1/8 Expediente nº.: EXP202100603 RESOLUCIÓN DE RECURSO DE REPOSICIÓN Examinado el recurso de reposición interpuesto por GSMC EVENT PROJECT MANAGEMENT, S.L. NIF B64828973 (en lo sucesivo, la parte recurrente) en nombre de GSMA LIMITED, NIF N4004237F, contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos de fecha 24/02/2023, y en base a los siguientes HECHOS PRIMERO: Con fecha 24/02/2023, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el expediente EXP202100603, en virtud de la cual se imponía a GSMA LIMITED, con NIF N4004237F: “Por una infracción del artículo 35 del RGPD, de conformidad con el artículo 83.4.
(4)semanas después de la finalización del evento. Señala el apartado ¿cómo se utiliza y almacena en mis datos biométricos? que cada token biométrico se cifra y almacena en una base de datos separada de los datos sin procesar utilizados en su creación No obstante, en las FAQS de BREEZ se indica que a pesar de que no tiene contacto, todos los asistentes deben tener su credencial digital disponible para ingresar al perímetro externo del lugar y que la credencial digital también será la única forma de acceder a conferencias y sus sesiones de socios. 3) De acuerdo con la reclamada, la entidad SCANVIS con la que tiene un encargo de tratamiento del sistema de reconocimiento facial para el acceso a la sede, se encuentra en un país fuera de la UE, y GSMA ha suscrito cláusulas contractuales estándar con SCANVIS. Añade que los datos del MWC FR están alojados por Amazon Web Services («AWS») en Alemania. 4) La reclamada manifestó que en el MWC 2019, permitió que las copias en papel de los documentos de identificación se verificarán manualmente al acceder a la sede de MWC, opción que en 2021 se suprimió-salvo excepciones- por razones de salud y seguridad, con el fin de minimizar el riesgo de propagación de la COVID-19, reduciendo colas y las multitudes en los puntos de acceso. Esto está en consonancia con el “plan de acción de congresos de la Generalitat de Cataluña” al que está sujeto a la GSMA y que exige expresamente la sustitución de procesos manuales por procesos digitales. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/8 5) Según la reclamada al MWC 2021, asistieron aproximadamente 20.000 personas. 10) Antes del MWC de 2021, la reclamada disponía de un documento de EVALUACION DE IMPACTO que es aportado en alegaciones, titulado: “MWC20 Facial recognition process”, creado el 17/12/2019. Tiene nueve apartados con respuesta si/no, relacionados con los principios de protección de datos, figurando cero en toda clase de riesgos, riesgo residual, ninguno. En varias cuestiones reproduce el artículo del RGPD, y la respuesta: Si (ejemplo 4.5, 4.4, 4.6 entre otros) En el primer apartado: “general”, se indica que “es una nueva versión del proceso de reconocimiento facial actualizado para el 2020” (en él se mencionan eventos fechados en el Congreso de 2020, ninguno de 2021), y que el “termino BREEZ es el término orientado al cliente para nuestro proceso de reconocimiento facial”. Es una revisión del proyecto de 2019, en la que se incluyen sus cambios desde entonces, refiriendo el funcionamiento de BREEZ. En el apartado de ¿Cómo valorarías la importancia de la necesidad de las operaciones de tratamiento? (5.2) no se indica la actividad de tratamiento del reconocimiento facial, indicando: “Con el fin de satisfacer las medidas de seguridad en el evento, hemos sido instruidos por el Formulario de la Policía Española para poner en marcha procesos estrictos para garantizar que todos los asistentes sean examinados a través de una verificación de pasaporte/documento de identidad de la UE antes de que puedan ingresar en el recinto, y recoger sus credenciales. Los procesos heredados se basan en verificaciones manuales que pueden ser lentas y brindar una experiencia negativa en el evento. A través del uso de la tecnología descrita en este DPIA, podemos automatizarlos para permitir un uso mucho más proceso eficiente, así como un evento más preciso y seguro.” En el apartado 5.3 sobre la proporcionalidad de las operaciones de tratamiento solo se indica que sí, “para satisfacer los requerimientos, es necesario crear tokens biométricos basados en las fotografías”. El documento carece de evaluación de la necesidad y la proporcionalidad de las operaciones de tratamiento con respecto a su finalidad; el uso del reconocimiento facial para el acceso a los eventos, de su evaluación de los riesgos para los derechos y libertades de los interesados a que se refiere el apartado 1, del artículo 35 del RGPD y de las medidas previstas para afrontar los riesgos, incluidas garantías, medidas de seguridad y mecanismos que garanticen la protección de datos personales, y a demostrar la conformidad con el RGPD, teniendo en cuenta los derechos e intereses legítimos de los interesados y de otras personas afectadas. Igualmente, relaciona los datos de los pasaportes y tarjetas de identidad que manifiesta son exigidos por los Mossos d`Esquadra que presuntamente tienen una finalidad, para conectarlo con la foto que se hacen con el software, que inicia el proceso de reconocimiento facial, emparejando su identidad para facilitar el acceso.” TERCERO: La parte recurrente ha presentado en fecha 24/03/2023, en esta Agencia Española de Protección de Datos, recurso de reposición, fundamentándolo, básicamente, en: El incumplimiento del artículo 35 del RGPD que sanciona la resolución se refiere a la “falta de diligencia” en la elaboración de una evaluación de impacto de protección de datos (EIPD) para el tratamiento de datos biométricos del reconocimiento facial (“RF”) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/8 utilizado para el acceso al MOBILE WORLD CONGRESS (“MWC”) en su edición de 2021. Concretamente se indica que GSMA: “ha aportado una evaluación de impacto que fue meramente nominal, por cuanto no ha examinado sus aspectos sustantivos, ni valorado los riesgos ni la proporcionalidad y necesidad de la implantación del sistema, su afectación a los derechos y libertades de los interesados y sus garantías” En la graduación de la infracción se estimó, aplicando el artículo 83.2.
