB que es una
autenticación carente de categoría especial en aquel momento, el cotejo se efectúa
con un dato de identidad unívoca, y las plantillas que se comparan lo hacen en base a
la extracción técnica de la cara en ambos casos, (plantilla o vector) lo cual implicaría
como tal riesgos propios de este conjunto de datos sensibles, dado que como se ha
mencionado el dato biométrico sin adjetivos es un dato inherente a la persona por
referirse a sus características biológicas.

Por otro lado, en el tratamiento del SBRVoz se relaciona a la persona con su propia
voz, se guarda y almacena el vector identificativo por FCB en la nube a través en la
ficha de la persona asociada donde constan otros datos personales: teléfono, DNI.

En la EIPD de la voz, figura que en cuanto a la naturaleza del tratamiento que no se
combinan diferentes conjuntos de datos, siendo lo cierto que si se combinan y se
aprovechan o añaden los de socio que se asocia a la ficha del socio. En ambos
supuestos, los tratamientos los efectúa por entero un subencargado de tratamiento,
VERIDAS de otro subencargado, SIA.

Por lo tanto, dado que los tratamientos sí se realizaban para identificar de manera
unívoca a una persona con datos biométricos, aun cuando fuera a través de una
autenticación y no de una identificación, la alegación ha de ser desestimada.

PRIMERA.3-C

En relación con la alegación formulada por el FCB de que no nos encontramos ante
“7. datos a gran escala…” se ha de reiterar que el fin que se persigue con los
tratamientos, en el de actualización del censo, es que todos los socios lo realicen.

Intrínsecamente será más probable que los que residan fuera de la ciudad de
Barcelona se vean abocados a efectuarlo por la vía digital, sin que ello obste para que
también utilicen el sistema quienes residen en la ciudad condal, no obstante en
definitiva, el tratamiento establecido “persigue tratar una cantidad considerable de
datos personales” no tan solo a nivel local: 54.337 personas asociadas constan con
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

120/139

domicilio en Barcelona ciudad, sino regional: 24.379 en área metropolitana, y 49.527
en el resto de Cataluña, ámbito de la CCAA de Cataluña, también de España: 7.143, y
en y el resto del mundo: 7.700, siendo el posible universo seleccionable afectado el del
total de personas asociadas, aunque un número menor del total haya elegido otras
modalidades. Igualmente, en el SBRVoz.

El detalle proporcionado es afín al criterio que al respecto indica el WP
248 el GT29 “recomienda que se tengan en cuenta los siguientes factores, en
particular, a la hora de determinar si el tratamiento se realiza a gran escala:

a. el número de interesados afectados, bien como cifra
concreta o como proporción de la población correspondiente;
b. el volumen de datos o la variedad de elementos de
datos distintos que se procesan;
c. la duración, o permanencia, de la actividad de
tratamiento de datos;
d. el alcance geográfico de la actividad de tratamiento.“

El argumento esgrimido de contrario comparando el número de socios en España con
la población en España y el número de socios fuera de nuestro país en relación con la
población mundial no desmerece el hecho de que estemos ante un tratamiento a gran
escala cuando comprende a la totalidad de los socios de la entidad, como cifra
concreta, en los términos dispuestos por el GT 29.

Como se ha indicado en epígrafes anteriores, concurren los factores en este
supuesto para que sea considerado a gran escala, debiendo desestimarse la
alegación formulada.

PRIMERA.3-D

Respecto a la alegación del tratamiento de datos biométricos de reconocimiento facial
a menores de 14 años como incluido en el punto 9 de la lista de inclusión de
tratamiento del artículo 35.4 del RGPD, que fue aprobada por el CEPD, a instancias de
la AEPD, se debe indicar sobre la alegación de que es efectuada por el tutor legal, o la
persona o personas que ostentan la patria potestad, reconociendo FCB que concurre
el supuesto, se ha de añadir que el hecho de que el tratamiento de menores de 14
años se realice a través de sus tutores o de quienes ostenten la patria potestad, por no
disponer de capacidad respecto de sus datos personales, no obsta para que se estén
tratando datos de menores de 14 años. Se cumple por tanto con uno de los elementos
listados por la AEPD, integrando a estos menores como sujetos vulnerables,
independientemente de los datos tratados o del tipo de tratamiento, pues basta con
que sen menores de 14 años.

PRIMERA.3-E

Respecto de la alegación referida a que estamos ante ”10.tratamiento de datos que
implique utilización de nuevas tecnologías…”, y respecto del SBRF reconoce el FCB
en su documento de 9/11/2022 que “En cuanto a las tecnologías empleadas, a pesar
de que los tratamientos biométricos se podrían encuadrar dentro de la definición de
tecnologías consideradas inmaduras, el software utilizado está contrastado y se ha
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

121/139

determinado que es totalmente seguro. Además, Veridas Digital Authentication
Solutions S.L., titular del software, en adelante Veridas, dispone de las más
reconocidas certificaciones, por lo que consideramos que su uso no entraña riesgos
para los socios y socias del FCB”. (el subrayado es nuestro).

Se ha de precisar que se contiene en la EIPD del SBRVoz como respuesta a: “¿Se
prevé el uso de tecnologías que pueden percibirse como inmaduras, de reciente
creación o salida al mercado, cuyo alcance no puede ser previsto por el interesado de
manera clara o razonable e implique elevado riesgo para el acceso no autorizado?
(combinación de nuevas tecnologías, uso de dispositivos inteligentes) -SI”.

De igual forma en los análisis de riesgos presentados para ambos tratamientos
considera que las tecnologías son inmaduras, aunque son “totalmente seguras” y
ratifica que ningún riesgo hay para sus socios derivado del tratamiento. Respecto del
reconocimiento facial, además, indica que se trata de una tecnología especialmente
invasiva.

Hemos de recordar, a tales efectos que se combinaban dos tratamientos en el mismo
proceso de actualización del censo de socios del FCB.

El DPD también se refiere a tecnologías consideras inmaduras en el informe de
9/11/2022 del DPD. Además, en las alegaciones al acuerdo, hecho octavo, cuatro,
FCB se refiere a que de la lista del artículo 35.4 del RGPD, este criterio podría serle
aplicable.

En cuanto a la alegación de que los datos biométricos figuran suficientemente
regulados y consolidados a nivel técnico y jurídico, siendo una tecnología madura, o
que su tratamiento no supone nuevas formas de recogida o uso de datos con riesgo
para los derechos y libertades de las personas, se debe señalar que desde la
consideración especifica de los datos biométricos personales en el RGPD, y los
considerados como especiales, no se ha dictado todavía ninguna valoración
jurisprudencial sobre legitimación, principios o diferenciación entre funciones
biométricas, pero si se han expuesto públicamente en todas las directrices,
dictámenes y opiniones, desde el GT 29 o el Supervisor Europeo, a la actualidad por el
CEPD su inherente riesgo al partir de datos que forman parte de la identidad física de
las personas sobre las que pueden ser reconocidas, y que son datos permanentes, no
susceptibles de variación en el tiempo.

FCB no valoró a efectos de efectuar o no una EIPD como tratamientos que implicaran
alto riesgo aspecto alguno de estas directrices y dictámenes publicados antes de los
citados tratamientos, centrándose esencialmente en los criterios que a su juicio no
concurrían para realizarla.

