1/16
Expediente Nº: PS/00068/2021
RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR
Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los
siguientes
ANTECEDENTES
PRIMERO: Con fecha 10/09/2019, A.A.A. (en adelante, la reclamante) cumplimentó una
hoja de reclamaciones y a instancia del Servicio de Consumo es trasladada a esta AEPD,
teniendo entrada el 23/10/2019. Los motivos en que basa la reclamación son que para
acceder al recinto de ocio, con colchonetas, trampolines y camas elásticas “URBAN
PLANET”, Vigo, (actividad según la web de parque ubicados en distintas localidades de
España) se solicitan una cantidad de datos desproporcionados, DNI y fotografía.
Junto a la reclamación aporta:
-Copia de hoja de reclamaciones de 10/09/2019 en la que TURIA OCIO Y COMERCIO SL
(CIF B 88334222) anotó como alegaciones que la persona que entra en URBAN PLANET
debe estar registrada previamente con los datos que se solicitan por la seguridad de cada
uno de los usuarios. “Siempre ofrecemos la posibilidad de que, al salir de nuestras instala-
ciones, se borren todos los datos proporcionados”.
-Impresión de pantalla (plataforma de datos) de la hoja de registro y recogida de datos per-
sonales en la que a primera vista no se ve la titularidad del responsable figurando dos apar-
tados, para marcar, uno de “He leído y acepto la política de privacidad, leer”, y otro de “He
leído y aceptado el waiver”. En la recogida figuran como obligatorios los campos con asteris-
co siguientes: nombre y apellidos, DNI, fecha de nacimiento, dirección, código postal ciudad
provincia, teléfono móvil, correo electrónico, contraseña y foto (“usa la cámara o añade una
foto de tu cara desde tu dispositivo”). En la parte superior izquierda, el impreso lleva el literal
“Tus datos”, en la de abajo “finalizar registro”.
-Ticket del servicio, de 10/09/2019, con datos de URBAN PLANET, dirección c Miradoiro, en
el que figura el mismo CIF que el de TURIA OCIO Y COMERCIO SL.,
tienda.urbanplanetjump.es/online.
SEGUNDO: A la vista de los hechos denunciados en la reclamación y de los documentos
aportados por la reclamante de conformidad con lo establecido en el Título VII, Capítulo I,
Sección segunda, de la Ley Orgánica 3/2018, de 5/12, de Protección de Datos Personales y
garantía de los derechos digitales (en lo sucesivo LOPDGDD), se traslada la reclamación a
TURIA OCIO Y COMERCIO S.L. y a URBAN PLANET ENTERTAINMENT SL, en ambas se
accedió a contenido del envío el 4/12/2019.
TERCERO: Con fecha 2/01/2020 TURIA OCIO Y COMERCIO S.L., desde la dirección c/ Ra-
fael Botí 2 de Madrid, manifiesta que han recibido “dos escritos aparejados a la sede social
de URBAN PLANET ENTERTAINMENT SL y a TURIA OCIO Y COMERCIO SL pero ambos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
2/16
derivan del mismo en número de referencia y por los mismos hechos”.
En la respuesta que se da, lleva el literal URBAN PLANET ENTERTAINTMENT SL, y debajo
la dirección web www.urbanplanet.es, responde el representante legal de URBAN PLANET
ENTERTAINMENT SL, con un CIF distinto del de TURIA OCIO, y sede social calle Rafael
Boti, 2 de Madrid, “y de su sucursal TURIA OCIO Y COMERCIO SL cuya sede administrati-
va se encuentra en centro comercial Gran Vía de Vigo planta dos, local 226, rúa Miradoiro 2
de Vigo”. Indica que URBAN PLANET ENTERTAINMENT es el responsable del tratamiento
(en lo sucesivo el reclamado).
Aporta en formato electrónico, junto al hash de contestación, cuatro más denominados docu-
mento 1 al 4 a los que se refiere en sus explicaciones. Manifiesta:
1) Respecto a la decisión adoptada a propósito de la reclamación, la principal ha sido actua-
lizar los procesos de registro a sus diferentes parques para homogenizar y centralizar la in-
formación que se dispensa al usuario “para que sea accesible de varias maneras. “
Existe un “paso previo” al acceso a las instalaciones de la empresa en el que el usuario ha
de registrarse como se aprecia en DOCUMENTO 1 que aporta, formulario de registro, que
se debe cumplimentar con: nombre y apellidos DNI dirección teléfono correo electrónico fe-
cha de nacimiento y fotografía. Coincide con el aportado por la reclamante como “hoja de
registro”, en su parte superior izquierda figura “Tus datos ¿Ya estas registrado? Se ha de
marcar también el apartado de política de privacidad. “Los datos que constan en el cuestio-
nario se describen en la política de privacidad, siendo condición necesaria conocer y haber
leído la política de privacidad.”
2) Sobre las causas que han motivado la incidencia que origina la reclamación manifiestan
“No consideramos excesiva la cantidad de datos”, pues la finalidad estriba en identificar con
exactitud a quien acceda a los centros de ocio. La verificación de la identidad es para evitar
posibles casos de suplantación, siendo la recogida de la imagen idónea para conseguir el
objetivo e identificarles, y no es muy onerosa.
