La Agencia Española de Protección de multa a la Liga Nacional de Fútbol Profesional con 1.000.000 euros por aplicar controles biométricos para el acceso a los estadios, y condena al cese de esta práctica, - ya acordado con carácter provisional-, para salvaguardar el derecho fundamental de los abonados hasta en tanto no evalúe que la evaluación de impacto de protección de datos del tratamiento sea válida, atendidos los criterios de necesidad, idoneidad y proporcionalidad del tratamiento.
De hecho, la Agencia sugiere que es posible adoptar otras medidas para poder seguir controlando la entrada de forma correcta y legal con algún otro sistema “complementario” o “alternativo” al biométrico.
Aunque la Liga y los Clubes que pertenecen a ella tienen derecho a implantar un sistema de verificación de la identidad, lo que no pueden es hacerlo sin las garantías pertinentes y adecuadas para salvaguardar el derecho fundamental a la protección de datos personales.
Reprocha la Agencia Española de Protección de Datos que, a la hora de implantar el sistema de acceso, no se ha valorado la probabilidad del alto riesgo del tratamiento y se ha obviado la necesidad de la realización de la una evaluación de impacto en la protección de datos, máxime atendido el alto riesgo que es inherente a los datos biométricos, en su consideración como datos personales de características especiales.
De ahí extrae la Agencia la grave falta de diligencia imputable a la LNPF que no se puede amparar en una interpretación jurídica razonable de que no tenía que desplegar la obligación impuesta en el RGPD de evaluar el impacto en el tratamiento de datos. Además, desde el tiempo que lleva establecido su sistema tratando los datos de los espectadores de Clubes y SAD aun no se ha acometido este instrumento de garantía del tratamiento de datos.
Los sistemas de registro biométrico de identificación son per se muy intrusivos para los derechos y libertades fundamentales de las personas físicas, y el RGPD establece la obligación de gestionar el riesgo que suponen. Aunque el uso de estas tecnologías puede percibirse como particularmente eficaz, los responsables deben, en todo caso, evaluar el impacto en los derechos y libertades fundamentales y considerar como alternativos medios menos intrusivos para lograr su objetivo legítimo del tratamiento.
La LNFP es responsable del tratamiento de datos personales de carácter biométrico para el acceso a las gradas de animación de los estadios de fútbol de primera y segunda división, no solo al haber aprobado la norma que instaura como obligatoria para sus Clubs y SAD afiliados, como finalidad de lucha contra la violencia, el racismo, la intolerancia y la xenofobia, sino, también por delimitar en relación con el diseño del sistema mediante su filial tales medios que implican riesgos para los derechos y libertades de los abonados, y que debió contar y superar una previa EIPD.
En definitiva, el control de accesos mediante datos biométricos es desproporcionado. Tal y como ya se advirtió, la Agencia acuerda elevar a definitiva lo acordado como una suspensión temporal que evite la continuación del tratamiento de los datos personales a través del sistema de reconocimiento biométrico para los accesos a la grada de animación de los Clubes y SAD afiliados a la LIGA, en tanto no realice y supere una evaluación de impacto de protección de datos del tratamiento que sea válida, no obstante la imposición de la sanción pecuniaria por el tiempo en que la infracción ha venido consolidándose.