En todo caso, el artículo 35 del RGPD determina que debe de tenerse en
consideración, a los efectos de valorar que un tratamiento entraña un alto riesgo para
los derechos y libertades de las personas físicas, “en particular si utiliza nuevas
tecnologías”, indicando a continuación otros factores a considerar que ponen de
manifiesto que ha de examinarse el tratamiento en su conjunto; y ello sin que
signifique que no tenga que considerarse si se utilizan tecnologías que no sean

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

122/139

novedosas o tecnologías que se utilicen por primera vez por parte de un responsable
del tratamiento (como es el caso).

Por todo ello dicha alegación debe de ser desestimada.

SEGUNDA

Se ha de indicar que las medidas para la gestión del riesgo para el tratamiento de los
derechos y libertades de las personas físicas tienen dos objetivos. El primero,
optimizar los esfuerzos para identificar, evaluar y valorar los riesgos, para mitigar y
gestionar los riesgos de forma proporcional, evitando que se materialicen en daños
para los derechos y libertades de las personas físicas; y, el segundo, determinar si el
nivel de riesgo exige cumplir con lo previsto en los artículo 35 y 36 del RGPD
(supuestos de probable alto riesgo para los derechos y libertades de las personas
físicas derivados del tratamiento de datos personales).

Sobre la cronología del contrato de encargo, subencargo primero
y subencargo segundo, se ha de recordar que el contrato de prestación de servicios
del FCB con INDRA es de 24/10/2022, al que se añade el de encargo de tratamiento
de 17/11/2022 y el de subencargo de INDRA con SIA, de 14/11/2022, mientras que SIA
disponía de contrato para el uso del software de VERIDAS de 4/03/2021 con anexos
de 30/06/2021, según se refleja en hecho probado octavo.

Sin embargo, la fecha que porta el informe de valoración de riesgos para el SBRF es
posterior, en concreto, de 22/11/2022, y de 22/12/2022 para el SBRVoz, resultando
que los eventuales resultados obtenidos y las medidas para mitigar en su caso los
riesgos no se podían contener en los contratos de encargo y subencargado firmados
previamente.

Añade FCB que los contratos se firmaron cuando el análisis ya se había iniciado,
considerando los informes del DPD. Y añade que ello no era obstáculo para haber
podido introducir la revisión de las medidas y su actualización cuando fueran
necesarias introduciendo los elementos necesarios como adendas o anexos si se
hubiera dado en el ínterin.

Pues bien, los análisis de riesgos debían de haberse finalizado y después haber
suscrito, en su caso, los contratos de encargo y subencargo correspondientes.

Y ello porque un análisis de riesgos puede determinar que el riesgo residual de un
tratamiento, una vez implementadas las medidas técnicas y organizativas de todo tipo,
sea inaceptable y determine la imposibilidad de llevarse a término un tratamiento. Y
esto no se puede saber hasta que se ha finalizado un análisis de riesgos.

No se trata de añadir o introducir otros elementos con carácter posterior, como
argumenta el FCB, pues ello conculcaría además la privacidad desde el diseño
impuesta por el RGPD, que proscribe que la protección de datos sea una capa
añadida a un producto o sistema, tal y como reza la Guía de Privacidad desde el
Diseño de la AEPD.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

123/139

Sobre el papel de la participación del DPD en la valoración de riesgos y por tanto en la
EIPD material que se aporta, se acredita que en el escrito de 22/09/2022: “Análisis
previo sobre el uso de la biometría en el proceso de actualización del censo de socios
y socias”, y en sus conclusiones de 9/11/2022, solo se refiere al proceso del
tratamiento del SBRF en la actualización del censo, no consta aspecto alguno sobre
su papel en el tratamiento del SBRVoz.

Por las fechas de tales informes, se constata que el 9/11/2022, el FCB ya disponía de
un análisis de riesgos para la actualización del censo, que concluye lo antecitado, en
cuanto al tratamiento con SBRF, con base a unos análisis de riesgos que datan de
fecha posterior y a los que además de valorar si son suficientes, pretende el FCB dar
validez de EIPD, a pesar de concluir que no se precisaba tal instrumento de garantía
del tratamiento de datos. La actuación del DPD reproduciendo lo resuelto en el análisis
de riesgos, no implica su participación en su elaboración ni en la supervisión en su
aplicación, de conformidad con el artículo 39.1 c) el RGPD, que debe quedar
documentada, sin que sirva como tal, hacerse eco del contenido de dicho análisis de
riesgos, pues tampoco consta sugerencia alguna por parte del DPD sobre la
necesidad de llevar a cabo una EIPD o su implicación en la metodología utilizada, o en
la evaluación de la calidad de los riesgos.

Sobre el proceso de fechado del análisis de riesgos, manifiesta FCB que en realidad
comenzó con anterioridad por entre otras cuestiones, la recopilación de la información
que necesita conocer, y la posibilidad de modificar la valoración de los riesgos, al ser
una obligación documental de la que se ha de demostrar su cumplimiento. No
obstante, en este caso, no queda acreditado que se haya producido tal hecho, por no
aportar sino los informes, siendo el resto meras manifestaciones sin acreditación
documental alguna, desconociéndose si el análisis referido en el informe de 9/11/2022
fue el único y completo o en que varió y porque portan las fechas en versiones 1, de
22/11/2022 el SBRF y de 22/12/2022 el de la voz.

Respondiendo a la alegación del FCB, no se puede afirmar que los tratamientos
producidos por FCB de SBRF y SBRVoz presenten un similar ciclo de vida, por cuanto
uno es de duración y pervivencia instantánea, sin apenas tiempo de almacenamiento
de los vectores biométricos, utilizando como contraste primigenio entre los datos del
DNI, su foto, y el otro almacena en servidores propios del FCB la plantilla de la voz
junto con otra serie de datos del socio. Además de la forma de implementarse sus
tratamientos, los riesgos inherentes de la huella-la toma requiere contacto físico con
un sensor, carácter estático por cuanto no cambia con el tiempo, vulnerable por
réplicas físicas-, frente al dato personal de la voz: variable por estado de salud,
emociones, entorno ruidoso, clonación de voz por AI, son totalmente diferentes, por lo
que las descripciones de las operaciones de tratamientos desde las que se ha de partir
para analizar sus variados riesgos ha de ser necesariamente diferentes.

La descripción del tratamiento supone que hay que conocerlo, y para ello precisa ser
analizado, lo que supone examinar detalladamente, separando y considerando de
forma independiente cada una de sus partes, para conocer sus características,
cualidades, restricciones y limitaciones La profundidad-granularidad- de este análisis
ha de ser la suficiente como para poder llegar a conclusiones con relación al riesgo
que representa para los derechos y libertades.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

124/139

En las descripciones sistemáticas de los tratamientos y los fines del artículo 35.7.a) del
RGPD no se puede pasar por alto la enumeración y descripción de los datos
personales que resultan afectados, las etapas en que los datos son tratados por los
encargados/subencargados y los flujos de datos, so pena de no resultar la gestión
eficaz, y en este supuesto en ninguna de las dos descripciones de los tratamientos se
contienen sino meras referencias. Las descripciones de los tratamientos los
descomponen en fases aunque no pormenoriza en cada una de ellas sus
componentes, como ejemplo, la web desde la que se recaba el SBRF, el activo
tecnológico del escaneo del DNI por ejemplo o los traspasos de datos de VERIDAS al
FCB, es decir, no llegan a alcanzar la totalidad de análisis del ciclo de vida de los
mismos

En las valoraciones de la necesidad de realizar una EIPD para el SBRVoz contenidos
en el punto 8 del informe, no analiza los riesgos, sino responde a supuestos
contemplados en la WP 248, como sí realiza tratamiento a gran escala, efectuando
una comparación a nivel de población del territorio en Cataluña, en categoría de datos
tratados, no figura biométricos, resolviendo que no se trata de un tratamiento a gran
escala de datos.

