En la esfera del cumplimiento normativo en la gestión de datos, un reciente caso protagonizado por la empresa CTC Externalización pone de relieve la trascendencia de adherirse rigurosamente a las regulaciones establecidas, en particular en lo que respecta al tratamiento de datos biométricos bajo el Reglamento General de Protección de Datos (RGPD). La Agencia Española de Protección de Datos (AEPD) ha impuesto a esta empresa una multa significativa de 365.000 euros debido a su práctica de solicitar las huellas dactilares a sus empleados con fines de fichaje, en contravención con los principios y requisitos delineados en el RGPD.
Incumplimiento Normativo y Multa Impuesta por la AEPD por Recopilar Huellas Dactilares
La sanción impuesta a CTC Externalización es el resultado de diversas deficiencias detectadas en su tratamiento de datos biométricos. La empresa no había proporcionado una adecuada información a sus empleados sobre la recopilación de estos datos ni implementado las medidas de seguridad necesarias para proteger la privacidad y la integridad de dicha información sensible, como lo son las huellas dactilares.
Además, carecían de un análisis de riesgos exhaustivo, un elemento esencial en el cumplimiento del RGPD.
La multa, desglosada en tres partes, suma un total de 365.000 euros, correspondiendo a la infracción de los artículos 13, 32 y 35 del RGPD. Específicamente, se impusieron multas de 200.000, 65.000 y 100.000 euros respectivamente, evidenciando la gravedad y la extensión de las violaciones cometidas por la empresa.
Exigencias y Plazos Establecidos por la AEPD
Además de la sanción monetaria, la AEPD ha dictaminado una serie de exigencias que CTC Externalización debe cumplir en un plazo de seis meses. Esto incluye la obligación de informar adecuadamente a sus trabajadores sobre el tratamiento de datos biométricos, implementar las medidas de seguridad pertinentes, garantizar la eliminación de las huellas dactilares tras su captura y llevar a cabo una evaluación del impacto de sus prácticas de tratamiento de datos.
El Caso en Detalle y las Respuestas de CTC Externalización
El caso fue presentado ante la AEPD el 14 de febrero de 2022, cuando una persona denunció que la empresa no había comunicado adecuadamente la recopilación de datos biométricos a través del portal del empleado, al cual no todos los trabajadores tenían acceso. A pesar de la defensa presentada por CTC Externalización, argumentando que su sistema de verificación no constituía una identificación y que se había informado adecuadamente sobre el tratamiento de datos, la AEPD consideró insuficiente la información proporcionada y confirmó la validez de la multa impuesta por no cumplir con la protección de datos en la empresa.
Argumentos de la Defensa
CTC Externalización intentó justificar su acción argumentando que se trataba de un sistema de verificación y no de identificación, que no almacenaba las huellas y que la información sobre el tratamiento de datos se había comunicado correctamente. Además, afirmaron haber instalado carteles informativos y enviado correos electrónicos a todos los empleados.
Insuficiencia de Información
Sin embargo, la AEPD consideró que la información proporcionada por CTC no fue suficiente. La empresa no demostró cómo garantizaba el borrado de las huellas dactilares ni proporcionó una explicación adecuada sobre el tratamiento de los datos. La cláusula informativa presentada por la empresa fue considerada defectuosa, y el documento de evaluación de impacto fue descartado por basarse en la ausencia de tratamientos de categoría especial.
Posibilidad de Recurso
Otros Casos Similares
Lecciones Aprendidas y Advertencias para Otras Empresas sobre Recopilar Datos Biométricos