También, como medio facilitador de defensa del usuario frente a otros y frente al reclamado,
como forma de acreditar el estado físico en el que se encuentran los usuarios dentro del re-
cinto o para el caso de que alguien que se lesione fuera de las instalaciones, acuda perso-
nalmente al parque para alegar que la lesión fue producida dentro de las instalaciones, se
procede a un REGISTRO PREVIO DEL USUARIO. Aporta documento 2 en el que figura un
registro con “Clientes-Administración de clientes” que recoge los datos de nombre y apelli-
dos, en este caso de la reclamante, el e mail, la fecha de la visita al centro de ocio y la deno-
minación o nombre de este centro.
Añade que en la práctica es un requisito opcional pues “en los parques” si el usuario mani-
fiesta su disconformidad con la toma de la foto, el registro termina efectuándose igual con la
toma de la foto en otra dirección, o con la toma de una foto en la que realmente el usuario
no queda retratado como fue el caso de la reclamante.
3) Sobre las medidas adoptadas para evitar que se produzcan incidencias similares fechas
de implantación y controles efectuados para comprobar su eficacia, manifiestan en aplica-
ción del principio recogido en el artículo 5 del RGPD, con el fin de que se “rectifiquen los da-
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
3/16
tos que sean inexactos con respecto a los fines para los que se tratan” , y “tomando una me-
dida de responsabilidad proactiva” “han modificado la actividad de tratamiento a la que van
afectados los datos recogidos, que antes se denominaba “aceptación de normas para acce-
so a parques y uso de instalaciones” (aporta copia de documento 4) y que ahora se separa
en varias actividades de tratamiento (aporta copia de documento 3).
En documento 4, situación anterior, aporta documento de “consentimiento explícito para el
tratamiento de datos” en el que figuran espacios para firmar y completar los apartados: nom-
bre y apellidos, NIF, dirección, teléfono. “El interesado autoriza la recogida de información
de datos de carácter personal de las siguientes actividades de tratamiento: registro para ac-
ceso a parques y uso de instalaciones y cuya ubicación se encuentra en ww.urbanplane-
tjump.es”. La finalidad de la recogida y tratamiento de la información “es el registro de datos
para acceso al disfrute de los parques, venta online, aceptación de normas de uso y acepta-
ción de videograbaciones a efectos de seguridad en las instalaciones. Comunicaciones ad-
ministrativas a través de WhatsApp, SMS y correo electrónico . “La tipología de los datos del
interesado que serán tratados por el responsable son nombre y apellidos, NIF, DNI, NIE, te-
léfono, dirección, imagen voz, correo electrónico, contraseña, número de pasaporte, edad”.
En documento 3, aporta las cláusulas informativas que responden a distintas actividades de
tratamiento, siendo en todos ellos el responsable del tratamiento el reclamado, y su base de
legitimación el consentimiento. Se trata de:
- Actividad de tratamiento de “aceptación de uso de instalaciones cuya ubicación se encuen-
tran urbanplanetjump.es”, “la finalidad de la recogida y tratamiento de la información del inte-
resado es la de informar del uso correcto de las instalaciones y de videograbación a efectos
de seguridad”, recogiendo “nombre y apellidos, firma”.
- “Registro para el acceso a parques” cuya ubicación se encuentra en “urbanplanetjump.es”,
siendo la finalidad de la recogida y el tratamiento la del “registro de datos para acceso al dis-
frute de los parques, registro de fotografía para identificación del usuario, videograbación a
efectos de seguridad en las instalaciones” indicando que los datos que se recogen son nom-
bre y apellidos NIF, DNI, dirección, imagen voz, correo electrónico, contraseña, número de
pasaporte, edad.
-“venta online en página web ”siendo la finalidad de la recogida y tratamiento la de “gestión
de venta en línea de entradas”. La tipología de datos del interesado que serán tratados son
nombres y apellidos, NIF, DNI, teléfonos, dirección, correo electrónico, fecha de nacimiento.
- “envío de newsletter”, con finalidad de publicidad y prospección comercial, tratándose da-
tos de nombre y apellidos, NIF, DNI, NIE, teléfonos, dirección, correo electrónico.
CUARTO: Con fecha 30/03/2020 la reclamación es admitida a trámite.
QUINTO: Con fecha 24/03/2021 la directora de la AEPD acordó:
“INICIAR PROCEDIMIENTO SANCIONADOR a URBAN PLANET ENTERTAINMENT S.L.,
con NIF B-87223822, por la presunta infracción del artículo 5.1.c) del RGPD, de
conformidad con el artículo 83.5.a) del RGPD y el 72.1.a) de la LOPDGDD.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
4/16
“a los efectos previstos en el art. 64.2 b) de la ley 39/2015, de 1/10, del Procedimien-
to Administrativo Común de las Administraciones Públicas, la sanción que pudiera corres-
ponder sería de apercibimiento.”
Notificado el acuerdo, no se reciben alegaciones.
SEXTO: Se efectúa el 7/10/2021 una diligencia de acceso a la web del reclamado y se impri-
me la política de protección de datos y privacidad.
SÉPTIMO: Con fecha 8/10/2021 se inicia un periodo de práctica de pruebas, incorporando la
de actuaciones de trámite previas al acuerdo de inicio, y la diligencia de 7/10/2021 de acce-
so a la web del reclamado, aviso legal, política de privacidad y datos de carácter personal.
Además se decidió solicitar a reclamado:
1. Copia del registro de actividades del tratamiento actualizada, desde mayo 2018, explican-
do si ha habido variaciones, fechas y explicación de los motivos.
