El cost de la manca de protecció de dades des del disseny – Sanció al Futbol Club Barcelona

El passat 3 de març, l’Agència Espanyola de Protecció de Dades (AEPD) va publicar la Resolució del Procediment Sancionador contra el Futbol Club Barcelona (FCB o el Club).

Aquest procediment es va iniciar arran de diverses reclamacions presentades per socis després d’haver rebut una sol·licitud del Club perquè s’identifiquessin mitjançant un procés en línia amb la finalitat de mantenir actualitzat el cens de socis.

El procediment consistia en la comparació de la fotografia del Document Nacional d’Identitat (DNI) o del passaport amb selfies capturats en temps real i amb moviment. La finalitat d’aquesta actualització era, a més de donar compliment als Estatuts del Club, evitar fraus com ara que els familiars no comuniquessin al Club la defunció d’un soci per continuar utilitzant el seu carnet d’abonat, o bé la cessió onerosa del carnet de soci i d’abonat a terceres persones. La manca de realització d’aquest tràmit comportava la baixa com a soci.

A més, el procés permetia als socis, de manera voluntària, crear un perfil digital mitjançant l’enregistrament de la seva veu amb l’objectiu de prevenir fraus en tràmits a distància (compra d’entrades, gestió del seient lliure, etc.).

En la seva resposta al trasllat de la reclamació i a la sol·licitud d’informació formulada per l’AEPD, el FCB va manifestar, entre altres qüestions:

1. Que el procediment no era obligatori, ja que el soci podia personar-se a l’Oficina d’Atenció al Barcelonista (OAB). No obstant això, va quedar acreditat que el Club havia prioritzat el procediment telemàtic sense informar expressament de la possibilitat de realitzar el tràmit de manera presencial.
2. Que les dades recollides no podien considerar-se categories especials de dades, atès que el sistema únicament comparava dues fotografies i no efectuava una identificació biomètrica unívoca del soci mitjançant una base de dades.
3. Que s’havia analitzat el cicle de vida de les dades i s’havien avaluat els riscos, concloent que el nivell de risc era baix i que, per tant, no era necessari dur a terme una Avaluació d’Impacte en Protecció de Dades (AIPD).
4. Que l’anàlisi de proporcionalitat havia conclòs que aquest era el sistema més adequat tenint en compte el nombre de socis (143.000, dels quals 14.511 eren menors d’edat) i la seva dispersió geogràfica.

No obstant això, l’AEPD rebutja tota l’argumentació presentada pel FCB, incidint especialment en la suposada manca de necessitat de realitzar una Avaluació d’Impacte en Protecció de Dades.

En aquest sentit, l’Agència considera que l’AIPD era obligatòria perquè els tractaments efectuats —tant l’actualització del cens com la creació del perfil digital— compleixen cinc dels criteris inclosos a la llista orientativa dels tractaments que requereixen una avaluació d’impacte relativa a la protecció de dades d’acord amb l’article 35.4 del RGPD.

Aquests criteris són:

• La presa de decisions automatitzades (la comparació es realitza sense intervenció humana, mitjançant algoritmes).
• L’ús de dades biomètriques.
• El tractament de dades a gran escala (la totalitat dels socis del Club).
• El tractament de dades de persones vulnerables (menors de 14 anys).
• L’ús de noves tecnologies.

Tot i que, en un primer moment, el FCB va comunicar a l’AEPD que, com a resultat de l’avaluació de riscos, s’havia conclòs que no era necessari dur a terme una Avaluació d’Impacte en Protecció de Dades (AIPD), després de l’acord d’inici del procediment sancionador el Club va presentar dos informes d’anàlisi que, segons el seu criteri, contenien els elements imprescindibles d’una AIPD i que, per tant, demostraven que aquesta s’havia realitzat tècnicament.

Després d’analitzar la documentació aportada, l’AEPD conclou que els informes presentats pel FCB no poden ser considerats ni una AIPD ni una Anàlisi de Riscos, ja que presenten les següents deficiències:

1. Els informes tenen una data posterior a la contractació dels encarregats del tractament. Per tant, és impossible que els riscos s’haguessin identificat abans de decidir quines mesures de seguretat havia d’implantar l’encarregat del tractament o, fins i tot, abans de determinar si el tractament era viable.
2. El document recull únicament les conclusions, sense cap suport documental. No existeix un treball previ degudament documentat que acrediti el compliment del principi de responsabilitat proactiva.
3. Els informes incorporen la recomanació del Delegat de Protecció de Dades (DPD) que l’actualització del cens per via telemàtica tingués caràcter voluntari, fet que posa de manifest l’existència d’una alternativa menys invasiva, especialment tenint en compte que la majoria dels socis resideixen a Barcelona i a la seva àrea metropolitana.
4. Els informes justifiquen la necessitat del tractament afirmant que s’han descartat altres alternatives, però sense analitzar-les ni tan sols identificar-les, fet que evidencia una valoració insuficient de la necessitat i de la proporcionalitat del tractament.
5. Manca de coneixement del tractament. L’AEPD considera que la descripció del cicle de vida de les dades inclosa en els informes és tan genèrica que podria servir per a qualsevol tractament. Sense una descripció detallada és impossible determinar adequadament els riscos, la seva probabilitat, el seu impacte i les mesures tècniques i organitzatives necessàries per mitigar-los.
6. No consta que s’hagi recollit l’opinió de les persones associades, requisit expressament previst en el contingut d’una AIPD.
7. No es defineix cap pla d’acció ni de seguiment dels riscos identificats.

Finalment, l’AEPD assenyala que els informes «semblen més aviat un simple suport formal a una decisió ja presa», recordant que tant les anàlisis de riscos com les avaluacions d’impacte no constitueixen una mera formalitat, sinó autèntiques obligacions materials necessàries per donar compliment al principi de responsabilitat proactiva i sustentar el model d’enfocament basat en el risc previst pel RGPD.

Aquesta Resolució s’alinea amb la també recent sanció imposada a AENA per la implantació d’un sistema de reconeixement facial sense haver realitzat prèviament l’anàlisi de riscos corresponent. En aquest cas, l’AEPD conclou que l’Avaluació d’Impacte en Protecció de Dades (AIPD) no inclou la totalitat dels riscos concurrents, no identifica els riscos inherents sinó únicament els riscos residuals, les mesures proposades no poden considerar-se veritables mesures de mitigació —i, en molts casos, ni tan sols es qualifiquen com a mesures de mitigació o eliminació del risc— i, sobretot, no incorpora una avaluació del nivell global del risc.

A més, l’AEPD considera que l’anàlisi de proporcionalitat no es va dur a terme des de la perspectiva de la protecció de dades, sinó atenent exclusivament criteris d’atenció comercial, eficàcia i eficiència.

Per tant, aquesta Resolució torna a posar de manifest la importància del Principi de Responsabilitat Proactiva i de la Protecció de Dades des del Disseny i per Defecte. L’incompliment d’aquests principis ha comportat una sanció de 500.000 € al FC Barcelona i de 10.000.000 € a AENA, l’equivalent al 0,228 % del seu volum de negoci.