- a)del RGPD, que el uso del RF afectaba a la totalidad de los asistentes, 20 mil personas, sin discriminar los que de entre ellos utilizaron el sistema, que ascendió a 7.585 personas y que ya se manifestó durante la tramitación del expediente. Solicita que en función de que los datos reales para tener en cuenta en la agravación son de casi un tercio menos de personas de las consignadas, debería tenerse en cuenta para ajustar proporcionalmente la sanción a la baja. Aporta en un anexo, especificación en detalle de la cifra de personas que usaron el sistema de RF con detalle de accesos realizados. En el certificado, indica específicamente, que, de los 17.462 asistentes registrados, utilizan el RF para acceder al recinto 7.585 personas. Junto al certificado aporta unas 240 páginas en formato Excel, de registro de datos, que bajo el indicativo “Scan Date” van del 28 al 1/07/2021, (cuatro días), con un total de 7.585 registros asociados cada uno contiene su serie de identificador formado por letras y números, que se correspondería según lo alegado, con las personas registradas, se deduce que todas distintas, correspondientes a los asistentes, figurando: “ registros completados”, así como la hora de acceso “Scan Time” y la puerta por la que acceden. FUNDAMENTOS DE DERECHO I Competencia Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la Ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP) y el artículo 48.1 de la Ley Orgánica 3/2018, de 5/12, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD). II Contestación a las alegaciones presentadas Analizada la alegación de las personas afectadas en el alcance del tratamiento en relación con la circunstancia contenida en la resolución dentro del articulo 83.2
- a)del RGPD, se observa que, en el cuadro aportado, no se indica de esas personas, 7.585, una vez completado el registro, cuantas ocasiones accedían al día, o durante los cuatro días que duró el Congreso. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/8 En la resolución recurrida no se llega a considerar como hecho probado más que fueron 20.000 los asistentes, ahora certificado a 17 mil, tampoco que estuvieran directamente afectados por el tratamiento, esto es, que utilizaran el sistema RF. Por el contrario, se estimaba que, partiendo del hecho de tratarse de un evento de asistencia masiva, el número de registrados reales de 7.585 usuarios del RF, no desmiente ese factor. Esto es, se consideró como agravante el tipo de evento de asistencia masiva que se trataba, no el número exacto de afectados directos por este tipo de tratamiento. Además, dentro del tanto por ciento alto que representan los 7.585 asistentes que optaron por este sistema del RF, sobre el total de los 17.462, superaría el 40%, un grado elevado para entrar en consideración. Por lo demás, no se tiene estimación de la intensidad del uso del RF por días, por lo que se conviene aún con estos datos, que afecta a una gran masa de asistentes y que han de usar intensivamente el sistema, en cada ocasión que acceden a la sede. Este elemento agravatorio, junto con los no discutidos “intencionalidad o negligencia en la infracción” y especialmente la vinculación de la actividad profesional del tratamiento habitual de datos personales, no pude disminuir la antijuridicidad agravada que supone naturaleza del tratamiento y las personas afectadas sobre las que recae la infracción imputada, ausencia de una EIPD. Así pues, se estima que las circunstancias consideradas en la resolución se ajustan en su graduación. En cuanto a la alegación de la recurrente que considera se le sancionó por “falta de diligencia” en la EIPD, no se indicó tal extremo en la resolución, sino como referente a la conducta, para agravarla, no a la calificación de la EIPD. Lo que concluye la resolución es que una EIPD que no contempla sus elementos esenciales no es efectiva ni cumple objetivo alguno. III Conclusión En consecuencia, en el presente recurso de reposición, la parte recurrente no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por GSMC EVENT PROJECT MANAGEMENT, S.L. en nombre de GSMA LIMITED NIF N4004237F contra la resolución de esta Agencia Española de Protección de Datos dictada con fecha 24/03/2023, en el expediente EXP202100603. SEGUNDO: NOTIFICAR la presente resolución a GSMC EVENT PROJECT MANAGEMENT, S.L. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
- b)de la ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17/12, mediante su ingreso en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/8 la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), los interesados podrán interponer recurso contencioso-administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada LPACAP. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 180-111122 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es