¿Resulta licito el uso de fotografías de los clientes con finalidades de verificación de consumo por parte de los establecimientos hoteleros?
La respuesta a esta pregunta la encontramos en la reciente Sentencia de la Audiencia Nacional, de lo Contencioso-administrativo de fecha 18 de marzo de 2024, en la que se impugna resolución de la AEPD por la que se interpone multa por el importe de 30.000.-€ a una cadena hotelera de Mallorca por el uso de la fotografía de los clientes (obtenidas del pasaporte o cualquier otro documento identificativo) para facilitar al personal del hotel la identificación del cliente que está haciendo uso de la tarjeta de crédito o habitación, con la finalidad de controlar el acceso al establecimiento.
Pues bien, la AEPD entiende que el uso de dicha fotografía no puede resultar amparada en la existencia de un interés legítimo, al que se refiere el artículo 6.1.f) del RGPD, ya que se considera que no queda justificado de forma suficiente para permitir prueba de ponderación entre el interés del responsable y los derechos del interesado, lo que resulta necesario para determinar la licitud de los tratamientos efectuados.
Como consecuencia de ello, la demandante (cadena hotelera) solicita la nulidad de la resolución impugnada fundamentando sus alegaciones en los siguientes motivos, los cuales se exponen de forma resumida:
- El dato obtenido por el interesado y objeto del tratamiento es una fotografía obtenida del pasaporte o documento identificativo en base al interés legitimo del responsable. Justificando su uso, en que no se puede lograr el objetivo perseguido de otro modo.
- Uso de las medidas técnicas y organizativas apropiadas para asegurar el cumplimiento del RGPD.
- En cuanto a los métodos propuestos por las autoridades de control se entienden como insuficientes para confirmar que el poseedor de la tarjeta ostenta el derecho a utilizarla.
Teniendo en consideración lo anterior y adentrándonos en materia de protección de datos, para que se pueda considerar la existencia de un interés legitimo se debe realizar un juicio de ponderación entre dicho interés y el del interesado, el cual y según lo entendido por la Audiencia Nacional, no fue realizado correctamente, ya que no se informó debidamente al titular de los datos de la finalidad del tratamiento de la fotografía, considerando dicho tratamiento como ilícito.
Sin perjuicio de lo anterior, se gradúa la sanción interpuesta por la AEPD como consecuencia de la no concurrencia de alguna de las agravantes apreciadas en la resolución de ésta como criterio para graduar la sanción y la presencia de atenuantes de la responsabilidad, se procede a moderar el importe de la multa a la cantidad de 15.000.-€.
