Ley de Protección de Datos en tu Evento

Cómo cumplir correctamente con la Ley de Protección de Datos en tu evento

Si eres organizador de eventos, probablemente diseñarlo y crearlo desde cero sea la parte que más te gusta. Una vez recibido el briefing por parte del cliente, llega el momento de poner la creatividad encima de la mesa y pensar en todas las acciones a realizar para cumplir con los objetivos planteados. Pero no es oro todo lo que reluce, y tú, como event planner, lo sabes mejor que nadie.

Diseñar y organizar un evento conlleva mucha planificación. Hay que tener en cuenta todos los aspectos y eso incluye temas legales como la Prevención de Riesgos Laborales – PRL y la Ley Orgánica de Protección de Datos – LOPD.

En un evento, sea del tipo que sea, recogemos y manejamos muchos datos. De hecho quien tiene datos, tiene un tesoro.

¿Por qué? Porque la información es poder. Cuantos más datos tengamos sobre nuestros asistentes y sobre el evento en sí, contaremos con más herramientas para medir los objetivos y, en definitiva, medir el éxito de nuestro evento.

No obstante, los datos de carácter personal están protegidos por ley y se debe hacer un adecuado uso y tratamiento de ellos. Si no lo hacemos bien, podemos encontrarnos en serios problemas que se transforman en multas cuantiosas.

A veces, por desconocimiento o poca implicación, podemos cometer errores que, a priori, pueden carecer de importancia pero que, a la hora de la verdad, pueden causarnos verdaderas pesadillas. Recuerda que el desconocimiento de la ley no exime de su cumplimiento.

Por eso y para evitar males mayores, lo mejor es contratar a un profesional en Ley de Protección de Datos (igual que para la Prevención de Riesgos Laborales) y respirar tranquilos.

Os damos algunos consejos para que sepáis, a grandes rasgos, cómo cumplir debidamente con la Ley de Protección de Datos en vuestro evento.

 

Premisas básicas de la Protección de Datos en un evento

Según el Real Decreto-ley 5/2018 y la Ley Orgánica 3/2018, amparadas además por el Reglamento General de Protección de Datos 679/2016 de ámbito europeo, es de estricto cumplimiento:

1. Cumplir con el deber de información.

2. Obtener el consentimiento expreso de los asistentes y personas que estarán interviniendo en el evento de una forma u otra (staff, seguridad, otros).

3. Preparar y firmar los contratos entre el encargado del tratamiento de los datos y aquellos que los ceden (asistentes, otros).

4. Facilitar el ejercicio de los derechos.

5. Notificar las brechas de seguridad.

6. Registrar actividades de tratamiento y análisis de riesgos.

7. Disponer de la información en la página web y la app del evento.

No queremos aburriros en exceso, ya que como hemos comentado al comienzo de este artículo, lo mejor es que contratéis a un experto en el manejo de la Ley de Protección de Datos para tu evento. Pero sí es importante conocer en qué consiste. Os detallamos brevemente cada uno de sus apartados:

• Deber de información: Hemos de informar a las personas que nos ceden sus datos quién va a ser el encargado de recogerlos, tratarlos y con qué fin lo hace. También hemos de informar dónde se van a almacenar y dejar muy claro que se está cumpliendo con la ley vigente.
• Consentimiento expreso: Es muy importante expresar con absoluta claridad que la persona es totalmente libre de ceder o no esos datos y que está siendo informada de ello. No puede haber ninguna casilla marcada previamente.
• Contratos: En el caso de que tuviéramos que ceder estos datos a un tercero por el motivo que sea, debe informarse expresamente y, además, realizar un contrato con ellos.
• Facilitar el ejercicio de los derechos: También hemos de informar a las personas que ceden sus datos dónde y a quién pueden acudir en caso de querer modificarlos o eliminarlos.
• Notificar las brechas de seguridad: Hoy en día, a pesar de los múltiples sistemas de seguridad y antivirus en los dispositivos que manejamos, es muy fácil sufrir un ataque cibernético que comprometa esos datos que tenemos que guardar con tanta precaución. Si ocurriera una brecha de seguridad, debemos informar inmediatamente a la Agencia Estatal de Protección de Datos en un plazo máximo de 72 horas desde el momento que se detecte la situación.
• Análisis de riesgos: Es necesario realizar un análisis de riesgos, así como definir qué medidas de protección debemos adoptar para garantizar el correcto tratamiento de los datos personales que hemos recogido.
• Página web: En la web del evento deberemos tener un apartado con el aviso legal, la política de privacidad, así como la política de cookies y las condiciones generales de contratación señalando que permanecen actualizadas y cumplen con todos los requisitos legales. También debemos tenerlo en la app.

