El caso comienza con la recepción de una denuncia el 4 de noviembre de 2022 y una reclamación el 7 de noviembre de 2022 contra la implementación de sistemas biométricos en el estadio del Burgos CF. La Comisión Estatal contra la Violencia, el Racismo, la Xenofobia y la Intolerancia en el Deporte acuerda que el acceso a las gradas de animación debe realizarse mediante control biométrico. Esto lleva al Burgos CF a adoptar un sistema de huella dactilar para sus gradas de animación.

Sin embargo, la denuncia argumenta que este tratamiento de datos es excesivo y que se pueden emplear métodos menos invasivos, como el uso de abonos nominales y la exhibición del DNI para el control de acceso.

La AEPD inicia actuaciones previas de investigación y requiere al Burgos CF información sobre las medidas adoptadas para cumplir con la normativa de protección de datos. El Burgos CF responde, pero la información proporcionada no cumple con varios requisitos y principios establecidos por la normativa.

La AEPD concluye que el Burgos CF ha implementado el sistema biométrico de huella dactilar sin cumplir con los requisitos legales necesarios. Se determina que el uso de datos biométricos no es necesario ni proporcionado para los fines de control de acceso al estadio.

Además, la evaluación de impacto relativa a la protección de datos (EIPD) presentada por el Burgos CF se considera inadecuada y realizada después del inicio del tratamiento de los datos, lo que contraviene la normativa.

La AEPD también destaca que existen métodos alternativos y menos intrusivos para controlar el acceso a las gradas de animación que serían igual de efectivos, como el uso de abonos nominales y sistemas de videovigilancia. Además, se señala que el consentimiento de los afectados, en este caso, no puede considerarse libre debido a la falta de alternativas viables al sistema biométrico.

La AEPD impone al Burgos CF la suspensión temporal del uso del sistema de reconocimiento por huella dactilar para el acceso al estadio El Plantío, hasta que se adopten las medidas correctivas necesarias para garantizar el cumplimiento de la normativa de protección de datos. Esta medida se toma para salvaguardar el derecho fundamental a la protección de datos de los afectados y se considera la menos lesiva, onerosa y más proporcional.

Además, se impone una multa administrativa conforme a lo dispuesto en el artículo 83 del Reglamento General de Protección de Datos (RGPD). La cuantía de la multa se determina en base a la naturaleza, gravedad y duración de la infracción, así como el número de interesados afectados y el nivel de daños y perjuicios sufridos.

Este caso subraya la importancia de cumplir estrictamente con la normativa de protección de datos al implementar sistemas de control de acceso basados en datos biométricos. Las organizaciones deben asegurar que dichos sistemas sean necesarios, proporcionados y que cuenten con una evaluación de impacto previa adecuada. Además, es fundamental garantizar que el consentimiento de los afectados sea libre y que existan alternativas menos invasivas disponibles.

RESOLUCIÓN AGENCIA ESPAÑOLA DE PROTECCIÓN DE DATOS PS/00483/2023 DE 9 ABRIL DE 2024. EDD 2024/546171