De Spaanse privacytoezichthouder AEPD heeft een dierentuin in Tenerife wegens het overtreden van de AVG een boete van 250.000 euro opgelegd. De dierentuin verplichte eind 2022 een vingerafdrukscan van bezoekers die een ticket voor zowel de dierentuin als een waterpark hadden gekocht. Via een "twin ticket" is het mogelijk om zowel de dierentuin als het waterpark te bezoeken, die van dezelfde eigenaar zijn (pdf).

Om te controleren dat dezelfde gast het ticket in de twee parken gebruikte werd een biometrisch controlesysteem geïmplementeerd. Daarnaast moesten gasten ook de QR-code van het ticket laten scannen. Volgens de dierentuin was de maatregel noodzakelijk om te controleren dat het ticket wel door dezelfde persoon werd gebruikt. De biometrische data werd volgens de dierentuin na het bezoek van beide parken verwijderd. Daarnaast zou er geen persoonlijke data worden verwerkt, aangezien personen niet via de vingerafdrukdata werden geïdentificeerd, maar creëerde het systeem op basis van de vingerafdruk een template.

Volgens de Spaanse privacytoezichthouder is er bij het verwerken van vingerafdrukken wel degelijke sprake van het verwerken van persoonlijke data. AVG Artikel 9 verbiedt daarnaast het verwerken van biometrische data om een persoon te identificeren, tenzij er aan bepaalde uitzonderingen is voldaan. In dit geval waren de uitzonderingen niet op de dierentuin van toepassing oordeelde de AEPD. Zo kon er geen beroep worden gedaan op toestemming van gasten. Het feit dat gasten de tickets vrijwillig kochten wil niet zeggen dat men ook automatisch akkoord ging met het verwerken van hun biometrische data.

De AEPD stelde ook vast dat de dierentuin geen Data Protection Impact Assessment (DPIA) had uitgevoerd om de risico's van de biometrische gegevensverwerking in kaart te brengen en mitigeren. Verder werden gasten niet over het gebruik van het systeem geïnformeerd. Volgens de Spaanse privacytoezichthouder is er sprake van een ernstige overtreding van de AVG, aangezien het hier om de verwerking van gevoelige persoonlijke data gaat, waaronder die van minderjarigen. Daarnaast was het biometrische systeem disproportioneel, aangezien er ook andere, minder ingrijpende alternatieven voorhanden waren. Een boete van 250.000 euro vond de AEPD passend.