Con fecha 28/10/2021 se recibe respuesta, aportando el documento 1 el registro de activida-
des de tratamiento.
Con relevancia para el acceso, la relación de las actividades creadas en el año 2018, son:
- CONTACTOS VÍA WEB
-VIDEOVIGILANCIA
-ACEPTACIÓN DE NORMAS PARA ACCESO A PARQUES Y USO DE INSTALACIONES.
La “actividad de tratamiento aceptación de normas para acceso a parques y uso de instala-
ciones resultaba una finalidad muy extensa y fue objeto de separación en las modificaciones
de 2019. La relación de las actividades creadas o modificadas en el año 2019-2020 son:
- ACEPTACIÓN DE USO DE INSTALACIONES-alta 30/12/2019
- REGISTRO PARA ACCESO A PARQUES
- VENTA ON LINE EN PÁGINA WEB-alta 27/12/2019
2. Motivo por el que en su página web, en aviso legal, protección de datos y política de pri-
vacidad, no figura mención a la actividad de tratamiento de: “Registro para el acceso a par-
ques” finalidad “registro de datos para acceso al disfrute de los parques, registro de fotogra-
fía para identificación del usuario, videograbación a efectos de seguridad en las instalacio-
nes” indicando que los datos que se recogen son nombre y apellidos NIF, DNI, dirección,
imagen voz, correo electrónico, contraseña, número de pasaporte, edad.
Manifiesta que actualmente está en proceso de actualización y depende de los parques se
realiza de una u otra forma, pone los ejemplos de Alicante en el que al efectuar la compra on
line, es cuando se han de proporcionar los datos. Seleccionando el centro y el número de
entradas y hora lleva a otra pantalla que indica según la copia que aporta “Completa los si-
guientes campos para finalizar tu compra” “Tus datos ¿ya estas registrado?: e mail, nombre
y apellidos, teléfono móvil: NO se contiene apartado alguno referente a foto. Existe una casi-
lla de “he leído y aceptado la política de privacidad”” que si se clica lleva a la información
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
5/16
de dicho tratamiento, viéndose el pliego de información que se ha de aceptar, y al final una
casilla con “acepto”, conteniendo el pliego: “deber de informar sobre el tratamiento, sobre “la
relación de actividades de tratamiento registro para acceso a parques”, figurando que “se
registra la fotografía para identificación del usuario, Videograbación a efectos de seguridad
en las instalaciones “, y además ·teléfono, dirección, correo electrónico, NIF,” La base jurídi-
ca del tratamiento, el consentimiento inequívoco.
Añade que en del parque de Las Rozas “el aviso de política de privacidad remite al aviso le-
gal y “ la aceptación de uso de normas se realiza o a través del ordenador o en el parque a
través de un código QR. “
3. Motivo por el que en relación a su página web, en aviso legal, protección de datos y políti-
ca de privacidad, actividad de tratamiento de - “registro para acceso a parques y uso de ins-
talaciones”, en sus alegaciones ponen que recogerán nombre y apellidos, firma y en la web
figura que se recoge imagen.
El tratamiento de “registro para acceso a parques y uso de instalaciones”, es producto del
desglose de actividades de tratamiento producido en 2019 2020. Ahora se trata de “registro
para acceso a parques”, y en la de “aceptación de uso de las instalaciones”. En ambas
consta que se recoge la imagen. También antes de desglosarse se recogía la imagen.
4. Detallen en qué momento se produce y por qué medio la recogida de datos para el trata-
miento de la “aceptación de uso de instalaciones”, que documentos o instrucciones se dan
para informar a los usuarios, y porque es necesario tratar según figura en la web: Nombre y
apellidos; Imagen; Firma; Metadatos de conexión; teléfono móvil.
Manifiesta que “la imagen actualmente no se está recogiendo. “Actualmente se recogen los
datos a través del ordenador, si se hace desde casa o en los centros que disponen de códi-
go QR para hacerlo a través de los teléfonos de los clientes y que llevan a una URL de re-
gistro. Por ello se incluye al nombre y apellidos los metadatos de conexión, teléfono móvil,
datos necesarios para saber quién es la persona que entra en el centro, quien reserva un
cumpleaños, a quien acudir en caso de precisar su ayuda etc.” “Anteriormente se solicitaban
a través de unas tablets que se disponían en el mostrador de recepción” “En los centros
también existen carteles donde se indican las normas de uso”.
5. En que se distinguen el tratamiento de “registro previo de clientes para acceder a instala-
ciones”, del tratamiento que figura en su web de “aceptación de uso de instalaciones”, y si
este ya existía cuando suceden los hechos. En sus alegaciones al traslado de la reclama-
ción no indican el nombre de “aceptación de uso de instalaciones”.
La actividad de tratamiento “registro para acceso a parques” “tiene por objeto el registro del
interesado para saber quién es la persona que entra en el centro, quien reserva un cumplea-
ños etcétera, y es un requisito previo antes de acceder a las instalaciones y para evitar re-
clamaciones indebidas, es puntual se hace cada vez que se entra a un parque.”
La actividad de tratamiento denominada “aceptación de uso de instalaciones”, supone la
aceptación de las normas de uso y una vez realizada es válida para todos los parques.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
6/16
“Estas dos actividades se crearon a raíz de nuestro escrito de contestación a las alegacio-
nes de 30 de diciembre de 2019 como medida de responsabilidad proactiva pero siempre ha
habido un registro obligatorio donde se aceptaban el uso de las instalaciones.”