En el mismo epígrafe, en naturaleza del tratamiento que no se combinan diferentes
conjuntos de datos, varias fuentes de información, siendo lo cierto que si se combinan
y se aprovechan o añaden los de socio como en la voz que se asocia a la ficha del
socio, cuyo registro de socio tiene otros fines o los del DNI, quedándose también con
la foto del DNI.

Por último, se ha de señalar que no se está discutiendo en este procedimiento la
adecuación de los análisis de riesgos a la normativa de protección de datos, sino la
necesidad de realización de una EIPD. Si se examinan los análisis de riesgos
realizados por el FCB es sólo a los efectos de poner de manifiesto que no son EIPD, ni
cuentan con sus elementos, en atención a las alegaciones formuladas por el FCB en
este sentido (que los análisis de riesgos realizados son verdaderas EIPD al contar con
todos sus elementos). Por eso resulta curioso que se indique por el FCB que le
sorprende que se examine por la AEPD prolijamente lo relativo al ciclo de los datos,
resultando, dicen, que la Guía no establece la obligación de realizar una tan
pormenorizada descripción en los términos ahora exigidos. Precisamente todo ello se
examina porque es el FCB quien pretende que los análisis de riesgos sirvan como
EIPD.

Por todo ello, se desestima la presente alegación.

TERCERA

Frente a la alegación de que se ha variado el sentido de la motivación y justificación
en la propuesta sobre el acuerdo de inicio para entrar a valorar e interpretar la
corrección de la deficiencia en la valoración del análisis de riesgos, siendo el sentido
originario en el acuerdo de inicio la concurrencia de datos de categoría especial,
elemento que no se discute ya en la propuesta por ser archivado el artículo 9 del
RGPD, se debe indicar:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

125/139

-A la hora del formular el acuerdo de inicio se tuvo en consideración que,
efectuada la petición de que aportase en el traslado de la reclamación el
21/04/23 la EIPD, contestó que había concluido que no era necesaria, sin
indicar la existencia del documento de 22/11/2022. El documento en sí fue
aportado en alegaciones al acuerdo de inicio, mientras que el de SBRVoz sin
contar por tanto con las conclusiones sobre la necesidad de EIPD de esta, no
se obtiene sino en fase de pruebas.

-Cabe señalar que cada uno de los elementos mínimos que ha de contener la
EIPD señalados en su artículo 35.7 del RGPD ha de ser objeto de valoración
no por su cumplimiento meramente formal o como se le denomine, sino por su
contenido material y eficacia que responda a los fines de lo que ha de ser una
verdadera EIPD. Comenzando por el análisis de riesgos que desarrollo FCB
que en el caso del SBRF, el DPD hizo suyas sus conclusiones el 9/11/2022,
para concluir que no era precisa una EIPD analizados los riesgos, sin que
conste por otro lado conclusión alguna al respecto sobre lo mismo en el uso del
SBRVoz.

-No se considera incongruente la propuesta por no considerarse los
tratamientos biométricos como especiales, ya que la probabilidad de alto riesgo
no se limita a solo las categorías especiales de datos, puede aplicarse a
cualquier tipo de dato, que, al ser tratado, presente un riesgo significativo para
los derechos y libertades de las personas. La clasificación de datos en
"categorías especiales" sin embargo, se refiere a datos que por su naturaleza
(salud, origen étnico, opiniones, etc.) son intrínsecamente más sensibles y
tienen una prohibición de tratamiento más estricta, lo que podría aumentar la
probabilidad de alto riesgo si se gestionan de forma inadecuada.

-La EIPD debe ser no solo una descripción nominal, sino que ha de cumplir un
mínimo de calidad en su redacción e implementación y reevaluación y
seguimiento. Igualmente, la evaluación de las condiciones para valorar si el
responsable está obligado a realizar una EIPD del tratamiento hay que
realizarla a partir de la descripción del tratamiento y de los factores de riesgo
identificados en el proceso de análisis de riesgo para los derechos y libertades.

-La EIPD ha de estar soportada por una documentación distinguiendo el
proceso con la forma de presentarla, debiendo acreditarse por el responsable
del tratamiento que la respaldada. Documentar no implica la realización de un
único documento sino tener registradas las acciones, los análisis y decisiones
de la EIPD. Por ejemplo, los criterios por los que se determinan determinados
valores de probabilidad o impacto sobre los interesados, los motivos por los
que una determinada medida supone una reducción de la probabilidad o
impacto, etc. Se incluiría, de acuerdo con las directrices WP248 el hecho de
que “aunque una operación de tratamiento se corresponda con los casos
anteriormente mencionados, puede que un responsable no considere que
dicho tratamiento entraña probablemente un alto riesgo. En estos casos, el
responsable debe justificar y documentar los motivos por los que no se realiza
una EIPD, e incluir y registrar las opiniones del delegado de Protección de
Datos. Igualmente, la justificación y la decisión de no realizar la EIPD
efectuada en el marco de la gestión del riesgo, también debe estar
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

126/139

adecuadamente documentada. No llevar a cabo actividades de documentación
con relación a las actividades de responsabilidad activa desarrolladas, o no
documentar adecuada y motivadamente las decisiones del responsable,
impedirá a este demostrar el cumplimiento de sus obligaciones”.

-Igualmente, el orden cronológico de completar una EIPD, es importante para
entender y ahorrar gestiones que pudieran ser infructuosas. El dictamen WP
248 establece en su apartado “D Cómo se debe llevar a cabo una EIPD?” b
, apartado C, la metodología básica que reúna las características mínimas y el
orden iterativo a seguir.
-“descripción [...] de las operaciones de tratamiento previstas y
de los fines del tratamiento»;
-«una evaluación de la necesidad y la proporcionalidad» del
tratamiento;
-«una evaluación de los riesgos para los derechos y libertades
de los interesados»;
-«las medidas previstas para:
-afrontar los riesgos
-«demostrar la conformidad con el presente Reglamento”

-En el procedimiento sancionador, el acto de imputación no puede ser otro que
la propuesta de resolución puesto que contiene todos los elementos de cargo
necesarios para que el órgano competente para resolver dicte la resolución
administrativa, no generándose, además indefensión alguna para el inculpado
pues tras su emisión la parte reclamada puede utilizar el trámite de alegaciones
conferido en el art. 89.2 de la LPACAP.

