Multan a una cadena de gimnasios de A Coruña por imponer el reconocimiento facial para acceder a las instalaciones

La Agencia Española de Protección de Datos (AEPD) ha multado con 96.000 euros a la cadena de gimnasios Supera, que cuenta con dos centros en A Coruña, por imponer el reconocimiento facial en el acceso a sus instalaciones. Así lo ha explicado este miércoles Facua-Consumidores en Acción. Esta empreas es también la que gestiona el centro deportivo de San Diego, aunque este no está entre de los que partió la denuncia.

Según detalla la asociación, la sanción, tres multas que originalmente sumaban 160.000 euros, quedó reducida finalmente en un 40% después de que la empresa propietaria, Sidecu SA, ha reconocido la infracción y realizado el pago voluntario.

Estos hechos fueron denunciados por Facua en el año 2023, después de tener conocimiento a través de sus socios de que los establecimientos de esta cadena de gimnasios habían implantado un sistema de reconocimiento facial como única forma de permitir el acceso. La asociación consideraba que se estaba realizando un tratamiento ilícito de los datos biométricos de los usuarios, lo que consistía una vulneración de la normativa de protección de datos.

La empresa, con sede en A Coruña, cuenta con 30 centros repartidos por toda España: Alicante, Almería, Burgos, Chiclana de la Frontera (Cádiz), Estepona (Málaga), Guadalajara, León, Marbella, Móstoles, Oviedo, Palencia, Parla, Rivas-Vaciamadrid, Santander, Sevilla, Talavera de la Reina, Toledo, Valencia y Valladolid.

La Agencia Española de Protección de Datos confirmó que existió una vulneración de la norma en los hechos denunciados. En concreto, tres infracciones del Reglamento General de Protección de Datos (RGPD) por haber vulnerado artículos referentes a la prohibición de tratamiento de determinados datos sin recabar el consentimiento expreso, entre otros.

En su resolución, la AEPD señala que los datos biométricos, siempre que se traten con la finalidad de identificar a una persona —como en el caso de un control de acceso—, entran dentro de la categoría de datos de carácter personal de categoría especial, según recoge el artículo 9 del RGPD, cuyo tratamiento está generalmente prohibido.

Un tratamiento que solo es posible si se ha recabado un "consentimiento explícito" del usuario. Consentimiento que la propia cadena de gimnasios Supera reconoció estar recabando de sus socios al entender erróneamente, según señala la AEPD en su resolución, que los datos biométricos pertenecientes a un patrón facial no eran datos personales.