6. Sobre el documento que, en el momento de suceder los hechos, era utilizado para el “re-
gistro para acceso a parques y uso de instalaciones, documento 1 que ustedes aportaron,
en cuya cabecera izquierda superior consta con: “Tus datos ¿ya estas registrado?” señale
las formas de cumplimentarlo: antes de acudir al local, en la web o en el local, y como se ob-
tenía la fotografía que se solicitaba, y si se sigue solicitando.
También, si ese registro es el que se refiere o coincide con el de la “aceptación de uso de
instalaciones”, ¿dónde constaban las condiciones generales de uso de instalaciones o como
se daban por aceptadas las condiciones de uso de instalaciones dado que en ningún docu-
mento, 1 o 2 que aportaron en traslado de reclamación se señala que se trata de esta espe-
cificidad?, remitiendo solo al apartado de la política de privacidad.
Manifiesta que “el documento se podía cumplimentar a través de la web o en el local a tra-
vés de una Tablet.
La fotografía se tomaba en el local a través de la tablet que se usaba para el registro. Ac-
tualmente no se solicita la fotografía. En el mismo registro, además de aparecer la política
de privacidad aparecen las normas de uso. Además, en el centro se tienen carteles donde
se indican también las normas de uso”.
7. ¿Porque se precisan registrar datos personales para aceptar el uso de instalaciones?, sí
¿no sería suficiente con la lectura y marcado de las mismas en el momento de cumplimentar
el registro para el acceso? Qué relación guarda esta finalidad con la cesión a entidades ase-
guradoras y porque figura como cesión en ambas actividades de tratamientos.
“Se solicitan datos personales para aceptar el uso de instalaciones ya que una vez acepta-
das las normas te permiten acceder a cualquier parque”.
“En cuanto a las actividades registro para acceso a parques se realiza cada vez que se va a
un parque ya que es necesario para saber quién es la persona que entra en el centro, quien
reserva un cumpleaños u otro evento a quién acudir en caso de precisar de su ayuda si por
ejemplo es un padre el que se ha registrado es de ayuda para poder localizarle en caso de
ser necesario.
En cuanto a los destinatarios constan entidades aseguradoras ya que es el seguro al que se
encarga de revisar y analizar las causas de un posible accidente y determinar la posible cul-
pa o detectar algún material roto o incidencia en las instalaciones y se ha incluido como des-
tinatarios en las más actividades”.
8. Aunque en el procedimiento nada se solicitó sobre la toma de imágenes por videovigilan-
cia de las personas captadas cuando acceden a las instalaciones, se solicita que detallen la
finalidad de la recogida de las imágenes, el tiempo que guardan las imágenes, y si son utili-
zadas para casos de reclamaciones por accidentes. Número de casos que han tenido.
Manifiesta que “el sistema de videovigilancia enfoca a la zona de juegos y se usa para reco-
ger información sobre accidentes. Las imágenes se guardan por un periodo de 10 días. Su
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
7/16
finalidad figura recogida en la actividad de tratamiento denominada “registro para acceso a
parques” donde consta entre otras videograbación a efectos de seguridad en las instalacio-
nes.
Indican que llevan un control de cada caso, pero no una suma total de casos.
9. Si se ha eliminado la petición de la imagen, fotografía, la recogida de “DNI”, “dirección” y
del “correo electrónico” para el tratamiento del documento 1, ya que en este literal informati-
vo obtenido el 7/10/2021 no consta en la web en política de privacidad y datos personales la
actividad de “registro de clientes para accesos.”, y ¿porque se sigue exigiendo la fotografía
si existe videovigilancia desde el momento en que se accede.?
Manifiesta que actualmente no se exige la fotografía a los interesados. En un principio por
recomendación del seguro se solicitaba, pero posteriormente se optó por no recoger ese
dato.
10. Si al acceder al centro de ocio, con los tickets adquiridos en la web, se solicita la pre-
sentación del DNI al entrar.
Indica que “se solicita el número del DNI para verificar el registro previo realizado por el
usuario una vez que entra en el parque”.
11. En cuanto a la recogida de datos como registro del usuario, documento 1, que indican
que también es necesaria la recogida de la imagen, fotografía para garantizar la seguridad
del usuario y del resto para garantizar que las personas “entran al parque e inician la activi-
dad en plenitud de capacidades físicas” ”nadie pueda esgrimir que otro entró al recinto con
lesiones adquiridas con el objetivo de evitar las posibles responsabilidades que se derivan
de un uso negligente de las instalaciones contra otros usuarios y contra la reclamada”, es
decir cuestiones de responsabilidad por accidentes, lesiones etc., sin embargo no informan
de dicha finalidad, detallando si es así, la necesidad y los motivos.
Tras recibir el traslado de la reclamación, en sus alegaciones precisaron que la actividad de
tratamiento denominada entonces “aceptación de normas para acceso a parques y uso de
instalaciones” se desglosó en otras cuatro actividades de tratamiento. En la nueva de “regis-
tro para acceso a parques”, se incluyó “como finalidad entre otras: “registro de fotografía
para identificación del usuario”. En la actividad denominada “aceptación de uso de instala-
ciones”, se recoge como finalidad: “Informar del uso correcto de las instalaciones y de la vi-
deograbación a efectos de seguridad”.