En este sentido la STC 14/1999, de 22 de febrero indica que, “5. El recurrente
considera lesionado su derecho a un proceso con todas las garantías como
consecuencia de la forma en que, en sus distintas fases, se puso en su
conocimiento el contenido del expediente sancionador. Se queja, en primer
lugar, de la negativa del Instructor a entregarle copia de las actuaciones
obrantes en el expediente, petición que había sido cursada para formular la
contestación al pliego de cargos (art. 40 L.O.R.D.F.A.). Se queja también por el
modo en que se le dio vista del expediente a efectos de que alegara lo que
tuviese por conveniente acerca de la propuesta de resolución (art. 41
L.O.R.D.F.A.): tal trámite de vista se llevó a efecto mediante la facilitación de
copia simple, no debidamente cotejada, de aquél, algunos de cuyos folios eran,
además ilegibles (si bien, ha de precisarse, los que se correspondían con
escritos del propio interesado).En este sentido, hemos dicho que "sin ningún
género de dudas, el derecho a conocer la propuesta de resolución de un
expediente sancionador, claramente estipulado en las normas del
procedimiento administrativo, forma parte de las garantías que establece el art.
24.2 C.E., pues sin él no hay posibilidades reales de defensa en el ámbito del
procedimiento" (STC 29/1989, fundamento jurídico 6º. Esta doctrina, con
parecida formulación, se reitera en la STC 145/1993, fundamento jurídico 3º,
con remisión, en este punto, a las SSTC 192/1987, fundamento jurídico 2º, y
98/1989, fundamento jurídico 7º), y se extiende a la posibilidad del imputado de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

127/139

acceder al conocimiento de los testimonios incriminatorios que fundamenten
las imputaciones a que se contraiga el pliego de cargos (STC 64/1994, si bien
referida al proceso penal).La exposición de ambas quejas pone, pues, de
relieve su relación con el ejercicio del derecho de defensa en su vertiente de
derecho a ser informado de la acusación “.

Por tanto, en este caso las operaciones de tratamiento de datos del FCB del SBRF y
SBRVoz, además de reunir las condiciones de entrañar no uno, sino varios probables
altos riesgos para los derechos y libertades de las personas físicas, por la naturaleza,
ámbito, contexto y fines de los tratamientos, se hallaban predispuestos para ello, por
reunir más de dos requisitos de los dispuestos en el artículo 35.3 del RGPD y en la
lista del artículo 35.4 del RGPD (lista de tipos de tratamientos de datos que requieren
evaluación de impacto relativa a protección de datos (art 35.4) elaboradas por la
AEPD, aprobada por el CEPD). Se concluye que las EIPD presentadas resultan
insuficientes en varios de sus elementos esenciales que se han precisado en este y el
anterior fundamento de derecho.

En cuanto a las alegaciones sobre los componentes de la graduación de la sanción y
su cuantía se contestan en el FD VIII.

VII Tipificación de la infracción

Tal y como se ha expuesto en el Fundamento de Derecho anterior, se considera que
los hechos expuestos podrían vulnerar lo establecido en el artículo 35 del RGPD, lo
que podría suponer la comisión de una infracción administrativa tipificada en el artículo
83.4.a) del RGPD que indica que:

“Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con
el apartado 2, con multas administrativas de 10 000 000 EUR como máximo o,
tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del
volumen de negocio total anual global del ejercicio financiero anterior, optándose
por la de mayor cuantía:

a) Las obligaciones del responsable y del encargado a tenor de los artículos 8, 11,
25 a 39, 42 y 43.”

A los efectos de prescripción, la LOPDGDD establece en su artículo 73.t) que: “En
función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se
consideran graves y prescribirán a los dos años las infracciones que supongan una
vulneración sustancial de los artículos mencionados en aquel y, en particular, las
siguientes:

t) El tratamiento de datos personales sin haber llevado a cabo la evaluación del
impacto de las operaciones de tratamiento en la protección de datos personales en los
supuestos en que la misma sea exigible.”

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

128/139

VIII Propuesta de sanción
A fin de determinar la multa administrativa a imponer se han de observar las
previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan lo siguiente:
“1. Cada autoridad de control garantizará que la imposición de las multas
administrativas con arreglo al presente artículo por las infracciones del presente
Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual
efectivas, proporcionadas y disuasorias.
2. Las multas administrativas se impondrán, en función de las circunstancias de cada
caso individual, a título adicional o sustitutivo de las medidas contempladas en el
artículo 58, apartado 2, letras a) a h) y j). Al decidir la imposición de una multa
administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
a) la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la
naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así
como el número de interesados afectados y el nivel de los daños y perjuicios que
hayan sufrido;
b) la intencionalidad o negligencia en la infracción;
c) cualquier medida tomada por el responsable o encargado del tratamiento para
paliar los daños y perjuicios sufridos por los interesados;
d) el grado de responsabilidad del responsable o del encargado del tratamiento,
habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud
de los artículos 25 y 32;
e) toda infracción anterior cometida por el responsable o el encargado del tratamiento;
f) el grado de cooperación con la autoridad de control con el fin de poner remedio a la
infracción y mitigar los posibles efectos adversos de la infracción;
g) las categorías de los datos de carácter personal afectados por la infracción;
h) la forma en que la autoridad de control tuvo conocimiento de la infracción, en
particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué
medida;
i) cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas
previamente contra el responsable o el encargado de que se trate en relación con el
mismo asunto, el cumplimiento de dichas medidas;
j) la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de
certificación aprobados con arreglo al artículo 42, y
k) cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso,
como los beneficios financieros obtenidos o las pérdidas evitadas, directa o
indirectamente, a través de la infracción”.
Por su parte, el artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD
dispone:
“1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento
(UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación
establecidos en el apartado 2 del citado artículo.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

129/139

2. De acuerdo con lo previsto en el artículo 83.2.k) del Reglamento (UE) 2016/679
también podrán tenerse en cuenta:
a) El carácter continuado de la infracción.
b) La vinculación de la actividad del infractor con la realización de tratamientos de
datos personales.
c) Los beneficios obtenidos como consecuencia de la comisión de la infracción.
d) La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión
de la infracción.
e) La existencia de un proceso de fusión por absorción posterior a la comisión de la
infracción, que no puede imputarse a la entidad absorbente.
f) La afectación a los derechos de los menores.
g) Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
h) El sometimiento por parte del responsable o encargado, con carácter voluntario, a
mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que
existan controversias entre aquellos y cualquier interesado”.
El considerando 146 indica que: “A fin de reforzar la aplicación de las normas del
presente Reglamento, cualquier infracción de este debe ser castigada con sanciones,
incluidas multas administrativas, con carácter adicional a medidas adecuadas
impuestas por la autoridad de control en virtud del presente Reglamento, o en
sustitución de estas. En caso de infracción leve, o si la multa que probablemente se
impusiera constituyese una carga desproporcionada para una persona física, en lugar
de sanción mediante multa puede imponerse un apercibimiento. Debe no obstante
prestarse especial atención a la naturaleza, gravedad y duración de la infracción, a su
carácter intencional, a las medidas tomadas para paliar los daños y perjuicios sufridos,
al grado de responsabilidad o a cualquier infracción anterior pertinente, a la forma en
que la autoridad de control haya tenido conocimiento de la infracción, al cumplimiento
de medidas ordenadas contra el responsable o encargado, a la adhesión a códigos de
conducta y a cualquier otra circunstancia agravante o atenuante”.

