L'Agence Espagnole de Protection des Données (AEPD) a publié une décision de sanction à l'encontre de TELCOM BUSINESS SOLUTIONS S.L. (comprenant le prononcé d'une amende de 25 000 €) pour des manquements en lien avec l'utilisation de données biométriques pour la vérification d'identité et l'absence d'analyse d'impact. Cette affaire débute par une plainte d'un client qui, après avoir souscrit à un service, a été invité à valider son identité via un processus impliquant un enregistrement en direct et l'extraction de données biométriques sans son accord préalable.

L’enquête menée par l’autorité a permis de constater :
* Obligation de réaliser une analyse d'impact relative à la protection des données (article 35 du RGPD) : L'entreprise utilise depuis 2020 un système de reconnaissance faciale fourni par un prestataire pour vérifier l'identité de ses clients lors de la souscription, ce qui constitue une condition obligatoire pour accéder au service. L'autorité a constaté que l'entreprise n'avait pas réalisé d'analyse d'impact avant de mettre en œuvre ce traitement, considérant à tort que celui-ci n'impliquait pas de données de catégories particulières. L'autorité a rappelé que le traitement de données biométriques à des fins d'identification unique, même pour de l'authentification, est un traitement à haut risque qui impose la réalisation d'une telle analyse, et a qualifié cette omission de négligence grave.

En conséquence, l’autorité a imposé une amende de 25 000 € à TELCOM BUSINESS SOLUTIONS S.L., montant qui a été réduit à 15 000 € suite à la reconnaissance de responsabilité et au paiement volontaire par l'entreprise.
En outre, l’autorité a ordonné à l'entreprise de fournir, dans un délai de trois mois, une analyse d'impact relative à la protection des données pour le traitement de reconnaissance faciale qui soit conforme aux exigences du RGPD.