Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP) a amendat cu 5.000 de euro firma Tip Top Food Industry SRL, care operează lanțul de cofetării Tip Top, după ce a constatat că aceasta folosea amprentele digitale ale angajaților pentru pontaj, fără un temei legal.
Astfel, firma românească a fost sancționată cu amendă în valoare de 26.236 lei (echivalentul a 5.000 EUR) pentru încălcarea dispozițiilor art. 5 alin. (1) lit. c) raportat la art. 9 din Regulamentul (UE) 2016/679, celebrul regulament GDPR.
Investigația a fost demarată în urma unei sesizări transmise de o persoană fizică, care a reclamat utilizarea, în spațiile deținute de operator, a unui sistem de pontaj și control al accesului bazat pe prelucrarea amprentelor digitale ale angajaților.
„În cadrul investigației s-a constatat faptul că operatorul a prelucrat date biometrice ale propriilor angajați, în scopul controlului accesului și al evidenței timpului de muncă, fără existența unui temei legal, raportat la condițiile de legalitate stabilite prin prevederile art. 9 din Regulamentul (UE) 2016/679, coroborat cu încălcarea principiului reducerii la minimum a datelor, prevăzut de art. 5 alin. (1) lit. c) din același regulament european”, conform Autorității pentru protecția datelor personale.
Autoritatea spune că scopurile urmărite de operator puteau fi atinse prin metode mai puțin intruzive pentru viața privată a angajaților.
Pe lângă amendă, ANSPDCP a cerut firmei să înlocuiască sistemul de pontaj și control al accesului bazat pe amprente cu o soluție alternativă, care să permită aceleași operațiuni fără folosirea datelor biometrice.
„În vederea remedierii situației constatate și a asigurării conformității prelucrărilor cu prevederile Regulamentului (UE) 2016/679, Autoritatea a dispus și o măsură corectivă, prin care operatorului i s-a impus să asigure respectarea principiului reducerii la minimum a datelor, prin înlocuirea sistemului de control al accesului și de pontaj bazat pe prelucrarea datelor biometrice ale salariaților cu o soluție alternativă, care să permită realizarea acelorași scopuri fără prelucrarea datelor biometrice”, conform ANSPDCP.
Autoritatea atrage atenția că datele biometrice trebuie folosite cu grijă, iar accesarea sau divulgarea lor neautorizată poate pune în pericol drepturile și viața privată a persoanelor.
„În cazul utilizării datelor biometrice, este necesară o atenție deosebită în ceea ce privește respectarea principiilor legalității, necesității, proporționalității și reducerii la minimum a datelor. În același timp, orice compromitere sau accesare neautorizată a unor date biometrice poate genera riscuri semnificative pentru drepturile și libertățile persoanelor fizice, având în vedere caracterul specific al acestor date și posibilitatea asocierii lor directe cu identitatea unei persoane fizice”, conform ANSPDCP.
Astfel, firmele trebuie să poată demonstra existența unei condiții legale aplicabile, precum și faptul că prelucrarea este necesară și proporțională în raport cu scopurile urmărite.