La autoridad de control ha impuesto una sanción a la entidad de 70.000 euros por la infracción del artículo 5.1.f) del RGPD (principio de confidencialidad), reducida a 40.000 euros por cuanto la compañía ha hecho uso de las dos reducciones previstas, reconociendo, en consecuencia, su responsabilidad.
En la reclamación interpuesta se indica que, debido a la ausencia de un empleado durante un periodo de 18 minutos, la persona encargada del seguimiento de la producción envió, a través del grupo que tenía con los trabajadores en la aplicación WeChat, dos vídeos obtenidos de las cámaras de seguridad del establecimiento en el que se veía al empleado ausentarse y regresar a su puesto de trabajo (periodo de ausencia), con la finalidad de “amenazar laboralmente” al resto de compañeros.
Una vez se dio traslado de la reclamación a la entidad, esta presentó escrito de respuesta, así como documentación adicional, en el que ponía de manifiesto, entre otras cuestiones, que se adoptaban medidas para garantizar que únicamente el personal autorizado podía acceder a las imágenes de seguridad, que se habían instalado carteles en los que se informaba de la existencia de zonas videovigiladas (adicionalmente, a los empleados se les hacía entrega de la política de privacidad en el que se hacía constar esta circunstancia) o que la finalidad de dicho sistema era garantizar “la seguridad de las instalaciones y de los propios trabajadores, [la] vigilancia del control de calidad de los productos, así como verificar el cumplimiento de las obligaciones y deberes de los trabajadores”.
Respecto al envío de estas grabaciones al grupo de la aplicación, se indica que ello fue consecuencia de una reacción en caliente del encargado debido a la ausencia durante un tiempo elevado de uno de los empleados, sin que, debido a la calidad de las imágenes, se pudiera identificar cuál era (en este sentido, no se sancionó, ni amonestó a ninguno).
La AEPD resolvió este procedimiento archivando el mismo, por considerar que “no se apreciaban indicios razonales de la existencia de una infracción”. No obstante, se interpuso recurso potestativo de reposición por la divulgación injustificada del vídeo (en el que sí se puede identificar a la persona) como forma de amenaza laboral. En este sentido, se indicaba en el recurso que los carteles debieron ser colocados con posterioridad, por cuanto la empleada no era conocedora de su existencia mientras trabajó en la compañía.
La autoridad de control ha declarado que el hecho de enviar un vídeo (“en el que se identifica a una persona del sexo femenino en su entorno laboral ausentándose de forma temporal de su puesto y reincorporándose minutos después”) obtenido a través de las cámaras de seguridad por la persona encargada a un grupo de una aplicación en la que están los empleados de la compañía (al menos 51 trabajadores) sin que se contase con una base legitimadora adecuada (como, por ejemplo, el consentimiento expreso), vulnera el principio de confidencialidad de los datos personales de dicha empleada y de los otros trabajadores que también se pueden ver en la grabación.
Puede acceder a la resolución sancionadora aquí.
