Multan con 365.000 euros a una empresa por recopilar huellas dactilares sin informar debidamente a los empleados. [EXP202202960]

La Agencia Española de Protección de Datos ha multado con 365.000 euros a la empresa CTC Externalización por recopilar huellas dactilares de sus empleados para el fichaje sin las medidas de seguridad adecuadas, así como falta de información a los trabajadores y ausencia de un análisis de riesgos.

En el caso, la persona denunciante afirmó que la información sobre la recopilación de datos biométricos no se había comunicado debidamente a los empleados y se encontraba en una parte inaccesible del portal del empleado. La empresa respondió a las acusaciones ofreciendo una serie de argumentos en su defensa. Sin embargo, la AEPD consideró que la información proporcionada por la empresa no fue suficiente para justificar sus acciones. Además, se constató que no se había garantizado el borrado de las huellas dactilares tras su captura, y los datos identificativos de los empleados estaban almacenados junto con el hash de sus huellas.

Incumplimiento de las normas del RGPD

La sanción a la empresa se basa en la infracción de tres artículos del Reglamento General de Protección de Datos, al incumplir los siguientes preceptos:

• Artículo 13. Obligación de informar a los interesados de los datos personales obtenidos. La duración de la infracción y la categoría de los datos personales afectados inciden en la cuantía final de la sanción. En el caso, se trata de datos especiales, ya que permiten identificar a un persona física. (200.000 euros)
• Artículo 32. Evaluación del nivel de seguridad del tratamiento de los datos. La infracción se sanciona acorde con la duración de la misma y la categoría de los datos personales afectados. (65.000 euros)
• Artículo 35. Evaluación del riesgo de impacto de las operaciones de tratamiento de datos en los derechos y libertad de las personas físicas. El tratamiento de datos biométricos es un tratamiento de alto riesgo, en virtud de lo previsto en el artículo 35.4  RGPD, por lo que  el tratamiento realizado debió estar precedido de la realización y superación de una evaluación de impacto válida, que incluyese como
  mínimo los apartados previstos en el artículo 35.7 del RGPD. (100.000 euros) 

Además de la multa, la AEPD ha otorgado un plazo de 6 meses para tomar medidas correctivas. Estas incluyen informar adecuadamente a los empleados, establecer medidas de seguridad adecuadas, garantizar el borrado de las huellas dactilares y llevar a cabo una evaluación de impacto.

La sanción impuesta por la AEPD no es firme, cabe recurso ante la Sala de lo Contencioso de la Audiencia Nacional.