Resolución N° 13/026 denuncia
Montevideo, 18 de junio de 2026.
VISTO: La denuncia realizada por el uso de datos biométricos.
RESULTANDO: 1. Que, se presenta ante esta denuncia contra Solanas Vacation Club Crystal Beach por el uso de sistema de reconocimiento facial en aparente infracción a la normativa vigente de protección de datos personales.
2. Que se indica que en el año 2025 se implementó reconocimiento facial en forma obligatoria para ingresar a la Laguna (Crystal Beach), incluido el acceso por parte de niños menores de edad. Se manifiesta en la denuncia que quienes contratan el servicio de acceso a la laguna tienen que usar una pulsera de color violeta, y quienes no tienen acceso al servicio, tienen pulseras de otros colores, por lo que se entiende por los denunciantes que existe otro sistema de identificación para el ingreso
3. Que se agrega en la denuncia que no existe contrato alguno en el que se indique que es condición para el acceso a la laguna el escaneo facial, ni aclaraciones con relación al uso de los datos personales de los menores de edad, aunque se habría informado por la denunciada que la base de datos se encontraría registrada ante esta Unidad bajo la razón social Romanlyr S.A.
4. Que, de la denuncia presentada, se dio vista a la denunciada, la que expresa que el problema deriva de la falta de información proveída por la empresa que realizó la reserva del alojamiento a los denunciantes respecto de la implantación del sistema de reconocimiento facial para ingresar a la laguna. Aclara que el registro biométrico es preceptivo para el ingreso a esta instalación, forma parte del reglamento interno publicado, y es la norma establecida para todos los huéspedes.
5. Que, la denunciada indica que registró su base de datos en junio de 2025 y que, además, al momento del ingreso se genera una constancia que firman los huéspedes sobre el conocimiento del reglamento interno.
6. Que, adicionalmente, y a solicitud de esta Unidad, la denunciada agregó la evaluación de impacto realizada en el marco de la utilización de datos biométricos, de conformidad con el artículo 18 bis de la Ley N° 18.331, de 11 de agosto de 2008.
7. Que, finalmente, y solicitadas aclaraciones respecto de la motivación para la implementación del mecanismo de acceso biométrico, se señala por la denunciada que éste fue precedido por un control manual que no dio resultados, y, en relación con el tratamiento de datos personales de menores si bien no se realiza un tratamiento especial, en referencia a los datos allí contenidos, los mismos duran lo que dure la estadía del huésped.
CONSIDERANDO: 1. Que, en el presente caso, se discute la implementación del método de reconocimiento facial, que implica el tratamiento de datos biométricos (en la definición del artículo 4 literal ñ de la Ley N° 18.331).
2. Que, según el artículo 18 bis de la misma norma, en esos casos se debe realizar una evaluación de impacto. Además, conforme con el artículo 9° de la Ley se necesita contar con el previo consentimiento informado del titular o la posibilidad de aplicar alguna de las excepciones allí previstas.
3. Que, por su parte, de acuerdo con los artículos 8 y 12 de la misma norma (este último en la redacción dada por el artículo 39 de la Ley N° 19.670, de 15 de octubre de 2018), la utilización de este tipo de tecnología implica realizar un análisis de proporcionalidad considerando las finalidades pretendidas y la existencia de tecnologías menos intrusivas o lesivas, más allá de que la tecnología que utiliza información biométrica se encuentre disponible en el mercado.
4. Que, en el marco de la responsabilidad proactiva consagrada en el artículo 12 precitado, es necesario que los responsables y encargados de tratamiento consideren a la protección de datos personales como un elemento necesario desde el diseño de los sistemas, es decir, aplicar la privacidad por diseño.
5. Que en el caso surge probado que se informa a las personas a través del reglamento interno de la existencia de control biométrico para el acceso a las instalaciones y se recaba el consentimiento mediante la “constancia”, además de haberse registrado la base de datos correspondiente, y realizado la evaluación de impacto exigida por la reglamentación –aunque en este último caso no se efectuó en forma previa sino en el decurso de estas actuaciones, incumpliendo la normativa vigente-. Ello, además, luego de intentar el uso de otros medios para el control pretendido, que no dieron los resultados esperados.
ATENTO: a lo expuesto e informado,
El Consejo Ejecutivo de la Unidad de la Unidad Reguladora y de Control de Datos Personales
RESUELVE:
Observar a Romanlyr S.A. por no haber dado cumplimiento a lo dispuesto en el artículo 18 bis de la Ley N° 18.331, de 11 de agosto de 2008 en tiempo y forma.
Indicar a Romanlyr S.A. que deberá realizar un monitoreo continuo del funcionamiento del sistema, y adoptar medidas adicionales para la protección de los menores de edad, presentando los resultados del monitoreo y las medidas adoptadas ante esta Unidad en un plazo de 3 meses a contar de la notificación de la presente resolución.
Notifíquese, publíquese y archívese.
Firmado por : Federico Monteverde
Consejo Ejecutivo
URCDP