Hace menos de una semana, te informábamos de que la implementación de cámaras de reconocimiento facial por parte de Mercadona le había costado a esta cadena de supermercado una multa de 2,5 millones de euros por imposición de la Agencia Española de Protección de Datos (AEPD).
Ahora, por fin, ésta ha publicado la resolución del caso: 113 páginas (PDF) argumentando la motivación legal de la multa, que de algún modo muestran los criterios aplicados en este tema por el organismo encargado de proteger los datos personales de los españoles.
La cosa empieza mal cuando uno de los argumentos esgrimidos por Mercado para solicitar el archivo del expediente sancionador es, literalmente, el siguiente:
"El patrón de una persona no constituye un dato de carácter personal, por lo que no se necesita base legal para su tratamiento".
El documento establece también que esta recopilación de datos biométricos, que se mantuvo durante casi un año (hasta el pasado 6 de mayo de 2021) se llevó a cabo sin que concurriera "una base jurídica que [lo] legitimara al amparo del artículo 6.1. del RGPD sobre la base del interés público".
También critica la confusión de conceptos por parte de Mercadona: la empresa justifica "la utilidad de la medida porque es eficaz, confundiendo 'utilidad' con la 'necesidad' objetiva de la medida", explica la AEPD.
Condenados y no condenados
En ese sentido, Mercadona también llega a enarbolar la excepción establecida por el artículo 9.2.f del Reglamento General de Protección de Datos, que legitima "el tratamiento necesario para la formulación, el ejercicio o la defensa de reclamaciones o cuando los tribunales actúen en ejercicio de su función judicial", amparándose en medidas de seguridad impuestas contra individuos concretos condenados por hurtar en sus locales…
…una pretensión que es calificada de 'desproporcionada' por la AEPD, que dictamina que ese supuesto no puede ser usado para justificar el tratamiento masivo y remoto de datos biométricos de todos sus clientes (incluidos los menores de edad, discapacitados y ancianos) ni de sus trabajadores:
"La cadena interpreta de forma unilateral el alcance de la resolución judicial y la utiliza a los efectos de justificar que ostenta legitimación en el sentido del artículo 9.2.f del RGPD no sólo para el condenado, sino también para el resto de los ciudadanos afectados por el sistema cuando acceden a los supermercados, a los que la mercantil engloba bajo el nombre de 'no condenados'".
Se trata de legitimar el tratamiento de datos biométricos de un porcentaje amplio de la población española (todos podemos ser hacendaditos o "jefes") para evitar que unos pocos condenados vuelvan a delinquir.
— Jorge Garcia Herrero -Cookieless since 2000- (@jgarciaherrero) July 27, 2021
Lo de "no condenados", ya tal. pic.twitter.com/wXwDVE0kjg
Con respecto a esto último, la AEPD afirma que esto supone, a efectos prácticos, "que todos los ciudadanos sean tratados como condenados" por estar siendo "sometidos al mismo tratamiento que aquel sujeto al que se le impuso la medida de seguridad".
Información falsa (a los medios y a los clientes)
Por otra parte, la AEPD aprovecha igualmente para desmontar la versión de los hechos filtrada a los medios por la empresa hace unos días, que sostenía que ésta le había ido contando a la AEPD lo que estaban haciendo, y que habían ido adoptando el sistema a los requisitos de la agencia:
"En ningún momento esta AEPD ha adoptado posición alguna con el establecimiento […] Mercadona no ha utilizado el mecanismo normativo establecido a tal efecto por el RGPD".
Otro aspecto criticado en su resolución por la AEPD tiene que ver con la información suministrada a los clientes de la cadena de supermercados, pues se estaba trasladando a los clientes la impresión de que en todos los supermercados estaba ya instalado este sistema de vigilancia biométrica de manera permanente:
"Se hurta a los potenciales clientes la posibilidad de no entrar en el supermercado concreto y elegir otro en el que no esté instalado el sistema de reconocimiento facial".
Ver 3 comentarios