El pasado 3 de marzo la Agencia Española de Protección de Datos (AEPD) publicó la Resolución del Procedimiento Sancionador al Futbol Club Barcelona (FCB o el Club). Éste se inició a raíz de diversas reclamaciones de socios tras haber recibido una solicitud del Club de identificarse mediante un proceso online con el fin de mantener actualizado el censo de socios. El procedimiento consistía en el cotejo de foto del Documento Nacional de Identidad o del Pasaporte con selfis en tiempo real y en movimiento; y la finalidad de la actualización era, además de cumplir con los Estatutos del Club, evitar fraudes tales como no comunicar al Club el fallecimiento de un socio por parte de familiares para seguir utilizando su carnet de abonado o la cesión del carnet de socio y abonado a terceros de forma onerosa. La falta de realización del trámite comportaba la baja como asociado.
Además, el proceso permitía a los socios, de manera voluntaria, la creación de un perfil digital mediante la grabación de su voz para evitar fraudes en trámites a distancia (compra de entradas, gestión del asiento libre, etc.).
En su respuesta al traslado de reclamación y solicitud de información, el FCB manifestó, entre otros: (i) que el procedimiento no era obligatorio, pudiendo el socio personarse en la Oficina de Atención al Barcelonista (OAB), aunque quedó probado que el club priorizó el procedimiento telemático, no indicando abiertamente la posibilidad de personarse para realizar el trámite, (ii) que los datos recabados no pueden considerarse categorías especiales de datos por ser un sistema que compara dos fotos y no una comparación unívoca del socio con una base de datos de un grupo, (iii) que habían analizado el ciclo de vida de los datos y se habían valorado los riesgos, concluyendo que el riesgo era bajo y, por lo tanto, no había necesidad de realizar una Evaluación de Impacto en protección de Datos (EIPD), y (iv) que del estudio de proporcionalidad se había concluido que era el sistema más idóneo debido a la cantidad de socios (143 000, de los cuales 14 511 menores de edad) y a la dispersión geográfica de los mismos.
Sin embargo, la AEPD refuta toda la argumentación del FCB, haciendo especial incidencia en la supuesta falta de necesidad de realización de un EIPD. En este sentido, la AEPD argumentó que sí que era necesaria la realización de un EIPD porque los tratamientos (tanto de actualización del censo como de creación de un perfil digital) cumplen con 5 de los criterios de la lista orientativa de tipos de tratamiento que requieren una evaluación de impacto relativa a la protección de datos según artículo 35.4 RGPD, siendo éstos: la toma de decisiones automatizadas (la comparación se produce sin intervención humana, a través de algoritmos), el uso de datos biométricos, el uso de datos a gran escala (la totalidad de sus socios), el tratamiento de datos de sujetos vulnerables (menores de 14 años) y el uso de nuevas tecnologías.
Aunque en un primer momento el FCB comunicó a la AEPD que de la valoración de riesgos se había concluido la falta de necesidad de realización de un EIPD, tras el acuerdo de inicio del procedimiento sancionador, el Club presentó dos informes de análisis que, a su entender, contenían los elementos imprescindibles del EIPD y que, por tanto, técnicamente sí se habían realizado.
Del estudio de los informes presentados, la AEPD resuelve que los informes presentados por el FCB no pueden tener la consideración ni de EIPD ni de Análisis de Riesgos, puesto que adolecen de los defectos siguientes: (i) los informes son de fecha posterior a la contratación de los encargados del tratamiento. Por lo tanto, es imposible que se hayan determinado los riesgos a la hora de decidir qué medidas de seguridad debía poner en marcha el encargado del tratamiento o incluso determinar si es posible llevar a cabo el tratamiento, (ii) el documento recoge las conclusiones sin ningún soporte documental. No existe trabajo previo con respaldo documental que demuestre la responsabilidad proactiva, (iii) se recoge la recomendación del DPD de que la actualización del censo por vía telemática tenga carácter voluntario, lo que indica la existencia de una vía menos invasiva, siendo la mayoría de socios residentes en Barcelona y área metropolitana, (iv) los informes indican la necesidad del tratamiento indicando que se han descartado otras alternativas, sin entrar a examinar -ni siquiera identificar- dichas alternativas (deficiente examen sobre la necesidad y proporcionalidad del tratamiento), (v) falta de conocimiento del tratamiento: la AEPD considera que el ciclo de vida de los datos que consta en los documentos es tan genérico que podría servir para cualquier tratamiento. Sin una descripción pormenorizada difícilmente pueden determinarse los riesgos, la probabilidad e impacto y la adopción de medidas técnicas y organizativas apropiadas, (vi) no consta que se haya recabado la opinión de personas asociadas (requisito explícito en el contenido del EIPD), (vii) no se define un plan de acción y seguimiento.
Finalmente, indica la AEPD que los informes “parecen más bien un mero respaldo formal a una decisión tomada”, recordando que los estudios de riesgos y las evaluaciones de impacto, no son una mera formalidad, sino verdaderas obligaciones materiales para cumplir con el principio de responsabilidad proactiva y “dar cobertura al pilar del enfoque de riesgos del RGPD”.
Esta Resolución va en línea con la también reciente sanción a AENA por la creación de un sistema de reconocimiento facial sin la realización previa del correspondiente análisis de riesgos y en la que la AEPD concluye que la EIPD no incluye la totalidad de los riesgos concurrentes, no contiene riesgo inherente sino riesgo residual de cada una de ellas, las medidas de mitigación no son tales y en muchos casos ni se califican como de mitigación, eliminación, etc., y, sobre todo, no contiene la evaluación del nivel global del riesgo. Además, la AEPD entiende que el análisis de proporcionalidad no se hizo desde el punto de vista de la protección de datos sino desde el cumplimiento de criterios de atención comercial, eficacia y eficiencia.
Por lo tanto, esta resolución viene a insistir en la importancia del Principio de Responsabilidad Proactiva y la Protección de Datos desde el Diseño y por Defecto. La falta de cumplimiento le ha costado al FCB una sanción de 500 000€ y a AENA de 10 000 000 € (0,228% del volumen de negocio).
