El Mobile World Congress, feria celebrada anualmente en Barcelona y considerada la mayor del sector de las telecomunicaciones en todo el mundo, ha sido multada con 200.000 euros por utilizar reconocimiento facial para el acceso al recinto, algo que lleva haciéndose varias ediciones.

La denuncia fue interpuesta por una ciudadana británica y finalmente la Agencia Española de Protección de Datos (AEPD) ha decidido imponer la sanción, histórica en cuantía para el congreso.

En la denuncia la ciudadana expresaba sus dudas por el posible envío de los datos biométricos a Rusia, dado que la empresa contratada por la GSMA (organizadora del Mobile World Congress) para el tratamiento de la información tiene sede en Bielorrusia. Sin embargo, en la resolución publicada por la AEPD la GSMA es clara:

• https://www.aepd.es/es/documento/reposicion-ps-00553-2021.pdf

Los servidores que procesan datos relacionados con ID se ubican en Europa. No hay transferencia de datos personales a Rusia. Nuestro proveedor de servicios elegido tiene una presencia global, a pesar de estar con sede en Bielorrusia. Tenga la seguridad de que la GSMA solo contrata a las empresas para que actúen en su nombre si dichas empresas son capaces de proporcionar representaciones y garantías contra la transferencia no autorizada a terceros”, concluye.

La AEPD es concluyente con su decisión: "A los efectos previstos en el art. 64.2 b) de la ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas, la sanción que pudiera corresponder sería de multa de 200.000 euros, según lo especificado, sin perjuicio de lo que resulte de la instrucción”, refleja la AEPD en la resolución.

Anastasia Dedyukhina iba a participar en una conferencia en el Mobile World Congress de Barcelona de 2021: “Me dedico a dar charlas, me interesa mucho ir a una feria tan grande”. La presencia física es básica en su trabajo, donde los contactos le llevan a nuevas ocasiones. “Aún era plena pandemia, pero tenía las vacunas, todo arreglado. Entonces me pidieron una prueba biométrica”, recuerda. Es decir, que subiera al sistema su pasaporte con la fotografía. La solicitud era para entrar a la feria con reconocimiento facial y eludir más contactos físicos. Ahí fue cuando comenzó un muy largo intercambio de e mails con representantes de GSMA, organizadores del Mobile, consultas con abogados y una protesta a la Agencia Española de Protección de Datos (AEPD) que ha acabado con una multa de 200.000 euros a los organizadores del Mobile.

Dedyukhina es ciudadana rusa y británica de 41 años, y especialista en bienestar digital que ha dado hablas TED. Cuando recibió aquella solicitud, se fue a leer la letra pequeña de los términos del Mobile: “Allí decían que podía optar por no subir mi documento”, explica, y presentarlo en persona una vez en Barcelona. Pero ese año no se permitía: el motivo eran los contagios de covid, le respondieron, y lo requieren los Mossos, la policía autonómica catalana.

“No me sentía cómoda, no es porque sea la gran defensora de la privacidad, solo porque conozco el Reglamento de Protección de Datos y sé que puedo preguntar”, razona a Forbes Hispano desde su vivienda en Londres. “Merecía al menos alguna explicación básica”, agrega. Esa explicación clara no llegó jamás y Dedyukhina terminó participando de forma virtual en el congreso. “Nunca me explicaron cómo iban a almacenar mi información. Pregunté una y otra vez, me mandaban enlaces que no funcionaban, borraron un párrafo de su web, editaban, nada cuadraba. Parecía negligencia, como si hubiera desacuerdo entre lo que decían y lo que estaba escrito en su web”, asevera Dedyukhina, que llegó a intercambiar correos con la responsable de datos de GSMA.

