200.000 euros de multa a la GSMA por usar reconocimiento facial en la entrada del MWC

En este enlace puedes ver toda la resolución completa. Es muy tajante y concluye así:

“De acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la directora de la Agencia Española de Protección de Datos, Mar España Martí, resuelve:  imponer a GSMA LIMITED, por una infracción del artículo 35 del RGPD, de conformidad con el artículo 83.4.a) del RGPD, y a efectos de prescripción, considerada como grave en el artículo 73.t) la LOPDGDD, una multa de 200.000 euros”.

El MWC presenta cada año su política de privacidad, con cláusulas que explican lo que harán con la cantidad de datos que los asistentes (unos 80.000-90.000 cada edición) aportan voluntariamente, incluidas las biométricas del reconocimiento facial.

La AEPD dictamina que en la edición de 2021 la feria vulneró varios fundamentos del Reglamento General de Protección de Datos (RGPD), un reglamento que, por si no lo desconocías, estamos obligados a cumplir también en nuestro sector de eventos.

A la hora de registrarse en el Mobile World Congress la GSMA exige a sus visitantes que se identifiquen y en 2021, en plena pandemia de Covid, la GSMA pidió a los asistentes que subiesen a una plataforma web una copia de su documento de identidad o pasaporte para luego acceder a Fira con reconocimiento facial.

El caso, al parecer, se origina por la denuncia de una ponente que no quiso subir su identificación al considerar que la organización del MWC no tenía la suficiente base legal como para exigir ese documento personal. La GSMA respondió que era un requerimiento de los Mossos. La AEPD ahora considera que no está «claro» cómo el Mobile trasladaría a los Mossos esos datos y entiende que el Mobile «debería reevaluar si dispone de una legitimación para esta actividad de transvase de datos».

Se pronuncia incluso con mayor contundencia por el uso de datos biométricos y de un sistema de reconocimiento facial para agilizar accesos al recinto. Este sistema también ha estado activo en la edición de 2023 (que te contamos en este artículo), pero fue en la de 2021 en la que la AEPD entiende que se celebró aquel tratamiento de datos sin que se realizara un informe previo exigido legalmente.

Como conclusión, esta multa nos sirve para recordar la responsabilidad al trabajar los datos de los asistentes a eventos y la necesidad de crear una política de privacidad que cumpla al dedillo la RGPD.