 

Cómo recoger los datos personales en un evento cumpliendo con la LOPD 

Debemos tener en cuenta que siempre ha de ser por escrito y puede hacerse en papel, formato electrónico o, incluso, una combinación de ambos.

Puede ser que el asistente, en el momento de acreditarse para el evento a través de la web, ceda sus datos de manera electrónica y luego a la entrada al mismo deba rellenar y firmar un papel.

En los eventos en los que realizamos el servicio de control de accesos y hay menores, hacemos rellenar y firmar un papel en el mismo momento de la entrada al responsable del menor.

 

Ciberseguridad

Las multas por incumplimiento de la Ley de Protección de Datos en un evento no son cuantiosas, son espeluznantes. Por eso es muy importante que sepamos muy bien cómo recoger, tratar y sobre todo proteger esos datos que hemos recabado. Una buena forma de cubrirse las espaldas es mediante la ciberseguridad.

Es cierto que a menudo los presupuestos para los eventos son muy ajustados, pero es preferible no escatimar en seguridad y ahorrarnos lamentaciones. En otras palabras, es mejor reducir un poco el presupuesto para el catering que nos llegue una multa de 80.000 €.

Lo ideal es recurrir a una empresa especializada en ciberseguridad y con una amplia experiencia. Ellos nos darán las directrices y nos ayudarán a implementar todas aquellas acciones necesarias para evitar las temidas brechas de seguridad.

Algunas de las cosas que recomiendan los especialistas en ciberseguridad es ser muy cautelosos con el correo electrónico. Vigilar bien qué va después de la arroba en la dirección de e-mail y tener en cuenta qué tipo de archivos vamos a descargar. Si tenemos dudas o nos resultan sospechosos, lo mejor es comunicarlo al responsable para que éste se encargue de analizarlo previamente.

Está claro que en el caso de un macro evento, con miles de personas registrándose o comprando entradas a la vez va a ser muy difícil controlar los mails que nos llegan, pero esto ya se habrá previsto con anterioridad y la empresa contratada ya tendrá el mecanismo de control adecuado.

Siempre hay que proteger los dispositivos e información delicada con contraseñas seguras y no el típico 01234 o 11111. Lo mejor es que sea larga, contenga minúsculas, mayúsculas, números y algún carácter especial. Sí, son difíciles de memorizar, pero ¡Pongamos un poco en forma nuestra materia gris!

En el caso de que sea necesario descargar alguna aplicación en algún dispositivo, ya sean móviles, PDA’s, ordenadores, aseguraos siempre de que son las indicadas específicamente por la organización.

 

¿Hay datos más importantes que otros?

No es que haya datos más importantes que otros, pero sí tienen diferentes niveles de seguridad. Los datos como tal no nos dan mucha información. Es el conjunto de ellos que cada vez nos definen con más nitidez una persona.

No es lo mismo Carlos o López, que Carlos López que tiene 28 años y vive en la Calle Almería número 9 de Madrid.

Se consideran como datos personales primarios aquellos que identifican a la persona:

– Nombre

– Apellidos

– Número de DNI o pasaporte

– Dirección

– Fecha de nacimiento

De igual manera, son datos personales primarios aquellos datos necesarios para hacer el pago, como pueden ser el número de la tarjeta de débito o crédito. Luego existen otro tipo de datos mucho más sensibles y cuyo nivel de seguridad es más alto. Se trata de datos médicos, políticos, religiosos, ideológicos, entre otros. Todos ellos son absolutamente confidenciales.

En el caso que sea necesario pedirlos para poder cumplimentar encuestas o informes (solo para un tipo de evento muy determinado), hablad con un consultor de la Ley de Protección de Datos para que os oriente cómo hacerlo de manera correcta.