“Se informa a través del documento de uso de normas obligatorio para todos los clientes, de
firma obligatoria cuando entras por primera vez a un centro y donde indica la exoneración de
responsabilidad en caso de incumplir las normas”.
12. De que forma se informa a los afectados sobre cuestiones relacionadas con accidentes
o lesiones producidas en el desarrollo de la actividad, exenciones de responsabilidad, cau-
sas de exención etc.
“Se informa a través del documento de uso de normas obligatorio para todos los clientes, de
firma obligatoria cuando entras por primera vez a un centro y donde indica la exoneración de
responsabilidad en caso de incumplir la norma”
OCTAVO: Con fecha 11/11/2021 se emite propuesta de resolución, del literal:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
8/16
“Que por la Directora de la Agencia Española de Protección de Datos se sancione a URBAN
PLANET ENTERTAINMENT S.L., con NIF B87223822, por una infracción del artículo 5.1.c)
del RGPD, con apercibimiento.”
Frente a la misma alegaciones.
De las actuaciones practicadas en el presente procedimiento y de la documentación obrante
en el expediente, han quedado acreditados los siguientes:
HECHOS PROBADOS
1) El reclamado se dedica a ofertar en parques de ocio por España actividades con
colchonetas, trampolines y camas elásticas, contando con diversas sedes. En el momento
de suceder los hechos,10/09/2019, el reclamado tenía implantada una actividad de trata-
miento denominada “registro para acceso a parques y uso de instalaciones, cuya finalidad
constaba como:
“Registro de datos para acceso al disfrute de los parques, venta online, aceptación de nor-
mas de uso y aceptación de videograbaciones a efectos de seguridad de las instalaciones.
Comunicaciones administrativas a través de whatsapp, sms y correo electrónico”.
En documento 1 de recogida de dicho tipo de datos que aportó la reclamante, figuraba en la
cabecera izquierda superior: “Tus datos ¿ya estas registrado?” que se podía cumplimentar
por el usuario “a través de la web o en el local a través de una Tablet”. Era imprescindible
rellenar el registro antes de acceder a la actividad, a las instalaciones. Los datos que había
que cumplimentar como obligatorios, marcados con asterisco eran los de: nombre y apelli-
dos DNI dirección teléfono, correo electrónico, fecha de nacimiento y fotografía. La fotogra-
fía se tomaba en el local a través de la tableta que se usaba para el registro. En el mismo re-
gistro, además, aparecía la política de privacidad y las normas de uso. En el centro se exhi-
ben carteles donde se indican también las normas de uso.
No obstante, los registros de actividad de tratamiento, manifestó el reclamado en el traslado
de la reclamación, que la finalidad de la recogida de la foto del usuario era su identificación
inequívoca al acceder, con el fin de evitar suplantaciones, caso de lesiones en la actividad
(correlación nombre y datos tomados, mas la foto, coadyuva a la precisión en caso de inci-
dente o lesión) así como “la seguridad en las instalaciones”.
Añade el reclamado que, en la práctica, el requisito de la foto era opcional y que cuando el
usuario manifestaba su disconformidad no se implementaba, “como fue el caso de la recla-
mante”, que “decidió poner la mano delante de la cámara en el proceso”, y no se le impidió
el acceso. No les figura imagen de la misma en sus ficheros.
2) Tras el traslado de la reclamación, el 2/01/2020, el reclamado precisa que la actividad de
tratamiento denominada hasta entonces: “aceptación de normas para acceso a parques y
uso de instalaciones” pasa a diferenciarse y desglosarse, en cuanto a datos necesarios para
el acceso a realizar la actividad, en:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
9/16
- “registro para acceso a parques”, se recogen en cada ocasión que se accede a un parque
a realizar una actividad. Los datos que se indica se recaban son: Nif / DNI. / Nie; Teléfono;
Dirección; Imagen, fotografía /voz; Correo electrónico; Contraseña; Nº de pasaporte; Edad.
La fotografía para “identificación del usuario”, finalidad “para el acceso al disfrute de los par-
ques, “registro de fotografía para identificación del usuario”. En algunos parques como el de
Alicante, los datos se completan cuando se compran las entradas en la web, si bien tiene la
opción que pregunta sí ya estas registrado. Se contienen los datos a rellenar, entre los que
no se menciona la fotografía. En la misma compra lleva a “he leído la política de privacidad”,
que clicando se lee la información de esta actividad de tratamiento donde se vuelve a indicar
que “se registra la fotografía para identificación del usuario”.
El reclamado indicó tras el acuerdo de inicio que la foto ya no se exige.
Ante la manifestación del reclamado de que “En cuanto a las actividades registro para acce-
so a parques se realiza cada vez que se va a un parque ya que es necesario para saber
quién es la persona que entra en el centro, quien reserva un cumpleaños u otro evento a
quién acudir en caso de precisar de su ayuda si por ejemplo es un padre el que se ha regis-
trado es de ayuda para poder localizarle en caso de ser necesario.”, se observa ,no obstan-
te, que en la compra de entradas en web, con reserva de día y hora figuran datos a cumpli-
mentar que en ningún momento se deduce que sea la persona o sujeto que va a participar
en la actividad, o tenga que ser él el que participe en la misma. Si compra varias entradas
tampoco queda claro la identificación del sujeto que va a usar las entradas.