Uno de los inconvenientes añadidos de Dedyukhina es que había presuntamente servidores que iban a guardar esos datos fuera de la UE, conforme afirma ahora la resolución de la AEPD: “La entidad SCANVIS con la que tiene un encargo de tratamiento del sistema de reconocimiento facial para el acceso a la sede, se encuentra en un país fuera de la UE, y GSMA ha suscrito cláusulas contractuales estándar con SCANVIS”, desarrolla el organismo regulador. No estaba claro, por lo tanto, qué ocurría con esa información una vez subida. La AEPD ha sancionado a GSMA por transgredir el artículo treinta y cinco, que prevé que si un tratamiento de datos “entraña un alto riesgo para los derechos y libertades de las personas”, el responsable va a deber hacer “una evaluación del impacto”. Ese informe, conforme la AEPD, carecía “de evaluación de la necesidad y la proporcionalidad de las operaciones”.

Tras una solicitud de este periódico, GSMA ha hecho público un comunicado donde repite que la multa se debe al “enfoque de la GSMA para realizar una evaluación de impacto de la protección de datos para el uso de la tecnología de reconocimiento facial en el MWC 2021″. Además, asegura que toman “muy en serio la protección de datos” y que “emplean tecnología innovadora para brindar una experiencia segura” a los asistentes. Sobre la sanción, afirman que proseguirán colaborando con la AEPD y que están “revisando la resolución y considerando opciones para responder”. El comunicado asimismo asevera que jamás ha habido una “filtración de datos”.

La gente debe denunciar

Después de participar on line en el Mobile, Dedyukhina charló con un amigo letrado y presentó su demanda frente a la AEPD. “Hay varios problemas con el enfoque del MWC”, asegura Adam Leon Smith, especialista en protección de datos que cooperó en la demanda. “Sin embargo, el problema principal fue que no habían completado una evaluación de riesgos suficiente, no tenían claros asuntos importantes como el consentimiento, y afirmaron que los Mossos insistieron en la autenticación biométrica. Es improbable que la policía pida una tecnología específica”, asegura el letrado.

El Reglamento de Protección de Datos requiere que la gente presente protestas. Dedyukhina acepta que su resolución es algo más fácil pues está en el campo y conoce mejor sus derechos: “Para mí fue fácil preguntar y no tuve que pagar nada, si no es probable que me hubiera desanimado”, afirma. “El Mobile quería una foto de mi cara. Me negué y les han multado con 200.000 euros”. ¿Qué ha logrado realmente? “Bueno, no me toca nada de esos 200.000 euros y tendré problemas potenciales hasta el fin de mis días con el Mobile, pero es una satisfacción moral, lo hice por mi integridad profesional, porque cuento a la gente que la privacidad es importante”, reconoce.

Este detalle es clave: “El Reglamento de Protección de Datos funciona con denuncias. ¡La gente debe presentar quejas!”, critica Smith, el letrado. Sin el ahínco de ciudadanos como Dedyukhina estos casos no existirían. En la AEPD solo han encontrado otras 3 resoluciones por reconocimiento facial recientes en España. Una de 2,5 millones de euros contra Mercadona y otras dos menores. En todos y cada uno de los casos, hay un ciudadano o empleado que elevó la situación al regulador.

“Mi recomendación es, al menos, hacer preguntas”, resume Dedyukhina. “Eso pone presión en la compañía para que responda. Tenemos una especie de realidad retorcida donde yo debo demostrarlo, cuando en realidad son ellos quienes deben hacerlo. Pedir explicaciones por nuestros datos biométricos debería ser la nueva normalidad. Eso es lo que estamos dejando que ocurra al no preguntar”, razona.

Un caso como este tiene suficientes motivos a fin de que haya sanción, conforme Smith, mas es precisa una denuncia: “En este caso, esperaba una investigación, porque las prácticas parecían extrañas y había una empresa fuera de la UE que decía en su web que procesaba datos confidenciales. La lección principal que he aprendido es que si algo parece sospechoso en una política de privacidad, probablemente lo sea”, agrega.

Fuentes:

https://www.vozpopuli.com/economia_y_finanzas/multa-historica-mwc-usar-reconocimiento-facial-entrada.html

https://forbes.com.es/tecnologia/anastasia-dedukhyna-el-mobile-world-congress-queria-una-foto-de-mi-cara-me-negue-y-les-han-multado-con-200-000-euros-tecnologia/