La Agencia Española de Protección de Datos ha emitido un dictamen en el que concluye que la implantación del control de huella dactilar en los estadios contraviene la normativa de protección de datos.
La idea de implantar esta medida de control parte la competencia legalmente atribuida por el artículo 13.1 de la Ley 19/2007, de 11 de julio, contra la violencia, el racismo, la xenofobia y la intolerancia en el deporte y desarrollado en el artículo 15.3 del Real Decreto 203/2010, de 26 de febrero, por el que se aprueba el Reglamento de prevención de la violencia, el racismo, la xenofobia y la intolerancia en el deporte, que sustentan la legitimación para que los clubes deportivos puedan instalar un sistema biométrico de identificación unívoca para el control de accesos a las gradas de animación.
Esta normativa otorga potestad para implementar medidas adicionales en competiciones o espectáculos calificados de alto riesgo y todos aquellos “recintos que hayan sido objeto de sanciones de clausura con arreglo a los títulos segundo y tercero de esta Ley”, entre las que se encontraría la promoción de “sistemas de verificación de la identidad de las personas que traten de acceder a los recintos deportivos”.
En base a ello, el tratamiento de los datos personales de los espectadores se realizaría de acuerdo con lo señalado en el artículo 6.1.e) del Reglamento (UE) 2016/679 General de Protección de Datos (RGPD), es decir, “para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento”, en aras de garantizar la seguridad e integridad de las personas que acudan a los estadios, así como evitar las posibles vulneraciones a derechos fundamentales derivadas de los delitos de odio y discriminación.
En lo relativo al tratamiento de los datos biométricos, aplicaría la excepción del artículo 9.2.g) del RGPD, es decir, que el tratamiento “es necesario por razones de un interés público esencial, sobre la base del Derecho de la Unión o de los Estados miembros, que debe ser proporcional al objetivo perseguido, respetar en lo esencial el derecho a la protección de datos y establecer medidas adecuadas y específicas para proteger los intereses y derechos fundamentales del interesado.”
En este sentido, y en línea con lo dispuesto en el párrafo anterior, el acuerdo establecería las medidas adecuadas y específicas para proteger los intereses y derechos fundamentales de los interesados, entre las que se encontraría la obligación de realizar:
- Un juicio de proporcionalidad, en el que se analice la idoneidad de la medida, la necesidad del tratamiento y la proporcionalidad en sentido estricto.
- Una Evaluación de Impacto de acuerdo con lo dispuesto en el artículo 35 del RGPD.
La AEPD incide en que a pesar de la divergencia de criterio a la hora de concretar qué se entiende por dato biométrico, en este caso no hay dudas de que la consulta se refiere a un tratamiento de datos biométricos dirigido a identificar unívocamente a una persona física y, por tanto, se trata de un tratamiento de categorías especiales de datos personales.
Para su análisis sobre si en el presente caso concurren los presupuestos establecidos en el artículo 9.2.g) para levantar la prohibición general del tratamiento de datos biométricos, se centra en los siguientes documentos:
- Informe 36/2020, relativo al uso de técnicas de reconocimiento facial en la realización de pruebas de evaluación online. Puedes leer más sobre este tema aquí y aquí.
- Informe 31/2019 sobre la incorporación de sistemas de reconocimiento facial en los servicios de videovigilancia al amparo del artículo 42 de la Ley de Seguridad Privada.
- Informe 97/2020 relativo al Proyecto de Orden Ministerial sobre los métodos de identificación no presencial para la expedición de certificados electrónicos cualificados.
En relación con lo que debe entenderse por interés público esencial, la AEPD menciona doctrina del Tribunal Constitucional para concluir que la protección de datos personales implica que toda injerencia, límite o restricción del bien jurídicamente protegido debe estar fijado por ley, respetando en todo caso lo dispuesto en la Constitución y en el contenido esencial del mismo; de modo que la legitimación para recoger, almacenar, tratar, usar y, en su caso, ceder datos personales, sólo está justificada si responde a la protección de otros derechos fundamentales o bienes constitucionalmente protegidos, pues de lo contrario se estarían imponiendo límites constitucionalmente ilegítimos que vaciarían de contenido al derecho fundamental, quedando desfigurado e irreconocible .
Es decir, es el legislador en virtud de la reserva de Ley del artículo 53.1. CE quien debe determinar cuándo concurre ese bien o derecho que justifica la restricción del derecho a la protección de datos personales y bajo qué circunstancias puede limitarse, concretando los extremos precisos que hacen posible la imposición de tal limitación y sus consecuencias.
Por último, la AEPD alude a la Sentencia 76/2019, de 22 mayo, única oportunidad que ha tenido el Tribunal Constitucional para pronunciarse específicamente sobre el artículo 9.2.g) del RGPD, relativo a la legitimación de la recopilación de datos personales relativos a las opiniones políticas de las personas que lleven a cabo los partidos políticos en el marco de sus actividades electorales, precepto que fue declarado inconstitucional.
La sentencia señala que el RGPD obliga a los Estados Miembros a establecer garantías concretas, no pudiendo retorcer el concepto de interés público esencial bajo conceptos genéricos o vagos, envolviéndolo en el indeterminismo.
Por consiguiente, la AEPD concluye que las conclusiones alcanzadas en los citados casos son trasladables al presente, pues el tratamiento de las categorías especiales de datos busca ampararse en la competencia atribuida a la Comisión de promover sistemas de verificación de la identidad de las personas que traten de acceder a los recintos deportivos, a pesar de que la norma no establece las garantías pertinentes y adecuadas para la protección del derecho fundamental a la protección de datos personales, ni tan siquiera alude al uso de sistemas de identificación biométrica para la consecución de los fines, debiendo concluirse que la adopción de un acuerdo del CEVRXID “no es conforme con la normativa reguladora de protección de datos”.