En este caso, se imputa la infracción del artículo 35 del RGPD tipificada en el artículo
83.4 del RGPD, donde el máximo de la multa a imponer será 10. 000 000 de euros o,
tratándose de una empresa, el 2 % del volumen de negocio total anual global del
ejercicio financiero anterior, optándose por la de mayor cuantía. Por ello, la multa a
imponer iría de 0 a 14.866.260 (importe neto cifra de negocios ejercicio 2023/2024).
En el acuerdo de inicio se indicaba, en cuanto resulta de aplicación para la infracción
imputada del artículo 35 del RGPD, que,
“En el presente caso, considerando la gravedad de las posibles infracciones,
atendiendo especialmente a las consecuencias que su comisión provoca en los
afectados, y a las circunstancias que se dan en el presente expediente,
correspondería la imposición de una multa.
Como denominador común, se ha de contemplar las cifras proporcionadas por
FCB, que aluden a:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

130/139

En total, 124.872 personas asociadas del total de socios 143 mil
realizaron el proceso de actualización del censo.
- 112.623 personas asociadas optaron por hacerlo online por vía digital,
y de ellas, 72.648 consintieron el registro de su voz.
- 12.249 personas asociadas actualizaron su censo presencialmente, y
160 de ellas consintieron expresamente el registro de su voz.
Los menores de edad también funcionaban con el sistema online digital de
actualización del censo, así como el presencial.
-14.433 personas asociadas no actualizaron sus datos en el censo de
personas asociadas del FCB.”
“-993 carnés de personas asociadas fallecidas fueron detectados”.
Así, se ha de indicar que concurren las siguientes circunstancias:

-Considerado el artículo 83.2.a) del RGPD

“la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza,
alcance o propósito de la operación de tratamiento de que se trate, así como el
número de interesados afectados y el nivel de los daños y perjuicios que hayan
sufrido;”

Se han producido dos tipos de tratamiento de datos biométricos- para la comparación
facial, como sistema de actualización del censo social, y de la voz para futura
prestación de servicios-, que, por su naturaleza, y distintas técnicas utilizadas en cada
uno de ellos afectan de una forma más incisiva en los derechos fundamentales a la
protección de datos dirigidos a las mismas categorías de afectados, todas las
personas asociadas del FCB, y no solo por surgir los datos de partes físicas de los
mismos y la singular naturaleza de los datos biométricos, efectuándose mediante
tratamientos automatizados; tratamientos que se inician con su registro en un entorno
online a través del proceso establecido para la actualización del censo, utilizando
tecnologías distintas, pudiéndose integrar el software del uso de la voz, para, en
ambos casos identificar digitalmente por dos medios distintos a la persona asociada, y
con finalidades diferenciadas en cada tratamiento, abarcando la previsión de ambos
tratamientos a la totalidad de los socios del FCB, repartidos por todo el mundo,
suponiendo un tratamiento a gran escala al alcanzar a 143.000 personas.

La gravedad de la infracción se desprende tanto del volumen de datos personales
-para la comparación facial, como sistema de actualización del censo social, y de voz
para futura prestación de servicios- como de la naturaleza de los mismos, en el primer
caso influyendo la dispersión geográfica de las personas asociadas en el censo y para
la prestación de un servicio de venta en el caso de la voz. El incumplimiento por
insuficiencia de los componentes de la obligatoria EIPD, supuso el tratamiento con
estas características sin haber llevado a cabo de forma válida una EIPD, habiéndose
desarrollado mientras el citado tratamiento, hasta 30/11/2023 para el SBRF y hasta el
SBRVoz, provocando el aumento de los diversos riesgos a los que está sometido todo
tratamiento, que es más intrusivo en el de los datos biométricos, con el consecuente
potencial de impacto en sus consecuencias.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

131/139

Se ha de tener en cuenta que la infracción imputada se encuadra en el capítulo IV del
RGPD: “responsable del tratamiento y encargado del tratamiento”, que comienza su
Sección 1 con las obligaciones generales dirigidas a garantizar y poder demostrar que
el tratamiento es conforme con el mismo. En la sección 3, titulada “evaluación de
impacto relativa a la protección de datos y consulta previa”, precedida de la sección 2
“Seguridad de los datos personales”.

En definitiva, se puede colegir que la infracción prohibió la aplicación efectiva de la
disposición y el cumplimiento del objetivo que pretendía proteger.

-Se ha de considerar la especial concurrencia de los elementos que señala el artículo
83.2.b) “la intencionalidad o negligencia en la infracción”.

A pesar de algunas reclamaciones que fueron planteadas por los socios a los que iba
dirigida la obligación de proporcionar sus datos, FCB suspendió el tratamiento,
escasamente un mes, desde el Club se optó por desactivar el servicio, el 5/04/2023 a
pesar de los perjuicios que ello podía suponer para el FCB, mientras se volvía a
analizar de nuevo todo el proceso con la ayuda del Delegado de protección de datos
del Club, los abogados externos y el proveedor del software, y reafirmar así su
legalidad y la adecuación del sistema a la normativa de protección de datos,
reactivándose el 4/05/2023, con las mismas conclusiones que se tomaron para no
realizar la EIDP, sin modificar el escenario ni el punto de enfoque. Tampoco la
publicación de las Directrices 5/2022 del CEPD, sobre el uso de la tecnología de
reconocimiento facial en el ámbito de la aplicación de la Ley, adoptada el 26/04/2023,
casi al mes del inicio del proceso de la recogida de ambos tipos de datos, que también
subrayaba el alto riesgo en este tipo de tratamientos por la naturaleza de los datos,
hizo reconsiderar la posición de FCB de estimar ambos datos biométricos tratados
como no especiales, uno considerado necesario para la ejecución del contrato de
personas asociadas al FCB: con reconocimiento facial, y el otro, la voz, para
prestación de servicios recogido en base al consentimiento.

Se ha de ponderar que el FCB, tiene un muy alto número de socios, y pese a ser una
asociación deportiva, no es infrecuente la relación con los mismos, siéndole exigible
en su constante manejo de datos un rigor y especial cuidado con este tipo de datos,
también por formar parte del Club, máxime cuando se pretende crear un perfil digital
que se añadía e incluía con la actualización del censo. La actuación del FCB revela
una negligencia en su conducta por la ausencia del deber exigible.

-En cuanto a la previsión del artículo 83.2.g) del RGPD, una interpretación sistemática
y teleológica de este precepto del RGPD le conecta con otras clasificaciones que
ofrece el texto del RGPD que, además, responden mejor a la finalidad que persigue la
norma: graduar en el caso individual la multa administrativa que deba imponerse
respetando en todo caso los principios de proporcionalidad y efectividad teniendo en
consideración la presencia de datos sensibles.

En ese sentido, los considerandos 51 y 75 del RGPD distinguen un grupo de datos
personales que, por su naturaleza, son particularmente sensibles por razón del
importante riesgo que pueden entrañar, en el contexto de su tratamiento, para los
derechos y libertades fundamentales. El común denominador de todos ellos es que su
tratamiento comporta un riesgo alto e importante para los derechos y las libertades
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

132/139

fundamentales ya que puede llegar a provocar daños y perjuicios físicos, materiales o
inmateriales.

En este grupo o categoría de datos particularmente sensibles se incluyen las
categorías de datos especialmente protegidos que regula el artículo 9 del RGPD
-considerando 51 del RGPD- y, además, otros muchos datos no regulados en ese
precepto. El considerando 75 menciona con detalle los datos personales cuyo
tratamiento puede entrañar un riesgo, de gravedad y probabilidad variables, para los
derechos y libertades de las personas físicas como consecuencia de que pueden
provocar daños y perjuicios físicos, materiales o inmateriales. Entre ellos, menciona
aquellos cuyo tratamiento “pueda dar lugar a problemas de discriminación, usurpación
de identidad o fraude, pérdidas financieras, daño para la reputación, pérdida de
confidencialidad de datos sujetos al secreto profesional, reversión no autorizada de la
seudonimización o cualquier otro perjuicio económico o social significativo”.

Así, podemos destacar entre los datos sensibles el DNI, que en este caso ha sido
tratado no sólo en cuanto al número del mismo, sino respecto de todos los datos que
constaban en aquel.

