Πρόστιμο 200.000 ευρώ για την επεξεργασία βιομετρικών δεδομένων επισκεπτών στο συνέδριο Mobile World Congress

Κατά το χρονικό διάστημα από 28 Ιουνίου έως 1 Ιουλίου 2021 διοργανώθηκε το ετήσιο συνέδριο – έκθεση Mobile World Congress στη Βαρκελώνη.

Σύμφωνα με τους όρους της διοργανώτριας οργάνωσης GSMA, προϋπόθεση για τη δια ζώσης παρουσία των συμμετεχόντων ήταν η δημιουργία λογαριασμού μέσω του ιστοτόπου του συνεδρίου, η δήλωση συμμετοχής και το ανέβασμα εγγράφου ταυτοποίησης.

Το ανέβασμα του εγγράφου ταυτοποίησης, το οποίο δεν ήταν υποχρεωτικό για όσους επιθυμούσαν να συμμετάσχουν διαδικτυακά, αποσκοπούσε στη συλλογή στοιχείων των συμμετεχόντων.

Παράλληλα, για όσους αιτούντες συναινούσαν ρητώς σε αυτό, η φωτογραφία από το έγγραφο ταυτοποίησης μπορούσε να χρησιμοποιηθεί για την εξαγωγή βιομετρικού υποδείγματος, το οποίο έδινε τη δυνατότητα συμμετοχής και κυκλοφορίας στο συνέδριο χωρίς διαδικασίες επιβεβαίωσης εισόδου - εγγραφής και χορήγησης διακριτικών.

Μια εκ των συμμετεχόντων διαφώνησε με την πολιτική της διοργανώτριας και εν τέλει αποφάσισε να αποφύγει την ανάρτηση των στοιχείων της, κατά συνέπεια και τη συμμετοχή της με φυσική παρουσία. Αντ’ αυτού, αφενός συμμετείχε εξ αποστάσεως, αφετέρου υπέβαλε καταγγελία στην ισπανική αρχή προστασίας δεδομένων AEPD.

Ερωτηθείσα από την ισπανική αρχή ως προς τη νομιμότητα της συλλογής των στοιχείων ταυτοποίησης, η διοργανώτρια ισχυρίστηκε πως η συλλογή και επεξεργασία δεδομένων θεμελιώνεται στο άρθρο 6 παρ.1γ’ ΓΚΠΔ, ήτοι στη συμμόρφωση με έννομη υποχρέωση. Η υποχρέωση αυτή συνίστατο στη χορήγηση συγκεκριμένων στοιχείων στην τοπική αστυνομική αρχή και ειδικότερα του ονόματος, της εθνικότητας, της ημερομηνίας γέννησης, καθώς και της ημερομηνίας έκδοσης και του αριθμού του εγγράφου.

Ως προς τη χρήση τεχνολογιών αναγνώρισης προσώπου και την επεξεργασία βιομετρικών δεδομένων, η καταγγελλόμενη προσκόμισε την από έτους 2019 διενεργηθείσα εκτίμηση αντικτύπου, η οποία όμως δεν έπεισε την ισπανική αρχή ως προς την πληρότητά της. Σύμφωνα με την απόφαση της AEPD, η προσκομισθείσα έκθεση δεν αποτελούσε παρά απλή αναπαραγωγή των ρυθμίσεων του άρθρου 35 ΓΚΠΔ, χωρίς ανάλυση των πράξεων επεξεργασίας βιομετρικών δεδομένων και χωρίς αξιολόγηση της αναγκαιότητας και αναλογικότητας της επεξεργασίας αυτής, των κινδύνων για τα δικαιώματα και τις ελευθερίες των υποκειμένων ή αναφορά στα προβλεπόμενα μέτρα για την αντιμετώπιση των κινδύνων.

Με βάση τις διαπιστώσεις αυτές, η AEPD έκρινε πως η προσκομισθείσα εκτίμηση αντικτύπου είχε διενεργηθεί χωρίς τη δέουσα επιμέλεια, ως εκ τούτου δεν πληρούσε τις απαιτήσεις του άρθρου 35 ΓΚΠΔ. Για την παράβαση αυτή επέβαλε διοικητικό πρόστιμο 200.000 ευρώ.