Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP) a aplicat o sancțiune financiară firmei Tip Top Food Industry SRL. Compania, care gestionează lanțul de cofetării Tip Top, a fost amendată după ce investigațiile au scos la iveală utilizarea amprentelor digitale ale angajaților pentru sistemul de pontaj. Această practică a fost considerată nelegală deoarece nu respecta cerințele impuse de regulamentul european GDPR.
Firma a fost sancționată cu o amendă în valoare de 26.236 lei, sumă care corespunde echivalentului a 5.000 de euro. Încălcarea normelor vizează art. 5 alin. (1) lit. c) raportat la art. 9 din Regulamentul (UE) 2016/679. ANSPDCP a stabilit că operatorul a încălcat principiul reducerii la minimum a datelor, utilizând metode de control ale accesului și ale timpului de muncă care sunt considerate excesive pentru scopurile urmărite de companie.
Procesul de investigație a fost declanșat în urma unei sesizări depuse de o persoană fizică. Aceasta a raportat că, în spațiile deținute de operator, era utilizat un sistem de pontaj și control al accesului bazat pe prelucrarea amprentelor digitale ale personalului. Autoritatea a concluzionat că scopurile de evidență a timpului de muncă puteau fi îndeplinite prin metode mult mai puțin intruzive pentru viața privată a angajaților.
Pe lângă sancțiunea financiară, ANSPDCP a impus și o măsură corectivă obligatorie pentru remedierea situației. Tip Top Food Industry SRL trebuie să înlocuiască sistemul de pontaj bazat pe amprente cu o soluție alternativă. Această nouă metodă de control trebuie să permită realizarea acelelorși operațiuni de evidență fără a recurge la prelucrarea datelor biometrice, asigurând astfel respectarea principiilor de legalitate și proporționalitate prevăzute de lege.
ANSPDCP subliniază că datele biometrice necesită o atenție deosebită din cauza riscurilor de compromitere. Accesarea neautorizată a acestor date poate pune în pericol drepturile și libertățile persoanelor, având în vedere că acestea pot fi asociate direct cu identitatea unui individ. Companiile au obligația de a demonstra că prelucrarea datelor este strict necesară și proporțională în raport cu obiectivele de business pe care le urmăresc.
Regulamentul GDPR impune standarde stricte pentru protecția datelor sensibile, inclusiv a celor biometrice, care sunt clasificate ca fiind de o importanță majoră. În cadrul Uniunii Europene, orice prelucrare care implică identificarea unică a unei persoane prin trăsături fizice trebuie să respecte principiul necesității. În absența unui temei legal clar, utilizarea acestor tehnologii de monitorizare în cadrul organizațiilor poate atrage sancțiuni administrative severe.