-“aceptación de uso de instalaciones”, se recoge como finalidad: “Informar del uso correcto
de las instalaciones y de la videograbación a efectos de seguridad”. Supone la aceptación
de las normas de uso y una vez realizada es válida para todos los parques. Tras el acuerdo
de inicio, el reclamado manifestó que para este tratamiento no se está recogiendo la ima-
gen.
Las normas de uso de instalaciones figuraban en la política de privacidad, y se podría produ-
cir en el mismo instante en que se accedía a la instalación, junto con la recogida del “regis-
tro para acceso a parques”
3) Además, el reclamado tiene en el interior de sus instalaciones un sistema de videovigi-
lancia que enfoca a la zona de juegos y se usa para recoger información sobre accidentes.
Las imágenes se guardan por un periodo de 10 días. Su finalidad figura recogida en la activi-
dad de tratamiento denominada “registro para acceso a parques” donde consta entre otras
“videograbación a efectos de seguridad en las instalaciones.”
Indican que “llevan un control de cada en supuesto de reclamación por accidentes en caso
de que se derive responsabilidad en el desarrollo de la actividad.”
4) El reclamado indicó tras el acuerdo de inicio que la foto que se exigía antes en cada oca-
sión que se accedía a un parque, integrante del tratamiento “registro para acceso a parques”
ya no se exige. En un principio, se recogía por recomendación del seguro.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
10/16
5) Preguntado el reclamado si al acceder al centro de ocio, con los tickets adquiridos en la
web, se solicitaba la presentación del DNI, indicó en pruebas que “se solicita el número del
DNI para verificar el registro previo realizado por el usuario una vez que entra en el parque”.
6) El reclamado informa a los clientes sobre cuestiones relacionadas con accidentes o lesio-
nes producidas en el desarrollo de la actividad, exenciones de responsabilidad, causas de
exención etc. a través del documento de normas de uso, “obligatorio para todos los clientes”,
de firma obligatoria cuando se accede “ por primera vez a un centro y donde indica la exone-
ración de responsabilidad en caso de incumplir la norma” “En los centros, también existen
carteles donde se indican las normas de uso”. La información de normas de uso obligatorio
que se da en los carteles puede tener relación con la actividad de tratamiento denominada
“aceptación de uso de instalaciones”, que supone la aceptación de las normas de uso y una
vez realizada es válida para todos los parques, si bien se recogían datos para ello, entre
ellos la imagen.
FUNDAMENTOS DE DERECHO
I
En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de
control, y según lo establecido en los arts. 47 y 48.1 de la LOPDGDD, la Directora de la
Agencia Española de Protección de Datos es competente para resolver este procedimiento.
II
Se imputa al reclamado que infringe el artículo 5.1.c) del RGPD, que dispone:
“Los datos personales serán:
b) adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que
son tratados («minimización de datos»);
La “Guía práctica de análisis de riesgos en los tratamientos de datos personales sujetos al
RGPD” publicada por la AEPD en su epígrafe 3, “ Protección de Datos desde el diseño y la
gestión de riesgos cuál debe ser la ruta a seguir? Apartado: “definición y diseño de activida-
des de tratamiento”, reproduce, sobre la actividad de tratamiento:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
11/16
“La definición de una actividad de tratamiento es un paso fundamental que requiere tener
claro cuáles son las finalidades del tratamiento de datos personales. Corresponde a cada
organización, de acuerdo al principio de responsabilidad proactiva (accountability), decidir el
nivel de agregación o segregación para elaborar el registro de actividades de tratamiento y
deberá valorar hasta qué punto esa agregación o segregación corresponde con finalidades,
bases jurídicas y grupos de individuos distintos. Asimismo, corresponde ponderar, como se
hizo con anterioridad a la hora de definir ficheros, la optimización de la gestión de la
protección de datos dentro de su organización para que esta resulte útil, ágil, efectiva y
permita alcanzar los objetivos que la legislación busca: que los individuos cuyos datos son
objeto de tratamiento puedan tener, en su caso, un conocimiento efectivo de los
tratamientos que la organización realiza sobre ellos.
Una vez incorporadas al registro de tratamientos de la entidad todas aquellas actividades
que corresponden al trabajo o funciones que esta realiza sobre los datos de carácter
personal de los colectivos de personas que maneja, deberá fijarse en las nuevas
obligaciones que el RGPD describe sobre el responsable del tratamiento y el encargado de
tratamiento. ¿Suponen estas nuevas obligaciones la generación de nuevas actividades de
tratamiento que deban ser descritas e incorporadas al registro de actividades? El RGPD
establece en el artículo 5 los siguientes principios relativos al tratamiento de datos
personales que es necesario considerar
Minimización de datos: Los datos deben ser adecuados, pertinentes y limitados a lo
necesario en relación con los fines para los que son tratados.
Adicionalmente, el artículo 5 del RPGD establece que el responsable del tratamiento deberá
garantizar el cumplimiento de los principios relativos al tratamiento, así como, la figura
responsable de demostrarlo. Por tanto, es fundamental definir adecuadamente las
actividades de tratamiento y documentar los análisis realizados, así como, dejar trazabilidad
de los mismos y de las conclusiones que los soportan para poder garantizar la
responsabilidad proactiva.”
