La AEPD sanciona con 1M€ a LaLiga

El denunciante manifestó que la Comisión Permanente de la Comisión Estatal contra la Violencia, el Racismo, la Xenofobia y la Intolerancia en el Deporte (CEVRXID), dependiente del Consejo Superior de Deportes (C.S.D.) había adoptado un acuerdo, según el cual, el acceso a las gradas de animación en los estadios de fútbol se llevaría a cabo a través de control biométrico. Añadiendo, que en algunos equipos de fútbol ya estaban adoptando estas formas de acceso, incluso para acceso al resto de zonas de los estadios.

Considerando que el tratamiento llevado a cabo suponía un “exceso” en el sentido del artículo 5.1 c) del RGPD”, y que “los mismos controles de acceso se podían llevar a cabo a través de abonos nominales y, si por cuestiones de seguridad fuese necesario, mediante la solicitud de mostrar el DNI o documento equivalente en el caso de personas extranjeras”.

Con posterioridad, el día 22/03/2023, la AEPD recibió una nueva denuncia que apuntaba la implementación por parte de la Liga nacional de fútbol profesional (LNFP), a través del Reglamento general de la liga nacional de fútbol profesional, (RGLNFP), de mecanismos de control de acceso a los estadios de fútbol basados en datos biométricos. Aportándose una información sobre un estadio en el que se había se había implantado ya, el acceso mediante reconocimiento facial.

Sobre esto el denunciante argumentaba que estas actuaciones implicaban el tratamiento de categorías especiales de datos personales, debiendo en tal caso cumplirse el artículo 9 del RGPD, que dice lo siguiente:

- Quedan prohibidos el tratamiento de datos personales que revelen el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical, y el tratamiento de datos genéticos, datos biométricos dirigidos a identificar de manera unívoca a una persona física, datos relativos a la salud o datos relativos a la vida sexual o las orientaciones sexuales de una persona física.

Tras el correspondiente inicio de actuaciones previas: Petición de información a la LNFP, al CSD y a la SEFPSA (Sociedad Española de Fútbol Profesional SAU), analizado el volumen de negocio de la LNFP, recibiendo las oportunas alegaciones, realizando la propuesta de resolución, recibiendo nuevamente alegaciones a esta última,una vez establecidos por la AEPD los hechos probados y las conclusiones, la citada Agencia ha resolvió, por una infracción del artículo 35 del RGPD, de conformidad con el artículo 83.4 a) del mismo reglamento, calificada como grave a los solos efectos de la prescripción de dicha infracción, en el artículo 73.t) de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, una sanción de multa de 1.000.000 euros.

Asimismo, ordenó a la LNFP, lo siguiente:

- “Para salvaguardar el derecho fundamental de los abonados a las gradas de animación, que “límite temporal o definitivamente el tratamiento, con el sistema de reconocimiento biométrico para los accesos a la grada de animación de los Clubes y SAD afiliados a la LIGA, en tanto no realice y supere una evaluación de impacto de protección de datos (EIPD) del tratamiento que sea válida, que, entre otras cuestiones, examine la necesidad, idoneidad y proporcionalidad del tratamiento, que tenga en cuenta los riesgos para los derechos y libertades de los interesados y las medidas técnicas y organizativas de todo tipo apropiadas y garantías adecuadas para el tratamiento, o incluso si se realizara, efectuase la previsión de consulta que se establece en el artículo 36 del RGPD.

A tal efecto, se comunicaba igualmente que debería trasladar a sus Asociados (Clubes y SAD) la suspensión definitiva del tratamiento de datos biométricos en tanto en cuanto no se ejecute y superara una EIPD que abordase el específico régimen de acceso a las gradas de animación con datos biométricos, con el contenido preceptuado en las disposiciones que lo regulan.

Contra esta resolución, que ponía fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podían interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley.

Respecto a la presentación de recursos, la Agencia EFE ha informado a través de algunos medios de comunicación (véase Marca 04/03/2025) que la LNFP ha recurrido la sanción impuesta por la AEPD, argumentando lo siguiente:

- Que la "supuesta infracción" está "basada en premisas rotundamente erróneas" y asegurando que la normativa que regula el uso de los sistemas biométricos en las gradas de animación por parte de sus clubes fue aprobada por el Consejo Superior de Deportes (CSD) y exigida a estos por la Comisión Antiviolencia, por lo que su adopción no fue "una decisión arbitraria y unilateral de LaLiga".

- Que "LaLiga no puede ser legalmente responsable del tratamiento de los datos biométricos utilizados en las gradas de animación de los estadios, al no tratar ningún dato biométrico, no mantener ninguna relación con los aficionados de los Clubes, ni tomar de decisiones sobre dichos datos, por lo que resulta materialmente imposible que pueda realizar una evaluación de impacto relativa a la protección de datos en los términos que exige la ley".

