L' Agenzia per la protezione dei dati personali ha multato Loro Parque di 250.000 euro per il suo sistema di accesso tramite impronte digitali ai suoi parchi di Tenerife . Nello specifico, ritiene che i dati biometrici "siano dati il cui utilizzo può comportare rischi significativi per i diritti e le libertà fondamentali, e pertanto il loro utilizzo è inizialmente vietato".
L'agenzia ha respinto il ricorso del Gruppo Kiessling e ha confermato la violazione, classificata come "molto grave". Ora è possibile presentare ricorso amministrativo. Oltre alla multa, ordina all'azienda di porre fine alla procedura entro 30 giorni e di vietare l'ingresso nei suoi parchi.
La sanzione nasce dalle denunce presentate nel 2022 da tre clienti, i quali hanno affermato che, acquistando i biglietti per l'accesso congiunto al Loro Parque (zoo) e al Siam Park (parco acquatico) di Tenerife, con la cosiddetta offerta Twin Ticket (TT), gestita dalla società, "è obbligatorio fornire le impronte digitali per l'accesso, anche per i minorenni, senza essere informati al momento dell'acquisto del biglietto".
La risoluzione dell'Agenzia per la protezione dei dati afferma che il sito web del Loro Parque spiega la sua politica sulla protezione dei dati in una sezione, ma "non contiene alcuna informazione sull'uso di tecniche biometriche per l'accesso ai parchi con i biglietti TT".
Con il sistema di accesso TT in uso all'epoca, l'ingresso ai due parchi dell'azienda – il parco acquatico e lo zoo – era scontato, ma doveva essere utilizzato dalla stessa persona entro un periodo inferiore a sei mesi. Il sistema era stato selezionato per la raccolta di campioni di impronte digitali biometriche per l'accesso ai parchi.
L'azienda ha affermato che il sistema non memorizzava le immagini delle impronte digitali né consentiva di associarle a individui. Secondo il fascicolo, l'azienda ha spiegato di aver utilizzato una "rappresentazione matematica" o "minuzie" dell'impronta digitale, che, secondo Loro Parque, non costituisce un dato personale né è reversibile per identificare l'individuo.
"Per verificare se la stessa persona che accedeva al secondo parco con il sistema offerto da TT fosse la stessa persona, è stata utilizzata una rappresentazione matematica dell'impronta digitale, che non è utile per identificare il cliente perché non fornisce alcuna informazione personale." "La conservazione è limitata al tempo necessario per identificare il visitatore", assicura l'azienda.
"I dati delle impronte digitali saranno conservati solo finché la carta o il biglietto in questione saranno validi e saranno distrutti immediatamente quando non saranno più validi, tutelando così la privacy e la sicurezza dell'utente. I dettagli delle impronte digitali, sotto forma di rappresentazione matematica (modello biometrico), vengono archiviati in un database crittografato", ha dichiarato l'azienda.
Loro Parque ha inoltre sostenuto che, non trattando i dati personali, non era soggetto agli obblighi previsti dalla normativa sulla protezione dei dati e che la sanzione proposta era sproporzionata. Ha inoltre chiesto l'annullamento del procedimento "per aver contestato atti relativi al trattamento dei dati personali in cui l'utente non è identificato, di cui non è responsabile, causando l'indifesa". "In primo luogo, si denuncia un atto illecito senza prove sufficienti, e poi si apre un periodo probatorio senza affrontare le accuse formulate nella fase preliminare", ha aggiunto.
L'agenzia sostiene che il modello biometrico consente di identificare la persona
L'AEPD, da parte sua, ritiene che la "rappresentazione matematica" o il "modello biometrico" ottenuto dai dettagli di un'impronta digitale costituisca un dato personale biometrico ai sensi dell'articolo 4.14 del Regolamento generale sulla protezione dei dati. Ha inoltre concluso che Loro Parque potrebbe utilizzare questo sistema per identificare l'utente e collegare le informazioni all'accesso.
L'agenzia chiarisce inoltre che Loro Parque è il "titolare del trattamento dei dati", in quanto determina le finalità e le modalità del trattamento dei dati, e che le società esterne agiscono in qualità di "responsabili" del trattamento.
Nella sanzione, l'agenzia insiste sul fatto che "nel caso analizzato nella risoluzione impugnata, è stato dimostrato che i dati biometrici memorizzati sotto forma di modello, interpretabile da una macchina, consentono di identificare un individuo, in modo che, alla seconda visita, la stessa persona, al momento dell'accesso, posizionando l'impronta digitale sul terminale, attraverso una procedura di confronto dei modelli, se presenta una corrispondenza che supera la soglia stabilita per consentire l'accesso, potrà ottenere l'accesso".
"Pertanto, la ricerca durante la seconda visita al parco viene effettuata utilizzando i dati personali precedentemente ottenuti e, a partire da questi dati, identifica quello che corrisponde all'impronta digitale presentata tra tutti i modelli. Pertanto, in questo caso, funge da identificatore univoco per la persona, avendo confermato che è stato utilizzato un modello biometrico o una rappresentazione matematica basata sull'impronta digitale, registrandolo e memorizzandolo, al fine di verificare che la stessa persona stia accedendo a entrambi i parchi", insiste.
L'agenzia insiste sul fatto che è "un fatto provato che esistono informazioni sulla persona che acquista il TT e che questa persona potrebbe essere la stessa che accede ai parchi. Le informazioni su questa persona vengono ottenute sotto forma di rappresentazione matematica pronta per essere utilizzata dal momento in cui viene richiesta un'impronta digitale al primo accesso, che viene poi memorizzata ed elaborata. Dal momento dell'acquisto, l'operazione avviene tramite il software".