De acuerdo con su norma reguladora, Real Decreto 255/2025, de 1/04 por el que se
regula el Documento Nacional de Identidad, el DNI permite la identificación directa e
inequívoca de una persona física, tal y como establece el citado Real Decreto, por ser
un identificador numérico personal de carácter general, con valor suficiente para
acreditar tanto la identidad como la nacionalidad del titular, lo que lo convierte en un
elemento especialmente sensible dentro del ecosistema de datos personales. Además,
su utilización indebida conlleva un elevado riesgo de suplantación de identidad, daños
patrimoniales o afectación al derecho al honor, riesgos expresamente contemplados
en el considerando 75 del RGPD. Por ello, una interpretación sistemática y finalista del
RGPD —conforme a los considerandos 51 y 75— permite considerar el DNI como un
dato particularmente sensible, atendiendo a su capacidad de provocar perjuicios
significativos en caso de uso no autorizado.

Sobre la alegación hecha contra la propuesta de FCB de que es ahora cuando se saca
la referencia a este dato pudiendo suponer inseguridad jurídica, se ha de precisar que
no supone un momento inoportuno aquilatar lo reseñado en el acuerdo de inicio en la
propuesta de resolución, cuando se han conocido más detalles de los tratamientos y la
valoración de los riesgos efectuada por FCB, recordando que solo en alegaciones y en
pruebas se aportaron los dos análisis de riesgos que el FCB considera “presuntas”
EIPD. Igualmente, se debe reiterar la interpretación de la STC 14/1999, de 22 de
febrero efectuada en el fundamento de derecho VI.

Dicho lo anterior, pasamos a contestar las alegaciones formuladas al efecto en relación
con el artículo 35 del RGPD, único sobre el que se mantiene la imputación:

Sobre las alegaciones de FCB como atenuante y a considerar dentro del artículo
83.2.a) del RGPD de que ningún afectado ha sufrido ni puede ya llegar a sufrir daño o
perjuicio, considerando que el tratamiento en si no se ha declarado ilícito, pues la
propia AEPD ha indicado que existe causa no obstante que levantaría tal prohibición
pues se ha prestado el consentimiento por parte de los socios, también, por haber
finalizado el tratamiento hace más de un año, ni en consecuencia se tuvieron que
adoptar medidas cautelares para salvaguardar los derechos de las personas
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

133/139

afectadas, que presuntamente estaban siendo vulnerados, se ha de señalar por esta
autoridad, que el daño-material o inmaterial- no es determinante ni imprescindible que
se produzca o sea de una determinado tipo, ya que “la causación de un daño en el
marco de un tratamiento ilícito de datos personales solo es una consecuencia
potencial y no automática de tal tratamiento, no conllevando la infracción del RGPD
necesariamente un daño” (27 STJUE de 4/10/24 asunto C-507/23).

No obstante, se desprende de las tres reclamaciones que se obliga a los socios,
incluyendo menores de edad a realizar la actualización del censo de forma digital o
presencial para depurar una situación en la que la mayoría de los socios tenían sus
datos ya actualizados en aras de averiguar los socios que han fallecido (respecto de
los cuales se sigue utilizando su condición por otras personas), observándose que se
actúa igual sobre todas las personas asociadas, sin diferenciar tampoco en el alcance
y extensión de los datos tratados las procedencias geográficas de las personas
asociadas a efectos de minimización de datos Por otro lado, la propuesta de
resolución no indica que el tratamiento de los datos analizados fuera lícito, sino que
existe falta de culpabilidad en la infracción imputada al FCB del artículo 9 del RGPD,
sin entrar a valorar los consentimientos en los mismos.

Sobre la alegación relacionada con las circunstancias a tener en cuenta dentro del
artículo 83.2.a) del RGPD, que la reclamación procede de una confusión del R1, y de
que las quejas recibidas previamente con los socios no tenían ningún tipo de infracción
siendo resueltas por el departamento de atención al socio, se ha de indicar que son
tres las reclamaciones que conforman este expediente, y que no considera el FCB que
también plantean otros cuestionamientos de los tratamientos llevados a cabo.
A ello se han de sumar las que según respuesta del FCB al traslado, el 22/05/2023
manifestó, sobre reclamaciones y quejas recibidas “que hasta la fecha se han recibido
cinco, y otras cuatro” de las que no ha aportado copia por considerar debieron ser
borradas.
También que de entre las recibidas, antes de contestar al traslado de la reclamación,
una le hizo suspender el procedimiento para valorar su legitimad del tratamiento,
reemprendiéndolo un mes más tarde el 5/05/2023.
Sin embargo, en su obligación de cumplimiento de tratamiento de datos proactivo
dirigido a acreditar el cumplimiento de los principios del tratamiento del RGPD que
señala el artículo 5.2 del RGPD, ni ha aportado copia de ninguna reclamación para
poder examinar su carácter y tipo de incidencia que proponía, ni se aportó el informe
que aconsejaba continuar los tratamientos suspendidos, que manifestó en pruebas
haber efectuado con ocasión de la suspensión, respondiendo en pruebas sobre la
causa de la suspensión, que el procedimiento tenía claro que era legal, corroborando
aspectos informativos sobre el tratamiento y ampliando en la web la información.
Por otro lado, los términos en que se formulan las reclamaciones no vinculan el
desarrollo de las actuaciones a llevar a cabo por la AEPD, ya que en base a los
poderes y funciones dispuestos en el RGPD, puede valorar las operaciones de
tratamiento, con especial consideración a las que pueden afectar a un amplio conjunto
de personas y poder provenir las infracciones de una sistemática en el actuar que
pueda perjudicar a todo el colectivo, que tiene unas condiciones regladas en su
Estatuto y su Junta Directiva toma decisiones que ejecuta, como se trata en el
presente supuesto.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

134/139

En consideración al artículo 83.2.b) “la intencionalidad o negligencia en la infracción;”
Se ha de ponderar que el FCB, tiene un muy alto número de socios, y pese a ser una
asociación deportiva, no es infrecuente la relación con los mismos que ostentan
derechos y obligaciones en el marco en la que se desenvuelve su relación, en el seno
de unas relaciones privadas derivadas de la condición de consumidor y en las que los
derechos fundamentales de las personas asociadas deben tener la debida
consideración, especialmente y en cuanto a lo que nos interesa, el derecho
fundamental a la protección de datos de carácter personal. La reclamación primera
entró en la AEPD al mes del inicio del tratamiento, debiendo interrumpirse para añadir
aclaraciones en la información, sin modificar la cláusula informativa inicial de recogida
de datos.

