L'autorité espagnole engage une sanction contre MAXAMCORP pour traitement illégal de données biométriques au travail
L'Agence Espagnole de Protection des Données (AEPD) a publié une décision de sanction à l'encontre de MAXAMCORP INTERNATIONAL, S.L., comprenant le prononcé d'une amende de 400 000 €, pour des manquements liés à l'utilisation d'un système de pointage par empreinte digitale. Cette affaire débute par une plainte concernant la mise en place d'un système de contrôle du temps de travail basé sur les données biométriques des salariés, en remplacement d'un système à carte magnétique.
L’enquête menée par l’autorité a permis de constater :
* Traitement de catégories particulières de données personnelles (article 9 du RGPD) : La société a mis en œuvre un système de pointage par empreinte digitale pour 137 salariés, en affirmant à tort ne pas traiter de données à caractère personnel au motif que le système n'enregistrait qu'une lecture partielle de l'empreinte, convertie en un gabarit chiffré. L'autorité a estimé que la création d'un tel gabarit biométrique dans le but d'identifier de manière unique une personne physique constitue bien un traitement de données biométriques. Ce traitement a été réalisé sans qu'aucune des exceptions prévues à l'article 9, paragraphe 2 du RGPD ne soit applicable, l'obligation légale de suivi du temps de travail ne justifiant pas en soi le recours à la biométrie.
* Analyse d'impact relative à la protection des données (article 35 du RGPD) : Bien qu'une analyse d'impact ait été réalisée avant le traitement, l'autorité l'a jugée non conforme. Le document partait du postulat erroné qu'aucun traitement de données à caractère personnel n'était effectué. En conséquence, il ne contenait ni une évaluation de la nécessité et de la proportionnalité du recours à la biométrie par rapport à la finalité, ni une analyse des risques pour les droits et libertés des personnes concernées, ni les mesures prévues pour y faire face, en violation des exigences de l'article 35, paragraphe 7 du RGPD.
En conséquence, l’autorité a imposé une amende de 400 000 € à MAXAMCORP INTERNATIONAL, S.L.
En outre, l’autorité a ordonné à la société de réaliser une analyse d'impact conforme aux exigences du RGPD dans un délai de six mois.
L’enquête menée par l’autorité a permis de constater :
* Traitement de catégories particulières de données personnelles (article 9 du RGPD) : La société a mis en œuvre un système de pointage par empreinte digitale pour 137 salariés, en affirmant à tort ne pas traiter de données à caractère personnel au motif que le système n'enregistrait qu'une lecture partielle de l'empreinte, convertie en un gabarit chiffré. L'autorité a estimé que la création d'un tel gabarit biométrique dans le but d'identifier de manière unique une personne physique constitue bien un traitement de données biométriques. Ce traitement a été réalisé sans qu'aucune des exceptions prévues à l'article 9, paragraphe 2 du RGPD ne soit applicable, l'obligation légale de suivi du temps de travail ne justifiant pas en soi le recours à la biométrie.
* Analyse d'impact relative à la protection des données (article 35 du RGPD) : Bien qu'une analyse d'impact ait été réalisée avant le traitement, l'autorité l'a jugée non conforme. Le document partait du postulat erroné qu'aucun traitement de données à caractère personnel n'était effectué. En conséquence, il ne contenait ni une évaluation de la nécessité et de la proportionnalité du recours à la biométrie par rapport à la finalité, ni une analyse des risques pour les droits et libertés des personnes concernées, ni les mesures prévues pour y faire face, en violation des exigences de l'article 35, paragraphe 7 du RGPD.
En conséquence, l’autorité a imposé une amende de 400 000 € à MAXAMCORP INTERNATIONAL, S.L.
En outre, l’autorité a ordonné à la société de réaliser une analyse d'impact conforme aux exigences du RGPD dans un délai de six mois.
Informations complémentaires
L’analyse complète est réservée aux membres
Montant de la sanction, thèmes, secteurs, entités et données concernées : l’essai gratuit de 14 jours ouvre la fiche entière et la veille personnalisée.
Essayer gratuitement 14 jours · accès complet · sans carte bancaire