La sanción sumó inicialmente 160.000 euros y quedó finalmente reducida en un 40 %
La Agencia Española de Protección de Datos (AEPD) multó con 96.000 euros a la cadena de gimnasios Supera por imponer el reconocimiento facial en el acceso a sus instalaciones, según informó este miércoles en un comunicado Facua-Consumidores en Acción.
Según indicó esta asociación, la sanción de tres multas que originalmente sumaban 160.000 euros quedó finalmente reducida en un 40 % dado que la empresa propietaria, Sidecu SA, reconoció la infracción y realizó un pago voluntario.
Conocimiento a través de los socios
Facua denunció los hechos en 2023, tras tener conocimiento a través de sus socios de que los establecimientos de esta cadena de gimnasios habían implantado un sistema de reconocimiento facial como única forma de permitir el acceso.
La asociación consideró que se realizaba un tratamiento ilícito de los datos biométricos de los usuarios, lo que consistía una vulneración de la normativa de protección de datos.
La empresa, con sede en A Coruña, tiene 30 centros repartidos por 21 municipios del país: A Coruña, Alicante, Almería, Burgos, Chiclana de la Frontera (Cádiz), Estepona y Marbella (Málaga), Guadalajara, León, Móstoles, Oviedo, Palencia, Parla, Rivas-Vaciamadrid, Talavera de la Reina y Valdemoro (Madrid), Santander, Sevilla, Toledo, Valencia y Valladolid.
La AEPD confirmó que existió una vulneración de la norma en los hechos denunciados por Facua, en concreto, tres infracciones del Reglamento General de Protección de Datos (RGPD) por vulnerar artículos referentes a la prohibición de tratamiento de determinados datos sin recabar el consentimiento expreso, entre otros.
Las sanciones, de 80.000, 50.000 y 30.000 euros, suman un total de 160.000 euros que finalmente quedaron establecidos en 96.000 tras aplicarse una reducción del 40 % por el reconocimiento de responsabilidad y el pago voluntario de las multas.
Prohibición de tratar datos biométricos
En su resolución, la AEPD señaló que los datos biométricos, siempre que se traten con la finalidad de identificar a una persona —como en el caso de un control de acceso—, entran dentro de la categoría de datos de carácter personal de categoría especial, según recoge el artículo 9 del RGPD, cuyo tratamiento se prohíbe de manera general.
Su tratamiento, por tanto, solo es posible si concurren alguna de las excepciones que prevé el propio Reglamento en el artículo 9.2, entre ellas que se haya recabado un consentimiento explícito del usuario.
La propia cadena de gimnasios Supera reconoció recabar de sus socios al entender erróneamente, según señala la AEPD en su resolución, que los datos biométricos pertenecientes a un patrón facial no eran datos personales.
Según Facua, este consentimiento tampoco habría sido libre, ya que el control de acceso mediante reconocimiento facial fue impuesto a todos sus usuarios sin que existiera una alternativa para quien no quisiera usarlo.
