L’AEPD imposa una sanció de 20.000€ a una empresa de Martorell per no haver realitzat una avaluació d’impacte
El passat mes d’octubre, l’Agència Española de Protecció de Dades (AEPD) va imposar una sanció de 20.000€ a una empresa de Martorell per la implementació d’un sistema de control horari de la jornada laboral mitjançant l’ús d’una dada biomètrica, com és l’empremta dactilar del treballador, sense haver realitzat prèviament una avaluació d’impacte.
La secció sindical de l’empresa va presentar una reclamació d’avant l’AEPD en la que manifestaven considerar que la implementació del nou sistema de control laboral mitjançant l’ús d’una dada biomètrica del treballador resultava desproporcionat al disposar ja de dos altres sistemes de control en funcionament, i innecessari, al existir altres mitjans menys invasius que permeten aconseguir els mateixos resultats. A més, de considerar-lo un tractament de dades il·legítim al trobar-se basat en el consentiment del treballador, consentiment que no resulta lliure d’acord amb la seva posició vulnerable i condicionada.
Per la seva banda, l’empresa argumenta en resposta a les manifestacions de la secció sindical, que es tracta d’un sistema de control necessari degut a les dificultats de control de la identitat de la persona que realitza el marcatge amb els sistema de targeta.
Explica que va realitzar un anàlisi de riscos bàsic previ a la implantació de la tecnologia en el que conclou que l’ús de l’empremta dactilar del treballador implicava un risc escàs al no considerar la dada recollida una dada biomètrica perquè únicament emmagatzemava una plantilla de l’empremta.
Un cop analitzada la reclamació interposada per la secció sindical i escoltats els arguments presentats per l’empresa, l’AEPD decideix imposar una sanció a l’empresa per la implementació del sistema de control horari mitjançant l’empremta dels treballadors donat que per poder utilitzar aquest sistema de control horari d’acord amb els paràmetres del Reglament General de Protecció de Dades, els responsables del tractament han de poder demostrar alts nivells de responsabilitat proactiva i disseny per defecte abans d’iniciar el tractament de les dades personals, tenint en compte que han de poder justificar que es tracta d’un sistema necessari, proporcionat en el context en concret en el que es vol implementar i que s’han implementat les mesures tècniques menys intrusives, i tots aquests aspectes no han estat acreditats per l’empresa sancionada al no haver realitzat una avaluació d’impacte.
L’AEPD considera necessària la realització prèvia d’una avaluació d’impacte en el tractament de l’empremta amb finalitats de control laboral, ja que l’empremta dactilar es una dada biomètrica i per tant, una dada de categoria especial. Resultant d’aquesta manera que l’activitat de tractament en qüestió compleix dos dels requisits de la llista orientativa publicada per l’AEPD en la que indicaven els tractaments de dades en els que seria necessària la realització d’una avaluació d’impacte.
Aquesta sanció és només una mostra de les recents resolucions de les autoritats de control en matèria de protecció de dades, que posa de manifest que les autoritats estan sancionant als responsables del tractament per no dur a terme les avaluacions d’impacte de l’activitat de tractament de dades biomètriques amb finalitats de control de la jornada laboral.