La AEPD ha impuesto a una compañía varias sanciones (cuyo importe total asciende a 11.000 euros) por la infracción de los artículos 5.1.c) -principio de minimización de datos-, 32 -seguridad del tratamiento- y 13 -información que debe facilitarse cuando los datos se recaban del interesado- del RGPD. No obstante, dicha sanción se ha reducido a 6.000 euros por cuanto la entidad ha hecho uso de las dos reducciones previstas, reconociendo, en consecuencia, su responsabilidad.
El afectado, al acudir a las instalaciones de la compañía para recoger su vehículo, fue requerido por un empleado de la entidad para que aportase su Documento Nacional de Identidad, realizando una fotografía del mismo con su móvil personal con la finalidad de probar la recogida del vehículo. De este modo, se supeditaba la entrega del coche a la toma de esta fotografía del documento.
En este sentido, al interponer la reclamación ante la AEPD, el reclamante puso de manifiesto que no se le informó sobre este tratamiento de datos, así como que se había instalado un sistema de videovigilancia sin los correspondientes carteles informativos.
Admitida a trámite la reclamación (por cuanto consta un tratamiento de datos, en su condición de responsable, al recabar y conservar el nombre y apellidos del afectado, su dirección postal, el número de matrícula o la fotografía del DNI), no se recibió escrito de alegaciones de la entidad.
Declara la AEPD que, de acuerdo con el principio de minimización de los datos, el tratamiento de estos debe vincularse a su necesidad para el cumplimiento de la finalidad, de modo que “si el objetivo perseguido pudiera haberse alcanzado sin realizar dicho tratamiento, el mismo debería haberse evitado”. Así, los datos que el responsable trata deben ser aquellos estrictamente necesarios para lograr el objetivo previsto, limitándose la información recabada a aquella directamente relacionada con la finalidad concreta que se persigue.
Así, en el presente caso, la autoridad de control afirma que la realización de la fotografía del DNI supone un tratamiento excesivo, por cuanto podía haberse llevado a cabo, logrando la misma finalidad, otro tratamiento menos intrusivo, como, por ejemplo, la mera exhibición del documento y, en su caso, la anotación de determinada información que obrase en el mismo. Con ocasión de esta infracción se impone una sanción de 3.000 euros.
Asimismo, se tiene en cuenta por la AEPD, como agravante, el hecho de que la fotografía se efectuase a través del móvil personal del empleado y sin facilitar la información necesaria, lo que muestra una conducta negligente por parte de la compañía.
En relación con la aplicación de medidas de seguridad, la AEPD declara que la entidad debe adoptar aquellas que considere que permiten garantizar la seguridad del tratamiento, así como que este es conforme a la normativa, sin que exista un listado de medidas estipuladas, por lo que es la propia entidad la que debe llevar a cabo el análisis de riesgo. No obstante, el hecho de que la fotografía se realizase por el móvil personal del trabajador permite acreditar que la entidad no ha adoptado las medidas de seguridad necesarias “para evitar la captación de la imagen del DNI del usuario por parte de un empleado”, imponiéndose, por ello, una sanción de 2.000 euros.
Adicionalmente, tal y como expuso la parte reclamante, no consta que la entidad hubiera facilitado la información exigida en la normativa sobre el tratamiento de los datos personales del cliente en el momento en el que se recabaron estos, lo que puede generar una pérdida de control sobre sus datos, así como una limitación para ejercer sus derechos (ya que no tiene la información necesaria para ello). Por esta infracción, la AEPD impone una sanción de 3.000 euros.
Por último, en relación con el sistema de videovigilancia implementado, se indica por la autoridad de control que el deber de información se entiende cumplido en estos casos (sin necesidad de informar de la ubicación de las cámaras) “mediante la colocación de un dispositivo informativo en lugar suficientemente visible, y como mínimo, en los accesos a las zonas vigiladas ya sean interiores o exteriores”. Debido a que en el presente caso no consta la existencia de dichos carteles, se impone una sanción de 3.000 euros.
Puede acceder a la resolución sancionadora de la autoridad de control aquí.