Multa de 96.000 euros a una cadena de gimnasios de A Coruña por imponer reconocimiento facial a sus usuarios

La Agencia Española de Protección de Datos (AEPD) ha sancionado con 96.000 euros a la cadena de gimnasios Supera, que tiene su domicilio fiscal en A Coruña, por imponer el reconocimiento facial en el acceso a sus instalaciones. La multa llega tras una denuncia presentada por Facua-Consumidores en Acción.

Según explican desde la organización, la sanción, que procede de tres multas que originalmente sumaban 160.000 euros, ha quedado finalmente reducida en un 40% después de que la empresa hubiese reconocido la infracción y realizado el pago voluntario.

Denuncia de Facua

La denuncia de Facua se produjo en 2023 tras tener conocimiento a través de sus socios de que los establecimientos de esta cadena de gimnasios –que cuenta con 30 centros repartidos entre A Coruña y otros 20 municipios del país– habían implantado un sistema de reconocimiento facial como única forma de permitir el acceso.

“La asociación consideraba que se estaba realizando un tratamiento ilícito de los datos biométricos de los usuarios, lo que consistía una vulneración de la normativa de protección de datos”, explican desde la organización.

La decisión de la AEPD

Según detallan desde Facua, la AEPD ha confirmado que efectivamente existió una vulneración de la norma en los hechos denunciados por la organización. En concreto, tres infracciones del Reglamento General de Protección de Datos (RGPD) por haber vulnerado artículos referentes a la prohibición de tratamiento de determinados datos sin recabar el consentimiento expreso, entre otros.

«Las sanciones, de 80.000, 50.000 y 30.000 euros, suman un total de 160.000 euros que finalmente han quedado establecidos en 96.000 tras haberle aplicado una reducción del 40% por el reconocimiento de responsabilidad y el pago voluntario de las multas».

En su resolución, la AEPD señala que los datos biométricos, siempre que se traten con la finalidad de identificar a una persona —como en el caso de un control de acceso—, entran dentro de la categoría de datos de carácter personal de categoría especial, según recoge el artículo 9 del RGPD, cuyo tratamiento está generalmente prohibido. Así, el artículo 9.1 del reglamento recoge que esta prohibición será efectiva cuando sean «datos biométricos dirigidos a identificar de manera unívoca a una persona física».

Su tratamiento, por tanto, sólo es posible si concurren alguna de las excepciones que prevé el propio Reglamento en el artículo 9.2. Entre ellas, que se haya recabado un «consentimiento explícito» del usuario. Consentimiento la propia cadena de gimnasios Supera reconoció estar recabando de sus socios al entender «erróneamente», según señala la AEPD en su resolución, que los datos biométricos pertenecientes a un patrón facial no eran datos personales.

Además, este consentimiento tampoco habría sido «libre» —otro de los requisitos que impone el RGPD—, ya que el control de acceso mediante reconocimiento facial fue impuesto a todos sus usuarios sin que existiera una alternativa para quien no quisiera usarlo.

Tres multas

Precisamente esta infracción del artículo 9 del RGPD es la que ha supuesto un mayor importe de las tres sanciones impuestas: 80.000 euros por tratar de forma ilícita los datos biométricos de sus clientes.

Las otras dos sanciones, de 50.000 y 30.000 euros, han sido aplicadas por no haber realizado un informe de evaluación de impacto en la protección de datos personales (EIPD) previo a la implantación de la medida —un documento cuya elaboración exige la norma para garantizar su cumplimiento en tratamientos «de alto riesgo»—; y por no haber informado a los usuarios de que se iba a empezar a realizar un tratamiento de sus datos biométricos de forma previa a que empezara a utilizarse este método de control de acceso.