Por tanto, siéndole exigible al FCB en su constante manejo de datos un rigor y
especial cuidado con este tipo de datos, también cuando se pretende crear un perfil
digital que se añadía e incluía con la actualización del censo, la actuación del FCB
revela una negligencia en su conducta por la ausencia del deber exigible frente a la
obligación de cautela que exige la norma.
Especial importancia se ha de dar a la amplia cobertura que FCB da a protección de
datos contando con profesionales dedicados a privacidad y protección de datos,
encargados de verificación continua del cumplimiento, despacho externo de abogados
y DPD con más de 20 años de experiencia en privacidad y protección de datos,
presentados como garantía del tratamiento, que debían de conocer la aplicación de la
norma y su desenvolvimiento, en atención a la exigibilidad de realizar una EIPD.
Sobre la alegación de que no se puede considerar que concurran intencionalidad o
negligencia por haber analizado los riesgos y disponer de EIPD y porque en la
decisión se tuvo en cuenta proporcionar un servicio que evitara el desplazamiento, sin
intención de vulnerar derechos ni obtuvo beneficio económico, indicaremos que los
análisis de riesgos realizados no cumplen con el RGPD ni mucho menos pueden ser
consideradas EIPD. Sobre la dispersión geográfica, señalar que una minoría de
personas asociadas son las que constan en diversos países del extranjero o en el
resto de Cataluña, aglutinando la mayoría de ellos en la ciudad y área metropolitana,
por lo que si bien la comodidad de uso abarca a todos, no es un factor decisivo.
Sobre la no intención de vulnerar derechos, es por lo que no se considera
intencionalidad, sino negligencia, y proporcionar la comodidad con la implantación del
sistema no resta para que sea conforme con el artículo y prescripciones que le
acompañan y que se ha vulnerado, pudiendo cumplir ambos propósitos. El hecho de
no obtener beneficio económico o tener que haber invertido cantidades para implantar
el sistema no obvia que la actualización del censo fue hecha efectiva con resultados
deseados por FCB, habiéndose liberado carnés de socio de personas fallecidas y que
no se pueden tener en cuenta tales elementos ni como ausencia de intencionalidad ni
como atenuante.
Alega en su descargo FCB haber paralizado el procedimiento antes de recibir el
traslado de la reclamación, el 26/04/2023 y analizar si la información era adecuada
reactivando el proceso el 4/05/2023. Respecto a ello, se estima que llegó a las mismas
conclusiones que se tomaron inicialmente para la instauración y motivos del
tratamiento, sin modificar el escenario ni el punto de enfoque respecto de las EIPD.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

135/139

Sobre la alegación hecha por el FCB contra la propuesta sobre la aplicación de esta
circunstancia de que para la actualización del censo y recogida de la voz había
cumplido una serie de obligaciones que prevé el RGPD, en relación con la infracción
imputada, no son sino obligaciones que se prevén en el RGPD y en la LOPDGDD, que
se han de cumplir en paralelo a la de la EIPD. Por lo demás, la exigua valoración y
nivel otorgado a los riesgos de los tratamientos de los datos biométricos carece de
virtualidad real y cierta para proyectar un mapa de riesgo residual necesario para
obtener una visión de los riesgos que suponen ambos tipos de tratamientos, y ser un
instrumento eficaz de gestión. La consideración del DNI como dato sensible en este
apartado en la propuesta no vulnera derecho alguno del FCB, pues se ajusta a lo
recogido ya en el acuerdo de inicio y se pone de manifiesto en la propuesta.
Insta FCB que se consideren atenuantes:
-Sobre la consideración de entender que la realización de las EIPD sobre
los dos tratamientos, y el informe de valoración de riesgos, que va ínsito en la misma,
suponen medidas tomadas para paliar daños y perjuicios sufridos, (83.2.c) del RGPD)
se contradice con la afirmación que el mismo FCB realiza en alegaciones de que no
hubo daños a los afectados. Cumplir con una obligación legal no es ni supone medida
alguna, sino simple cumplimiento de la obligación impuesta por la norma, sin que
pueda servir de descargo respecto de la conducta imputada.
En todo caso, completar una EIPD no está conectada con medidas reactivas, no solo
porque se ha de disponer de la misma antes del tratamiento siendo una obligatoria
medida preventiva, destinada entre otras circunstancias, precisamente a reducir los
daños y perjuicios que se puedan presentar.
En cualquier modo, no se puede entender como atenuante su contenido insuficiente,
pues son medidas debidas, al consignarse expresamente como obligaciones del
responsable del tratamiento en todo caso, y antes del comienzo de este (finalidad
preventiva) y en concreto en el de dos distintos tipos de datos biométricos combinados
con DNI, uno, y de la voz como fue en este caso. Como se ha indicado, los análisis de
riesgos eran claramente defectuosos y no acordes con el RGPD y no podían ser
considerados como EIPD por tener simplemente el contenido formal previsto en el
RGPD.
-Lo mismo cabe señalar con la adopción de medidas de seguridad en los
tratamientos, que alega FCB. Mediante su aplicación, no se viene sino a garantizar
que el tratamiento aplica las medidas para ser conforme al RGPD, según señala el
artículo 24.1 del RGPD, por disponer del tratamiento de datos de sus asociados e
instarles a efectuar la actualización o voluntariamente su voz. Tales medidas
pretenden garantizar una protección del derecho eficaz y completa que propugna el
RGPD que se debe y pertenece al titular de los datos. La interposición activa y efectiva
de medidas de seguridad no dejan de ser el cumplimiento de las medidas de
obligaciones generales que impone el RGPD a todo responsable de tratamiento de
datos, no pudiendo servir para atenuar aquello que por ley es exigible.
-sobre la cooperación con la AEPD con vista a poner remedio a la
infracción y mitigar efectos adversos, el hecho de responder a las cuestiones
planteadas no deja de ser el deber de colaboración que previene el RGPD y desarrolla
la LOPDGDD.
En cuanto a las alegaciones de FCB sobre la proporcionalidad de la multa del acuerdo
de inicio, contenidas en el hecho octavo, 7, se ha de indicar sobre la falta de certeza
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

136/139

de la cifra del volumen de negocio que toma la AEPD como referencia para el cálculo
al figurar dos ejercicios distintos, en primer lugar, se ha de indicar que el artículo 83.4
del RGPD que establece la aplicación del límite máximo de la cuantía sancionadora,
para la infracción del artículo 35 del RGPD señala que : “… Las infracciones de las
disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas
administrativas de 10 000 000 EUR como máximo o, tratándose de una empresa, de
una cuantía equivalente al 2 % como máximo del volumen de negocio total anual
global del ejercicio financiero anterior, optándose por la de mayor cuantía: a) las
obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a 39,
42 y 43”.
En segundo lugar, el Considerando 150 del RGPD, segundo párrafo, indica: «El
presente Reglamento debe indicar las infracciones así como el límite máximo y los
criterios para fijar las correspondientes multas administrativas, que la autoridad de
control competente debe determinar en cada caso individual teniendo en cuenta todas
las circunstancias concurrentes en él, atendiendo en particular a la naturaleza,
gravedad y duración de la infracción y sus consecuencias y a las medidas tomadas
para garantizar el cumplimiento de las obligaciones impuestas por el presente
Reglamento e impedir o mitigar las consecuencias de la infracción».
El artículo 4, del RGPD, en definiciones, indica:”18) «empresa»: persona física o
jurídica dedicada a una actividad económica, independientemente de su forma
jurídica, incluidas las sociedades o asociaciones que desempeñen regularmente una
actividad económica;””19) «grupo empresarial»: grupo constituido por una empresa
que ejerce el control y sus empresas controladas;”. Este último concepto se utiliza
principalmente en el capítulo V del RGPD, en la expresión «grupo de empresas que
ejercen una actividad económica conjunta.”

En tercer lugar, es un hecho que el FCB es una asociación deportiva sin ánimo de
lucro, pero ello no es obstáculo para que desarrolle diferentes roles en el campo de la
gestión empresarial.

En cuarto lugar, en la parte económica de la memoria 23/24 se comprende el balance
a 30/06/2024 del FCB y sus sociedades dependientes (el Grupo), algunas de ellas con
el fin de obtener beneficios de la inversión y le resulta de aplicación para la
formulación de cuentas la legislación mercantil. En la composición del importe neto de
la cifra de negocios sobresalen 390 millones de euros por comercialización y
publicidad o 215 por retransmisiones de derechos televisivos, mientras que ingresos
por abonados y socios asciende a 65 millones.

Finalmente, el Considerando 150 del RGPD, indica: “Si las multas administrativas se
imponen a una empresa, por tal debe entenderse una empresa con arreglo a los
artículos 101 y 102 del TFUE...”

