Hace unas semanas compartimos en el blog la postura de la AEPD acerca del registro de los datos biométricos de los usuarios por parte de las empresas. En resumen, la agencia determina que usar estos sistemas (la huella dactilar, por ejemplo) debe evitarse y limitarse únicamente a casos muy excepcionales, y siempre siguiendo los principios de idoneidad, proporcionalidad y necesidad, ya que se trata de datos catalogados como de alto riesgo.
Esta decisión la tomaba la AEPD en cumplimiento de la normativa europea vigente (el RGPD), y ya está comenzando a tener las primeras consecuencias.
Multa de 27.000 euros a un gimnasio por solicitar la huella dactilar a sus usuarios
Como uno de los primeros ejemplos de lo que puede ocurrir si una empresa incumple esta prohibición, la AEPD ha multado con 27.000 euros a un gimnasio de Santander por exigir la huella dactilar a sus abonados para poder acceder a sus instalaciones. Según la agencia, el establecimiento ha infringido hasta tres artículos del RGPD, el 6.1, el 9.1 y el 13.
Esto es lo que podemos extraer de la resolución: la parte reclamante, una socia del centro, decide poner en conocimiento de la agencia que el gimnasio ha cambiado el método de identificación, pasando en mayo de 2021 de solicitar la tarjeta identificativa a exigir la huella dactilar. La usuaria se negó, al considerarlo algo excesivo, y la respuesta del gimnasio fue darle de baja, razón por la cual la clienta decidió presentar una reclamación en Consumo. Desde ahí la queja llegó a la AEPD, que al exigir explicaciones al centro deportivo supo que el objetivo del tratamiento era el acceso intransferible e inequívoco de los usuarios al centro. Además, se alegó también que la huella se almacenaba encriptada y que se destruía cada vez que alguien se daba de baja.
Una resolución que marca un antes y un después en el uso de los datos biométricos
A pesar de lo argumentado por el gimnasio, la AEPD encontró razones suficientes para interponer la sanción. Entre estas razones, destacan las siguientes:
- Ausencia de información suficiente sobre la finalidad del tratamiento de datos biométricos.
- Falta de información también acerca de la comunicación de dichos datos a terceros.
- Se detectó, además, que de las últimas 100 bajas de usuarios no se había eliminado la huella dactilar asociada.
En consecuencia, la AEPD impone al gimnasio una multa de 27.000 y la prohibición de continuar usando este sistema de acceso, a menos que se logre acomodar a las exigencias normativas. Para ello, le da un plazo de tiempo de 30 días, en los que deberá acreditar que efectivamente se cumplen los principios exigidos para recurrir al registro de datos biométricos, además de ofrecer medios de acceso alternativos.
Estamos ante una de las primeras sanciones de la AEPD por el uso indebido de los datos biométricos, pero desde APDTIC estamos seguros de que serán muchas más. En la actualidad, los usuarios son muy exigentes con sus datos personales y, afortunadamente, cada vez existe más concienciación al respecto.
