La sanción tiene su origen en una reclamación interpuesta ante la Agencia Española de Protección de Datos (“AEPD”) por un empleado de la entidad sancionada. Los motivos en los que basa su reclamación se refieren a la falta de transparencia del empleador a la hora de recabar sus datos biométricos. Estos datos eran utilizados para implantar un sistema de fichaje, basado en biometría, para controlar la jornada laboral.
La AEPD acordó iniciar procedimiento sancionador contra la entidad reclamada, concluyendo que la compañía no había acreditado:
1. haber informado correctamente del tratamiento, ya que la cláusula informativa facilitada adolecía de importantes defectos;
2. haber implementado las medidas de seguridad necesarias, como la eliminación de la huella tras su captura y la correcta separación entre los datos identificativos de los empleados y el hash de su huella;
3. haber elaborado y superado una evaluación de impacto, relativa a la protección de datos, en relación con el tratamiento de la huella.
Sin embargo, es destacable que la AEPD no se pronuncie respecto de la necesidad de concurrencia de una excepción que levante la prohibición de tratar categorías especiales de datos. Recordemos que la AEPD ha cuestionado recientemente en su “guía sobre tratamientos de control de presencia mediante sistemas biométricos”, la existencia de una habilitación legal específica para controlar la presencia de los trabajadores a través de tecnología biométrica.
Finalmente, la AEPD sanciona con 365.000 euros a la reclamada por una triple vulneración del Reglamento General de Protección de Datos (“RGPD”); en concreto por: 1. falta de información; 2. ausencia de medidas de seguridad adecuadas al riesgo; e 3. incumplimiento de la obligación de realizar y superar una evaluación de impacto.
Asimismo, la AEPD ordena a la reclamada que limite temporal o definitivamente el tratamiento del sistema de control de horario mediante huella, en tanto en cuanto no implemente una serie de medidas para cumplir con la normativa.
Esta resolución pone fin a la vía administrativa, pudiendo la entidad sancionada interponer recurso de reposición o directamente recurso contencioso administrativo ante la Audiencia Nacional.