Partiendo de que en el acuerdo de inicio y así figura en hechos probados, consta un
importe neto de cifra de negocios ejercicio 2023/2024, de ***CANTIDAD.1, mientras
que el ejercicio precedente la cifra era de ***CANTIDAD.2, atribuidos al FCB y sus
sociedades dependientes (el Grupo, según se refiere en su Memoria anual 23/24), la
sanción del acuerdo de inicio de 2.000.000 de euros para el artículo 35 del RGPD se
encontraría dentro de la horquilla máxima de la citada cifra, manejando cualquiera de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

137/139

los dos volúmenes, destacando que la actualizada al volumen de negocio total anual
global del ejercicio financiero anterior es la de 2023/2024, es decir, la primera cifra.

La alegación contra la propuesta, que contemplaba una sanción por infracción del
artículo 35 del RGPD referente a la proporcionalidad, manifestando que se contemplan
empresas de su grupo sin ser parte en el procedimiento viene dada por contemplar la
aplicación para la proporcionalidad de la cuantía máxima de la sanción en los
precitados artículos. Considerando la cifra de negocios que se publica en la Memoria
anual 2023/2024 por el FC en relación con las circunstancias concurrentes, no resulta
a todo punto desproporcionada.

Por lo demás la proporcionalidad sancionadora se entiende como la adecuación,
según criterios de justicia y equidad, entre los hechos objeto del tipo infractor y la
determinación de la sanción aplicable, teniendo en cuenta la intensidad de la culpa
interviniente, esto es el grado de intencionalidad, descuido o negligencia que revele la
conducta. Y desde luego, se exige una motivación sobre el juicio de intensidad de la
culpa interviniente, que aquí ha sido detallada.

Por otro lado, que la sanción afecte a los socios que forman el Club y que podría
suponer su repercusión en las cuotas, indicar que ya se ha considerado que no se
acusó información de las EIPD. La repercusión a los integrantes de la masa social
como entidad asociativa deportiva resulta en si propia de cualquier tipo de sociedad,
en cuya financiación , alguna parte corresponde sostener a sus integrantes. Por tanto,
la alegación formulada no puede considerarse contraria en cuanto a la
proporcionalidad de la sanción derivada de la comisión de la infracción por un acuerdo
adoptado por su órgano de gobierno en este caso.
Finalmente, sobre el supuesto agravio comparativo en la sanción que se contiene en el
acuerdo de inicio respecto a otros procedimientos de empresas y sus volúmenes de
negocio, o las circunstancias que concurrían señalar que no cabe la comparación en la
ilegalidad y las cifras comparativas que aporta FCB no ofrecen sino una visión parcial
de los asuntos sin considerar por ejemplo que, en el caso de ***EMPRESA.1, el
tratamiento solo se realizaba en 22 establecimientos de Palma de Mallorca sin
contenerse cuantas personas se intentaban buscar en el sistema biométrico de
reconocimiento facial que tenían las citadas sentencias de alejamiento o prohibición de
acceso. Amén de que cada caso es distinto, así como las circunstancias concurrentes
en el mismo.

No obstante lo anterior, se ha de considerar, en cuanto al tratamiento afectado por la
voz del socio que este se podía subdividir en dos fases. La primera tendente a la
recopilación del dato biométrico, a su registro y su conservación, efectuada en el
mismo proceso de actualización del censo, y la segunda en la propia prestación de los
servicios telefónicamente por el FCB. Pues bien, la primera fase se llevó a cabo, pero
no así la segunda, que fue inicialmente suspendida, habiendo manifestado el FCB el
17/07/2024 que desde “el FCB se ha optado por no poner en marcha el proceso de
autenticación por voz y someter la legalidad e idoneidad de este proceso al estudio
por parte de nuestro delegado de protección de datos para que dictamine si lo
podremos utilizar o no. En el caso de que la conclusión sea que no podamos utilizar
este sistema, tomaremos la determinación oportuna respecto a los datos biométricos
de voz que disponemos… Respecto a los trámites a distancia/on-line, tal como se ha
explicado en la alegación anterior, en estos momento no es posible realizar ningún
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

138/139

trámite a distancia u online que implique el tratamiento de datos biométricos.”.
Asimismo, en las alegaciones al acuerdo de inicio expone que posteriormente,
además, todos los registros de voz fueron suprimidos: “finalmente todos los registros
de voz fueron eliminados al descartar el FCB utilizar la voz como elemento de
comprobación en los tramites telefónicos”.

Así, el balance de las circunstancias contempladas en el artículo 83.2 del RGPD, con
respecto a la infracción cometida al vulnerar lo establecido en el artículo 35 del RGPD,
determina la imposición de una multa administrativa de 500.000 de euros.

Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de
graduación de las sanciones cuya existencia ha quedado acreditada,

la Presidencia de la Agencia Española de Protección de Datos RESUELVE:

PRIMERO: IMPONER a FÚTBOL CLUB BARCELONA, con NIF G08266298, por una
infracción del artículo 35 del RGPD, tipificada en el artículo 83.4.a) del RGPD una
multa administrativa de 500.000 euros.

SEGUNDO: Declarar el ARCHIVO de la infracción del artículo 9 del RGPD imputada a
FÚTBOL CLUB BARCELONA.

TERCERO: NOTIFICAR la presente resolución a FÚTBOL CLUB BARCELONA, con
remisión del ANEXO GENERAL.

CUARTO: Esta resolución será ejecutiva una vez finalice el plazo para interponer el
recurso potestativo de reposición (un mes a contar desde el día siguiente a la
notificación de esta resolución) sin que el interesado haya hecho uso de esta facultad.
Se advierte al sancionado que deberá hacer efectiva la sanción impuesta una vez que
la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.b)
de la LPACAP, en el plazo de pago voluntario establecido en el art. 68 del Reglamento
General de Recaudación, aprobado por Real Decreto 939/2005, de 29/07, en relación
con el art. 62 de la Ley 58/2003, de 17/12, mediante su ingreso, indicando el NIF del
sancionado y el número de procedimiento que figura en el encabezamiento de este
documento, en la cuenta restringida nº IBAN: ES00-0000-0000-0000-0000-0000
(BIC/Código SWIFT: CAIXESBBXXX), abierta a nombre de la Agencia Española de
Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso contrario, se
procederá a su recaudación en período ejecutivo.

Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra
entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago
voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se
encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago
será hasta el 5 del segundo mes siguiente o inmediato hábil posterior.

De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública. La publicación se realizará una vez haya sido notificada a
los interesados.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

139/139

Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la
LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los
interesados podrán interponer, potestativamente, recurso de reposición ante la
Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a
contar desde el día siguiente a la notificación de esta resolución o directamente
recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
la disposición adicional cuarta de la Ley 29/1998, de 13/07, reguladora de la
Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.

Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la LPACAP, se
podrá suspender cautelarmente la resolución firme en vía administrativa si el
interesado manifiesta su intención de interponer recurso contencioso-administrativo.
De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante
escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través
del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronica-
web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la
citada LPCAP. También deberá trasladar a la Agencia la documentación que acredite la
interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese
conocimiento de la interposición del recurso contencioso-administrativo en el plazo de
dos meses desde el día siguiente a la notificación de la presente resolución, daría por
finalizada la suspensión cautelar.

938-101025
Lorenzo Cotino Hueso
Presidente de la Agencia Española de Protección de Datos

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es