Sobre el principio de necesidad de tratamiento de datos de carácter personal cabe decir que
cualquier tratamiento de datos implica per se y de partida, la restricción del derecho
fundamental, al producirse la recogida y disposición de los mismos por parte del
responsable que va a operar con ellos. Según la jurisprudencia, por la afectación que el
tratamiento de datos personales supone para una serie de derechos fundamentales, la
limitación del derecho fundamental a la protección de datos personales debe ser la
estrictamente necesaria. Ello implica que si la consecución de los fines previstos puede
realizarse sin tratamiento de datos personales, será preferible esta vía y supondrá que no es
necesario llevar a cabo tratamiento alguno de datos, lo que supondrá que tal derecho, con
las limitaciones que conlleva, no estaría en liza, al no haber datos. La recogida,
almacenamiento y uso constituye per se una limitación del derecho de protección de datos
que debe cumplir con la normativa. Ello requiere pues en primer lugar analizar y asegurar
que la recogida de datos sea necesaria para la finalidad establecida o pretendida y que sea
proporcional.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
12/16
Esta necesidad debe estar justificada en la documentación de cumplimiento que el
responsable debe disponer de acuerdo con el artículo 5.2. del RGPD. La necesidad debe
versar de si se tratan datos personales sobre la base de una evidencia objetiva, según los
fines ha de determinar, si se precisan ineludiblemente esos datos personales o si la finalidad
se puede cumplir sin tratar esos datos personales. También que no ha de reiterarse la
petición de los datos que ya se tienen.
La consecución del objetivo legitimo perseguido no ofrece mas ventajas si se usan datos
personales que si no se usan, y el tratamiento de datos implica de contrario riesgos con los
mismos, y en definitiva una intrusión no justificada en comparación con la otra opción. La
prueba de necesidad del tratamiento para cualquier limitación del ejercicio de derechos a la
protección de datos personales ha de ser estricta, debiendo tratarse los mismos solo en los
casos estrictamente necesarios, ya que en principio, cualquier operación de tratamiento de
datos (como la recogida, el almacenamiento, el uso, la divulgación de datos) establecida por
la legislación limita el derecho a la protección de datos personales, independientemente de
que esa limitación pueda estar justificada.
Por un lado, en el registro de actividad de tratamiento consta expresamente la recogida de la
imagen, fotografía, para dos operaciones de tratamiento distintas, aunque conectadas. Una,
se materializa en cada ocasión que se acude a cada parque de ocio, pretendiendo verificar
con la foto y los datos que se dan, su identidad, para evitar peticiones de daños por
personas que se hagan pasar por ellos, (aunque no explica el grado de importancia ni aporta
prueba de la supuesta incidencia que motive que este tipo de recogida sea fundamental). De
hecho, no figura así en la finalidad del tratamiento este detalle que explica el reclamado.
Otra toma o recogida de la foto sería o supondría que solo se proporciona en una ocasión y
su fin es la de conocimiento de las normas de uso de las instalaciones. Ambas conectadas
porque se pretende identificar a la persona que accede. Cuando se adquiere el o los tickets
por la web se ha de cumplimentar “he leído la política de privacidad”, que clicando. se lee la
información de esa actividad de tratamiento donde se indica que “se registra la fotografía
para identificación del usuario”, sin añadir que sería al acceder cuando se le pide, debiendo
corresponderse la información que se da con el momento y acto en que se va a desarrollar,
y al sujeto afectado, considerando asimismo que la persona que adquiere los tickets puede
no ser la usuaria final de la actividad, y que no se contempla ninguna referencia a datos de
padres.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
13/16
Por otro lado, desde el traslado de la reclamación, se reconoce que aunque figure la toma
de la fotografía, de hecho en muchos supuestos no se recoge.
Finalmente, tras el acuerdo de inicio se decidió el no uso de la foto.
Todo ello, además, disponiendo de la toma de imágenes que se hace con la cámara de
videovigilancia interior, destinada, durante el periodo que graba, al área de juegos, a los
eventuales sucesos relacionados con incidentes que puedan suponer responsabilidad en el
uso de la instalación.
La recogida de la imagen de las personas que accedían a los parques en cada ocasión, a
través de la fotografía, que además quedaba almacenada se hacía principalmente por el
tema de reclamaciones por daños y el seguro, solo así tiene sentido la idea de evitar
suplantaciones o identificar a quien realmente pretende acceder, por aseguramiento de
eventuales accidentes con el fin de evitar posibles suplantaciones, según se deduce.
Ello parece relevante, en cuanto a la relación con el fin que se pretendía, y que no se
explicitaba específicamente en el registro de actividades, pues el control de la identidad de
la persona se acreditaría con los datos que se dan y en su caso la exhibición del DNI, no la
mera repetición del número, y no es procedente la toma de la foto, figurando además la
grabación interior de las imágenes.
Cuando el mismo fin puede ser conseguido con otros medios o con los que ya se dispone,
no parece necesario acumular mas datos. Limitado a lo necesario, no parece precisa la
toma de la foto por cuestiones de seguro o prueba de lo sucedido, dado que se ha
identificado antes al portador de la identidad que accede o se le puede identificar, y existen
ya suficientes datos que se consideran adecuados y ya son relevantes para identificar a la
persona que accede.
La adecuación, relevancia y limitación de los datos guarda relación como se ha indicado,
con la finalidad que de acuerdo con el RGPD artículo 5.1.b) indica, que han de ser “
recogidos con fines determinados, explícitos y legítimos”.
