La legaltech analiza algunas de las sanciones por protección de datos impuestas por la AEPD, con especial foco en salud laboral, bienestar y prevención de riesgos.
Las sanciones por no cumplir la ley de protección de datos están a la orden del día, más si cabe con la entrada en vigor de nuevas normativas como el Reglamento de Inteligencia Artificial. Por ello, en este artículo repasamos, precisamente, las principales sanciones por protección de datos publicadas recientemente por la AEPD. Con el análisis de los expertos en protección de datos de Grupo Atico34, referente en cumplimiento de la LOPD y el RGPD, ofrecemos claves para evitar estos errores frecuentes.
Ejemplos de sanciones por protección de datos recientes
Uso indebido de huellas dactilares en sistema de fichaje: 365.000 euros
Una empresa de externalización de servicios fue sancionada por implantar un sistema de fichaje mediante huella dactilar sin cumplir con el RGPD. Las infracciones detectadas incluyeron la falta de información adecuada a los trabajadores, la ausencia de una evaluación de impacto (EIPD) y la no justificación de la necesidad de tratar datos biométricos.
Recomendación para evitar estas sanciones LOPD de Grupo Atico34: ¿Qué tiene que hacer una organización para no caer en esta infracción?
- Tener el respaldo de una norma con rango de ley que justifique el uso de datos biométricos.
- Justificar su uso con una EIPD, demostrando que no hay alternativas menos intrusivas.
- Informar de manera clara y detallada a los empleados sobre el tratamiento.
- Obtener su consentimiento explícito y documentar todo en el registro de actividades de tratamiento.
Control horario con reconocimiento facial sin alternativa: 220.000 euros
Otra empresa de Alicante fue sancionada por emplear un sistema de reconocimiento facial para el control de presencia sin ofrecer métodos alternativos. La AEPD consideró que vulneraba el principio de proporcionalidad y la validez del consentimiento.
Recomendación de Grupo Atico34: Para evitar este tipo de sanciones, las organizaciones deben:
- Ofrecer alternativas reales y no intrusivas, como tarjetas o PIN.
- Asegurar que el consentimiento sea libre, específico y revocable.
- Elaborar una EIPD y documentar las medidas de seguridad aplicadas.
Exigencia de huella dactilar a socios de club deportivo: 200.000 euros
Un club de fútbol de 2ª División fue sancionado por exigir a sus socios el uso de la huella dactilar para acceder al estadio, sin justificar adecuadamente el tratamiento de datos biométricos ni ofrecer otras opciones.
Recomendación de Grupo Atico34: Las entidades que gestionan accesos están obligadas a:
- Evaluar alternativas menos invasivas como tarjetas o códigos QR.
- Documentar el interés legítimo y la proporcionalidad del sistema.
- Informar a los afectados y reforzar la seguridad del tratamiento biométrico.
Uso continuado de fichaje biométrico tras advertencia: 20.000 euros
El Colegio Notarial de Aragón fue sancionado por seguir utilizando fichaje con huella dactilar pese a advertencias previas de su ilegalidad, sin revisar el tratamiento ni realizar una EIPD.
Recomendación de Grupo Atico34: Ante una advertencia de la AEPD, las organizaciones tienen que proceder de la siguiente manera:
- Suspender inmediatamente el tratamiento cuestionado, realizar una EIPD, consultar con su Delegado de Protección de Datos, y adoptar sistemas compatibles con el principio de minimización de datos.
Grabación en gimnasio sin consentimiento de los asistentes: 21.600 euros
Un gimnasio fue sancionado por grabar a los usuarios durante las clases sin su consentimiento explícito, considerando la AEPD que informar verbalmente y sugerir la salida no cumplía los requisitos del RGPD.
Recomendación de Grupo Atico34: Para grabar a personas en actividades, las entidades deben:
- Obtener consentimiento explícito y por escrito.
- Informar claramente sobre el uso y conservación de las grabaciones.
- Ofrecer alternativas reales sin excluir a quienes no consientan.
Filtración de datos por no cifrar dispositivos: 145.000 euros
Una consultora fue sancionada por almacenar datos sensibles en una memoria USB sin cifrar, que fue robada. La AEPD determinó que no se aplicaron medidas técnicas adecuadas de seguridad.
Recomendación de Grupo Atico34 para evitar sanciones por protección de datos: Para proteger los datos personales es necesario:
- Utilizar dispositivos de almacenamiento cifrados, establecer políticas claras sobre el uso de medios portátiles y formar al personal en buenas prácticas de ciberseguridad.
Venta de datos personales sin consentimiento: 6,1 millones de euros
Una empresa energética fue sancionada por permitir la venta de datos personales de clientes a través de anuncios en redes sociales, tras una brecha de seguridad no atendida a tiempo.
Recomendación de Grupo Atico34: Para evitar estos incidentes, es fundamental que las empresas:
- Implantar controles de acceso y monitorización de sistemas.
- Activar protocolos de respuesta rápida ante brechas.
- Realizar auditorías regulares para detectar vulnerabilidades.
Inclusión en grupos de WhatsApp sin consentimiento: 3.000 euros
Una empresa añadió a personas en un grupo de WhatsApp sin consentimiento, exponiendo su número y foto. La AEPD señaló que no se cumplía con los principios de consentimiento y minimización.
Recomendación de Grupo Atico34 para evitar sanciones por protección de datos: Antes de añadir a alguien a un grupo de mensajería, es necesario:
- Obtener su consentimiento explícito, informar sobre el propósito del grupo y uso de los datos y permitir rechazar la inclusión sin consecuencias negativas.
Estas sanciones por protección de datos analizadas por Grupo Atico34 demuestran la importancia de cumplir con el RGPD y adoptar medidas adecuadas para proteger los datos personales. La prevención, la transparencia y el respeto a los derechos de los usuarios son claves para evitar sanciones. En protección de datos, actuar con diligencia marca la diferencia.
Te puede interesar:
Se acerca el 25 de mayo ¿ha adaptado ya su empresa al reglamento general de protección de datos?
12 Preguntas y respuestas sobre el nuevo Reglamento de Protección de Datos
Fraternidad-Muprespa supera los 1.550 millones de euros en ingresos, un 13,6% más que en el ejercicio anterior
¿Qué hacer en caso de una emergencia nacional?