Recoger estos datos no es ilegal, pero hay que pedir un consentimiento expreso. Naturalmente se pueden negar a facilitárnoslos. La verdad, para organizar un evento no necesitamos ninguno de estos datos, por lo que no es necesario pedirlos.

 

Cómo proteger los datos de los menores de edad en los eventos

¿Qué sucede con los menores? Si hay que proteger los datos de los adultos, aún con más precaución hemos de proteger los datos de los menores de edad.

En Exyt Control tenemos amplia experiencia en macro eventos de todo tipo y nos preocupamos especialmente por proteger a los menores de edad en los eventos de nuestros clientes.

La manera de recoger y proteger sus datos es exactamente igual que con los adultos, ya que en realidad son sus padres, madres o tutores legales los que consienten o no la cesión.

Los menores de 16 años deben ir siempre acompañados de un adulto autorizado. Esta persona es la responsable del menor en el evento.

En Exyt Control disponemos de mecanismos especiales como el uso de pulseras distintivas para que no puedan comprar alcohol, ni tabaco en los bares y restaurantes del recinto. En el caso de los niños podemos añadir en la pulsera un código QR que contenga su nombre completo y el teléfono de su acompañante. De esta manera si se extravía, es más fácil de localizar. Además, estaremos protegiendo sus datos, pues no serán visibles.

 

Limitaciones de acceso y otras normativas a tener en cuenta en los eventos

La Ley de Protección de Datos como tal no especifica la prohibición de entrada de menores en eventos. Generalmente en las discotecas donde se sirve alcohol, no está permitida la entrada a los menores de 18 años. En las llamadas «light», es decir aquellas que son para jóvenes entre 14 y 17 años, está terminantemente prohibido servir alcohol.

Las Comunidades Autónomas pueden tener alguna normativa específica, pero por lo general todas siguen las mismas premisas. Al final, será la organización la encargada de decidir quién puede o no entrar a su evento.

Así que lo mejor es redactar detalladamente las políticas de derecho de admisión y de acceso al evento, informando debidamente al asistente y haciendo que las acepte a la hora de registrarse o comprar su entrada.

Derechos de imagen en un evento

¿Puede alguien negarse a que le hagan fotos o que se le grabe durante un evento?

Para los organizadores de eventos, las marcas y las empresas que los realizan es importante recabar material audiovisual.

La única manera de hacerlo es a través de fotos y grabaciones.

En un evento con pocas personas, quizá el asistente puede marcar o no la casilla para autorizar la grabación de vídeos y fotos en el recinto. Después, bastaría con pixelar su cara y listo.

Pero en un macro evento con miles de personas es inviable.

Generalmente, cuando compras la entrada para un festival o concierto ya te están informando que puedes ser grabado o fotografiado y que este material se difundirá en la web y redes sociales como material promocional del evento.

Biometría en eventos: ¿Es legal el sistema de reconocimiento facial?

La biometría o reconocimiento facial es un sistema que aunque parece de ciencia ficción ya hace unos pocos años que se utiliza.

Hay smartphones que se pueden configurar para que solo puedan desbloquearse mediante reconocimiento facial. Esto es un punto de seguridad muy importante porque hace que el móvil, en caso de que se pierda o lo roben, sea prácticamente inservible para la persona que lo encuentre y lo quiera utilizar sin ser el propietario.

Hasta ahora la biometría se ha utilizado principalmente en sistemas de control de acceso de seguridad, como por ejemplo en los aeropuertos. Es muy útil para reconocer a criminales buscados por la justicia.

Pero la biometría ¿es aplicable en eventos? Está claro que puede ser un sistema genial para el control de accesos, pero hay algo todavía más interesante: la recolección de datos. Un sistema de reconocimiento facial nos puede servir para evaluar la satisfacción del asistente y su reacción ante los diferentes estímulos que encuentra en el evento. Es decir: podemos medir el engagement.

Podemos saber si le gusta, si le emociona, si le aburre, si le interesa. Imaginad la barbaridad de datos que se pueden recopilar. Lo más importante: podemos medirlo y así obtener gráficas para saber qué partes del evento han sido las más interesantes para la audiencia y cuáles son las que menos les han gustado.