Así, por ejemplo, el tratamiento de aceptación de uso de instalaciones:” con la finalidad de
informar del uso correcto de las instalaciones y de la videograbación a efectos de seguridad.
Siendo la tipología de datos recogida: Nombre y apellidos; Imagen; Firma. “al ser una mera
información, cabría preguntarse si para ello se ha de efectuar un tratamiento específico,
diferenciado o si se han de usar datos para ello. Podría consistir en una marcación de casilla
en el mismo apartado que se contiene en el registro de acceso.
Por otro lado, la videograbación tiene un sistema de información con cartel informador en el
establecimiento y su finalidad y base de legitimación no es similar a la de control de accesos
o aceptación de normas de obligado cumplimiento.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
14/16
En cuanto al tratamiento del registro para acceso a parques; con la finalidad de registro de
datos para acceso al disfrute de los parques, registro de fotografía para identificación del
usuario. Siendo la tipología de datos recogida: Nombre y apellidos; Nif / Dni. / Nie;
Teléfonos; Dirección; Imagen /voz; Correo electrónico; Contraseña; Nº de pasaporte; Edad.
No se concreta la relación del acceso, disfrute del parque con la necesidad de proporcionar
el resto de los datos, siendo demasiado escueta y genérica en cuanto a la finalidad explicita
y el propósito del tratamiento, no puede ser catalogada como finalidad especifica.
Evidentemente la no recogida de la foto debe contenerse en el registro de actividades de
tratamiento de modo que esté actualizado, con la valoración del motivo documentado en su
caso que conduzca a tal conclusión. El propósito encubierto que trasluce a la toma de
fotografías para el acceso ni se contempla en la finalidad de los tratamientos, ni es
necesario ni proporcional.
Se acredita que la implementación de la necesidad de proporcionar fotos en los accesos al
parque, cada ocasión en que se acuda y se acceda a ellos, y la toma de fotos para acreditar
el conocimiento de las normas de uso no son datos adecuados, pertinentes y relevantes en
este supuesto, acreditándose la infracción relacionada con el tratamiento de datos en el
citado contexto.
III
A dicha infracción se refiere el artículo 83.5.a) del RGPD que indica:
“Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el
apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de
una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total
anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
a) los principios básicos para el tratamiento, incluidas las condiciones para el consenti-
miento a tenor de los artículos 5, 6, 7 y 9;”
El artículo 58.2 b) del RGPD dispone la posibilidad de sancionar con apercibimiento, en
relación con lo señalado en el Considerando 148:
“En caso de infracción leve, o si la multa que probablemente se impusiera constituyese una
carga desproporcionada para una persona física, en lugar de sanción mediante multa puede
imponerse un apercibimiento. Debe no obstante prestarse especial atención a la naturaleza,
gravedad y duración de la infracción, a su carácter intencional, a las medidas tomadas para
paliar los daños y perjuicios sufridos, al grado de responsabilidad o a cualquier infracción
anterior pertinente, a la forma en que la autoridad de control haya tenido conocimiento de la
infracción, al cumplimiento de medidas ordenadas contra el responsable o encargado, a la
adhesión a códigos de conducta y a cualquier otra circunstancia agravante o atenuante.”
En este caso, considerando el contexto en el que se produce la recogida de datos, una
actividad de ocio, la ausencia de perjuicios a la reclamante, y que se ha optado por no
solicitar ni recoger dicha fotográfica, procede la sanción de apercibimiento, tal como se
acordó en el acuerdo de inicio.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
15/16
A efectos del cómputo de la prescripción, la LOPDGDD señala en su artículo 72:
“1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se
consideran muy graves y prescribirán a los tres años las infracciones que supongan una
vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
a) El tratamiento de datos personales vulnerando los principios y garantías establecidos
en el artículo 5 del Reglamento (UE) 2016/679.”
Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación
de las sanciones cuya existencia ha quedado acreditada,
la Directora de la Agencia Española de Protección de Datos RESUELVE:
PRIMERO: DIRIGIR a URBAN PLANET ENTERTAINMENT S.L., con NIF B87223822, por
una infracción del aartículo 5.1.c) del RGPD, de conformidad con el artículo 83.5 a) del
RGPD, y a efectos de prescripción, del artículo 72.1.a) de la LOPDGDD, una sanción de
apercibimiento, de conformidad con el artículo 58.2.b) del RGPD.
SEGUNDO: NOTIFICAR la presente resolución a URBAN PLANET ENTERTAINMENT
S.L..
TERCERO: De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la
presente Resolución se hará pública una vez haya sido notificada a los interesados.
Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la
LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los
interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de
la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día
siguiente a la notificación de esta resolución o directamente recurso contencioso
administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con
arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta
de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa,
en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto,
según lo previsto en el artículo 46.1 de la referida Ley.
Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la LPACAP, se podrá
suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta
su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el
interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia
Española de Protección de Datos, presentándolo a través del Registro Electrónico de la
Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los
restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre.
También deberá trasladar a la Agencia la documentación que acredite la interposición
efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la
interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día
siguiente a la notificación de la presente resolución, daría por finalizada la suspensión
cautelar.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
16/16
938-26102021
Mar España Martí
Directora de la Agencia Española de Protección de Datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es