“El Mobile World Congress quería una foto de mi pasaporte. Me negué y les han multado con 200.000 euros”

Anastasia Dedyukhina iba a participar en una conferencia en el Mobile World Congress de Barcelona de 2021: “Me dedico a dar charlas, me interesa mucho ir a una feria tan grande”. La presencia física es básica en su trabajo, donde los contactos le llevan a nuevas oportunidades. “Aún era plena pandemia, pero tenía las vacunas, todo arreglado. Entonces me pidieron una prueba biométrica”, recuerda. Es decir, que subiera al sistema su pasaporte con la foto. La petición era para entrar a la feria con reconocimiento facial y evitar más contactos físicos. Ahí fue cuando empezó un larguísimo intercambio de emails con representantes de GSMA, organizadores del Mobile, consultas con abogados y una queja a la Agencia Española de Protección de Datos (AEPD) que ha acabado con una multa de 200.000 euros a los organizadores del Mobile.

Dedyukhina es ciudadana rusa y británica de 41 años, y experta en bienestar digital que ha dado charlas TED. Cuando recibió aquella petición, se fue a leer la letra pequeña de los términos del Mobile: “Allí decían que podía optar por no subir mi documento”, explica, y presentarlo en persona una vez en Barcelona. Pero ese año no se permitía: el motivo eran los contagios de covid, le contestaron, y lo requieren los Mossos, la policía autonómica catalana.

“No me sentía cómoda, no es porque sea la gran defensora de la privacidad, solo porque conozco el Reglamento de Protección de Datos y sé que puedo preguntar”, razona a EL PAÍS desde su residencia en Londres. “Merecía al menos alguna explicación básica”, añade. Esa explicación clara no llegó nunca y Dedyukhina acabó participando de manera virtual en el congreso. “Nunca me explicaron cómo iban a almacenar mi información. Pregunté una y otra vez, me mandaban enlaces que no funcionaban, borraron un párrafo de su web, editaban, nada cuadraba. Parecía negligencia, como si hubiera desacuerdo entre lo que decían y lo que estaba escrito en su web”, afirma Dedyukhina, que llegó a intercambiar correos con la encargada de datos de GSMA.

Uno de los problemas añadidos de Dedyukhina es que había presuntamente servidores que iban a almacenar esos datos fuera de la UE, según dice ahora la resolución de la AEPD: “La entidad SCANVIS con la que tiene un encargo de tratamiento del sistema de reconocimiento facial para el acceso a la sede, se encuentra en un país fuera de la UE, y GSMA ha suscrito cláusulas contractuales estándar con SCANVIS”, desarrolla el organismo regulador. No estaba claro, por tanto, qué ocurría con esa información una vez subida. La AEPD ha sancionado a GSMA por infringir el artículo 35, que prevé que si un tratamiento de datos “entraña un alto riesgo para los derechos y libertades de las personas”, el responsable deberá hacer “una evaluación del impacto”. Ese informe, según la AEPD, carecía “de evaluación de la necesidad y la proporcionalidad de las operaciones”.

Tras una petición de este periódico, GSMA ha hecho público un comunicado donde repite que la multa se debe al “enfoque de la GSMA para realizar una evaluación de impacto de la protección de datos para el uso de la tecnología de reconocimiento facial en el MWC 2021″. Además, asegura que toman “muy en serio la protección de datos” y que “emplean tecnología innovadora para brindar una experiencia segura” a los asistentes. Sobre la sanción, dicen que seguirán cooperando con la AEPD y que están “revisando la resolución y considerando opciones para responder”. El comunicado también afirma que nunca ha habido una “filtración de datos”.

La gente tiene que denunciar

Después de participar online en el Mobile, Dedyukhina habló con un amigo abogado y presentó su denuncia ante la AEPD. “Hay varios problemas con el enfoque del MWC”, asegura Adam Leon Smith, experto en protección de datos que colaboró en la denuncia. “Sin embargo, el problema principal fue que no habían completado una evaluación de riesgos suficiente, no tenían claros asuntos importantes como el consentimiento, y afirmaron que los Mossos insistieron en la autenticación biométrica. Es improbable que la policía pida una tecnología específica”, asegura el abogado.

El Reglamento de Protección de Datos requiere que la gente presente quejas. Dedyukhina admite que su decisión es algo más sencillo porque está dentro del sector y conoce mejor sus derechos: “Para mí fue fácil preguntar y no tuve que pagar nada, si no es probable que me hubiera desanimado”, dice. “El Mobile quería una foto de mi pasaporte. Me negué y les han multado con 200.000 euros”. ¿Qué ha conseguido en realidad? “Bueno, no me toca nada de esos 200.000 euros y tendré problemas potenciales hasta el fin de mis días con el Mobile, pero es una satisfacción moral, lo hice por mi integridad profesional, porque cuento a la gente que la privacidad es importante”, reconoce.

Este detalle es clave: “El Reglamento de Protección de Datos funciona con denuncias. ¡La gente debe presentar quejas!”, critica Smith, el abogado. Sin el esfuerzo de ciudadanos como Dedyukhina estos casos no existirían. En la AEPD solo han encontrado otras tres resoluciones por reconocimiento facial recientes en España. Una de 2,5 millones de euros contra Mercadona y otras dos menores. En todos los casos, hay un ciudadano o empleado que elevó la situación al regulador.

“Mi recomendación es, al menos, hacer preguntas”, resume Dedyukhina. “Eso pone presión en la compañía para que responda. Tenemos una especie de realidad retorcida donde yo debo demostrarlo, cuando en realidad son ellos quienes deben hacerlo. Pedir explicaciones por nuestros datos biométricos debería ser la nueva normalidad. Eso es lo que estamos dejando que ocurra al no preguntar”, razona.

Un caso como este tiene suficientes motivos para que haya sanción, según Smith, pero es necesaria una denuncia: “En este caso, esperaba una investigación, porque las prácticas parecían extrañas y había una empresa fuera de la UE que decía en su web que procesaba datos confidenciales. La lección principal que he aprendido es que si algo parece sospechoso en una política de privacidad, probablemente lo sea”, añade.

Puedes seguir a EL PAÍS Tecnología en Facebook y Twitter o apuntarte aquí para recibir nuestra newsletter semanal.