Esto va genial a los organizadores de eventos para saber qué se hizo bien y qué es lo que hay que mejorar en un próximo evento.

También podemos obtener multitud de datos estadísticos:

– Cuánta gente pasó por un punto en concreto del evento

– De qué franja de edad

– Género

 

Cómo funciona el sistema de biometría o reconocimiento facial en un evento

Aunque pueden haber algunas variaciones dependiendo de la tecnología que se utilice, en realidad el sistema es prácticamente el mismo.

Se necesita una cámara y el software adecuado. La cámara reconocerá a la persona. Si ésta mira directamente a la cámara se detecta mucho mejor que si no lo hace, pero hay algunos sistemas un poco más avanzados que permiten reconocer también a la persona aunque no esté mirando directamente. Generalmente los sistemas se basan en imágenes 2D en lugar de 3D porque les es más fácil comparar con los archivos que se tienen normalmente, que son fotos. Y las fotos están en 2D.

La cara de una persona es un dato biométrico. Es como una huella digital: única. Con ésta, el sistema transforma ese dato en una fórmula matemática. Pero volvamos al tema principal de este artículo, la Protección de Datos.

¿Es legal el reconocimiento facial en España? ¿Cómo hemos de cumplir con la Ley de Protección de Datos en un evento para utilizarlo correctamente?

 

¿Podemos utilizar el sistema de reconocimiento facial en los eventos  cumpliendo con la Ley de Protección de Datos?

Lo cierto es que no está muy claro. No hay ninguna ley específica en España para determinar si puede utilizarse o no el sistema de reconocimiento facial. De acuerdo a la Agencia Española de Protección de Datos lo mejor es estudiar caso por caso.

No es lo mismo utilizar este sistema para relacionarlo con otros datos a efectos de obtener una información muy completa de una persona, que simplemente usarlo para conocer una reacción.

Si utilizamos la biometría facial para relacionar una cara con un nombre completo, una fecha de nacimiento y un DNI, probablemente estaremos incumpliendo la ley. Pero si solo la estamos utilizando para saber si esa persona (no importa quién) está sonriendo o muestra desinterés, en principio no debería haber problema.

Al manejar estadísticas de grupo y no individuales, no se requiere un consentimiento explícito por parte de los asistentes. Si este sistema no graba ni transmite vídeos, ni imágenes, sino que solo los utiliza para obtener los datos que buscamos, no estaríamos incurriendo en ningún delito.

De todas formas, para estar seguros y no llevarnos sorpresas desagradables, lo mejor es que antes de instalar un sistema de biometría o reconocimiento facial en un evento, consultemos a un especialista en la Ley de Protección de Datos.

 

¿Y los menores de edad?

En un evento en el que hay menores de edad los sistemas de biometría facial pueden estar aún más restringidos. Pero ocurre lo mismo que en el punto anterior.

Si no se utiliza para detectar individuos y personas en concreto, sino para recoger datos de un colectivo sin que sean datos personales y que afecten a la privacidad del menor, no habría problema.

 

En resumen sobre la LOPD:

“Si no quieres pasar un mal rato, ten al día la protección de datos”

Es mucho más que un mal rato, porque las multas y sanciones a las que os podéis enfrentar por incumplir la Ley de Protección de Datos son muy elevadas.

Hablamos de cifras que pueden llegar a los 20 millones de euros o al 4% del volumen de negocio global, por lo que es absolutamente necesario tomar este tema muy en serio.

Muchas veces podemos incurrir en errores por desconocimiento y que a primera vista no parecen tan graves, pero en realidad para la ley sí lo son.

Por eso es muy necesario que contratéis una consultora de protección de datos que evalúe el nivel de riesgo del evento y os detalle todo el protocolo a seguir para cumplir correctamente con la ley.

 

 

Cuenta con Exyt Control para cumplir con la Ley de Protección de Datos en tu evento

En Exyt Control, tanto nuestro servicio de control de accesos como el resto nuestro portafolio, cumple con todos los preceptos de la Ley Orgánica de Protección de Datos y sus actualizaciones.  Puedes contar con nosotros y tener la garantía de que somos tu mejor partner para llevar tu evento adelante con éxito.