- Que "cuenta con una normativa interna que regula el uso de los sistemas biométricos en las gradas de animación por parte de sus clubes, que fue aprobada por el Consejo Superior de Deportes (CSD) en el marco de las funciones públicas de supervisión y control público de la legalidad que tiene atribuidas dicho órgano y cuya implantación, además, ha sido exigida a los Clubes, mediante la adopción de varios Acuerdos, por parte de la Comisión Estatal contra la Violencia, el Racismo, la Intolerancia, la Xenofobia en el Deporte (CEVRXID), órgano que tiene atribuidas competencias en materia de seguridad".

- "Es decir, que nunca se trató de una decisión arbitraria y unilateral de LaLiga", y que tras la decisión de Antiviolencia en enero de 2023 de impulsar una modificación de la Ley contra la violencia, el racismo, la xenofobia y la intolerancia en el deporte de 2007 ha trabajado "estrechamente" con la misma, así como con el CSD y la Oficina Nacional del Deporte (OND), del Ministerio del Interior, en diversas reuniones celebradas en febrero, marzo y mayo de ese año.

- Que la propuesta de modificación resultante de aquellas, que fue revisada por la AEPD", se encuentra "a día de hoy en poder del CSD, a fin de poder habilitar a la CEVRXID para imponer la instalación de sistemas biométricos para el control de todos los accesos a las gradas de animación, dado que el criterio que sostenía reiteradamente la AEPD no resultaba contrario a la adopción de esta solución, tal y como nos manifestó el CSD tras diferentes reuniones que mantuvo con la AEPD a este respecto".

Concluyendo que "Desde el convencimiento de la necesidad de continuar avanzando en garantizar la seguridad de los jugadores y de los aficionados que acuden a nuestros estadios, LaLiga desarrollará todas las acciones que sean oportunas para lograr que se adopten las medidas legislativas que resulten adecuadas para afrontar la lacra que supone el aumento de las conductas violentas, racistas, xenófobas e intolerantes en el deporte".

Sin entrar en la controversia entre la sanción de la AEPD y las razones expuestas por la LNFP. En este artículo, lo que se trata de destacar es la imprescindible compatibilidad entre las medidas de seguridad, en estos casos, para el mantenimiento del orden y la tranquilidad en los estadios de fútbol, y los derechos de las personas.

Dado que el requisito que exige la AEPD previo a la instalación de un sistema biométrico es la evaluación de impacto en la protección de datos personales (EIPD) en referencia al tratamiento de datos biométricos, a continuación, se expone una información somera sobre dos de las cuestiones que parecen ser básicas en este caso que nos ocupa:

El RGPD los define en el art. 4.14 como “datos personales obtenidos a partir de un tratamiento técnico específico, relativos a las características físicas, fisiológicas o conductuales de una persona física que permitan o confirmen la identificación única de dicha persona, como imágenes faciales o datos dactiloscópicos”.

En cuanto a los tipos de datos biométricos, estos, esencialmente, son tres: 

- Datos biométricos morfológicos: Escaneo de huellas dactilares, escáner de iris, reconocimiento facial, geometría de la mano, control de retina, reconocimiento de venas de la mano y otros. 

- Datos biométricos conductuales: Reconocimiento de voz, ritmo del habla, reconocimiento de escritura a mano, dinámica de la firma, reconocimiento de gestos, forma de sostener un teléfono inteligente, la forma de caminar y otros. 

- Datos biométricos biológicos: El ADN (Ácido desoxirribonucleico).

Es una herramienta que permite evaluar de manera anticipada cuáles son los potenciales riesgos a los que están expuestos los datos personales en función de las actividades de tratamiento que se llevan a cabo con los mismos.

El análisis de riesgos para un determinado tratamiento permite identificar los riesgos que se ciernen sobre los datos de los interesados y establecer una respuesta adoptando las salvaguardas necesarias para reducirlos hasta un nivel de riesgo aceptable.

El RGPD prevé que las Evaluaciones de Impacto se lleven a cabo "antes del tratamiento" en los casos en que sea probable que exista un alto riesgo para los derechos y libertades de los afectados.

La evaluación deberá incluir como mínimo:

- Una descripción sistemática de las operaciones de tratamiento previstas y de los fines del tratamiento, inclusive, cuando proceda, el interés legítimo perseguido por el responsable del tratamiento.

- Una evaluación de la necesidad y la proporcionalidad de las operaciones de tratamiento con respecto a su finalidad.

- Una evaluación de los riesgos para los derechos y libertades de los interesados de las personas físicas.

- Las medidas previstas para afrontar los riesgos, incluidas garantías, medidas de seguridad y mecanismos que garanticen la protección de datos personales, y a demostrar la conformidad con el presente Reglamento, teniendo en cuenta los derechos e intereses legítimos de los interesados y de otras personas afectadas.

Cómo conclusión se quiere subrayar, que el empleo de las nuevas tecnologías aplicadas en el ámbito del deporte, para los controles de acceso y permanencia en los recintos deportivos, deben tener en cuenta los derechos de las personas y en el caso que nos ha ocupado, la protección de los datos personales como un derecho importante.

La importancia pudiera dimensionarse, entre otros parámetros a tener en cuenta, por la cuantía económica que supone las sanciones que pudieran corresponder a las infracciones cometidas.