Sancionada con 96.000 euros la empresa gestora de los centros Supera por vulnerar la Ley de Protección de Datos

Palencia

La Agencia Española de Protección de Datos ha sancionado a la empresa gestora de los centros deportivos Supera, SIDECU, que en Palencia cuenta con dos espacios, La Lanera y otro centro en la plaza de San Lázaro, con 160.000 euros que, finalmente han sido rebajados a 96.000 euros por pronto pago, por vulnerar la Ley de Protección de Datos al instalar primero, un sistema de acceso mediante huella digital y, posteriormente sustituirlo por otro de reconocimiento facial y ser denunciado por varios usuarios, entre ellos un palentino así como por la Asociación de Consumidores y Usuarios en Acción-Facua por considerar estos sistemas contrarios a la Ley por "hacer uso de datos biométricos de las personas" y no haberles informado previamente de ello además, de negarse a retirarlo tras instar a la empresa a hacerlo. El acuerdo, recoge la necesidad de cambiar dicho sistema 'en un plazo máximo de 7 meses' así como el plazo de 1 mes para que entreguen a los afectados la información "respecto al tratamiento de los datos biométricos personales realizados, previamente a implantarlos".

Todo comenzó en el año 2023 cuando la empresa SIDECU, decidió implantar un nuevo sistema de acceso a las instalaciones que gestiona basada en el reconocimiento facial de los usuarios, se presentó entonces la primera reclamación al entender el afectado que "el sistema es invasivo al respecto de su intimidad y supone un tratamiento de datos que considera excesivo para el acceso a dicho establecimiento, entendiendo que pudieran habilitarse fórmulas alternativas para el acceso que no impliquen dicho tratamiento de datos". A esta reclamación siguieron otras de otros usuarios de distintos centros, uno de ellos palentino y, la de FACUA. La empresa, asegura que dicho sistema no es invasivo ya que, "no almacena las imágenes, sino que captura partes del rostro para configurar un algoritmo matemático que queda al margen de la normativa del RGPD”.

Tras denunciar el caso ante la Agencia Española de Protección de Datos y hacer un estudio de las reclamaciones, así como de las pruebas presentadas ha resuelto "declarar la comisión de las infracciones y confirmar las sanciones determinadas en la parte dispositiva del acuerdo de inicio transcrito en la presente resolución. La suma de las citadas cuantías arroja una cantidad total 160.000,00 euros. Tras haber procedido SIDECU, S.A. al pronto pago y reconocimiento de responsabilidad, se procede, en virtud del artículo 85 de la LPACAP, a la reducción de un 40% del total mencionado, lo cual supone la cantidad definitiva de 96.000,00 euros."

Igualmente, insta a la empresa para que acredite ante la Agencia que ha adoptado "las medidas correctivas que se describen en los fundamentos de derecho del acuerdo de inicio transcrito en la presente resolución en los plazos fijados de 7 meses y 1 mes desde la notificación de la Resolución en el supuesto de que el nuevo método de acceso implementado implique el tratamiento de datos biométricos. En el caso de que se opte por implantar un nuevo método de acceso a los centros que no sea considerado de alto riesgo ni trate datos biométricos, debiendo en todo caso acreditar cual ha sido el nuevo método de acceso implantado y haber cumplido con los requisitos previstos en el RGPD en el caso de que este implique el tratamiento de datos personales".