L'Agence espagnole de protection des données (AEPD) a publié une décision de sanction à l'encontre de SERVICIOS LOGÍSTICOS MARTORELL SIGLO XXI, S.L. (comprenant le prononcé d'une amende de 20 000 €) pour des manquements en lien avec la mise en place d'un système de contrôle du temps de travail par empreinte digitale. Cette affaire débute par une plainte d'une section syndicale, signalant le caractère disproportionné et non nécessaire du dispositif biométrique et contestant la validité du consentement des employés.

L’enquête menée par l’autorité a permis de constater :

* Obligation de réaliser une analyse d'impact relative à la protection des données (article 35 du RGPD) : L'entreprise a mis en œuvre un système de contrôle du temps de travail par empreinte digitale pour environ 520 employés sans avoir préalablement réalisé d'analyse d'impact. L'autorité a considéré que le traitement à grande échelle de données biométriques, qui sont des catégories particulières de données, présentait un risque élevé pour les droits et libertés des personnes, rendant cette analyse obligatoire. L'entreprise a soutenu avoir effectué une analyse de risques en 2019 concluant à un risque faible, mais n'a pas fourni de preuve de la réalisation d'une analyse d'impact en bonne et due forme avant le début du traitement.

En conséquence, l’autorité a imposé une amende de 20 000 € à SERVICIOS LOGÍSTICOS MARTORELL SIGLO XXI, S.L. Ce montant a été ramené à 16 000 € suite au paiement volontaire de l'entreprise, qui a par ailleurs renoncé à tout recours administratif.