L'APDCAT sanciona amb 31.000 l'empresa municipal Gestió Iniciatives Cabrera per l'ús del reconeixement facial
ACN Cabrera de Mar - L'Autoritat Catalana de Protecció de Dades (APDCAT) ha sancionat amb 31.000 euros l'empresa municipal Gestió Iniciativa Cabrera SA de Cabrera de Mur per l'ús d'un sistema de reconeixement facial per controlar la jornada laboral "sense base jurídica" i per no haver elaborat l'avaluació d'impacte de protecció de dades prèviament a la implementació. Aquests fets són constitutius d'una infracció molt greu i greu, respectivament. La companyia, que ja no aplica el sistema, va reconèixer l'error i va pagar d'avançat la multa, cosa que va permetre reduir-la a 18.660. L'APDCAT conclou que l'existència d'una relació laboral o el consentiment del seu personal "no legitimen" l'ús d'aquests sistemes que tracten dades biomètriques sensibles.
L'APDCAT va rebre una denúncia indicant que l'empresa obligava el seu personal a enregistrar la seva presència al lloc de treball mitjançant el reconeixement facial. El denunciant indicava que, com a treballador d'aquesta empresa municipal, no havia consentit el tractament de les seves dades biomètriques, ni tampoc se li havia ofert un sistema alternatiu, com ara l'ús d'una targeta d'entrada.
L'autoritat va obrir una fase d'informació prèvia per veure si els fets eren susceptibles de motivar la incoació d'un procediment sancionador. Es va constatar que el sistema de reconeixement facial es va començar a implantar el gener del 2023 i encara estava vigent. L'empresa va al·legar que la base jurídica que legitimava el tractament de dades biomètriques és el consentiment explícit del personal, d'acord amb l'article 9.2.a del Reglament General de Protecció de Dades (RGPD). Segons la informació proporcionada per la companyia, sí que es va oferir als treballadors altres sistemes que no utilitzaven dades biomètriques. Tot i això, l'empresa va reconèixer que, per "desconeixement", no va recollir les signatures de consentiment per escrit ni es va registrar cap prova.
Amb tot, va indicar que, d'acord amb les recomanacions de la persona encarregada de protecció de dades, s'havia decidit retirar aquest sistema abans del desembre del 2024 i optar per altres que no treballaven amb dades biomètriques.
Resolució de l'APDCAT
L'APDCAT ha conclòs que la normativa vigent en l'àmbit del dret laboral i de la funció pública no preveu cap mecanisme pel qual l'empresari o l'administració contractant pugui controlar el registre de la jornada dels seus treballadors a partir del reconeixement facial. Afegeix que tampoc consta que hi hagi un conveni col·lectiu que pugui emparar el tractament denunciat.
Un cop avaluada tota la informació, l'APDCAT va obrir un procediment sancionador contra l'empresa per dues presumptes infraccions. A través d'aquest s'han establert dues multes, de 21.000 i 10.100 euros, que es van notificar a l'empresa el 26 de febrer d'enguany. El 28 de febrer, l'empresa va presentar un escrit en què reconeixia la seva responsabilitat i adjuntava el pagament voluntari avançat de la sanció, cosa que va permetre reduir la multa a 18.660 euros.
