Agencia Espanola Proteccion Datos (AEPD) har bötfällt en butiksägare med 5 000 euro för överträdelser av dataskyddsförordningen (GDPR).
Av beslutet framgår att den registrerade arbetade i ett kommersiellt företag. En dag fick den registrerade ett samtal från sin chef och ägare av anläggningen, som klagade på att bakgrundsmusik i butiken ersatts av nyheter. Den registrerade lämnade in ett klagomål till AEPD och hävdade att denne inte var medveten om att samtal övervakades. AEPD inledde en utredning och underrättade den personuppgiftsansvarige.
Den personuppgiftsansvarige visade ett kontrakt som undertecknats med det säkerhetsföretag som ansvarar för installation, underhåll och förvaltning av larmsystemet. Avtalet visade att parterna kommit överens om att en mikrofon skulle installeras för att lyssna på ljudet på plats, men att inget ljud skulle spelas in. Av denna anledning hävdade den personuppgiftsansvarige att det inte förekom någon kränkning av den personliga integriteten.
AEPD inledde sin granskning med att konstatera att både bilden och rösten av en person utgör personuppgifter enligt definitionen i dataskyddsförordningen, som därför är tillämplig på fallet. Därefter betonade AEPD att enbart upptagandet av rösten utgör behandling av personuppgifter, oavsett om det finns en inspelning eller inte.
AEPD påminde om att det enligt artikel 22 i LOPDGDD är tillåtet att installera videokameror för att garantera personers och varors säkerhet under förutsättning att: a) uppgifterna kommer att utplånas inom högst en månad från det att de samlats in, och b) ett synligt meddelande placeras i det övervakade området.
Den påpekade också att det i artikel 89 i LOPDGDD föreskrivs att proportionalitetsprincipen ska följas och att det fastställs vissa villkor för att kameror ska kunna installeras på arbetsplatsen. Bland dessa villkor framhöll AEPD förbudet mot att installera kameror i omklädningsrum, toaletter, matsalar eller liknande platser. Dessutom anges uttryckligen att ljudinspelning på arbetsplatsen endast är tillåten om den verksamhet som bedrivs där medför relevanta risker för säkerheten för anläggningar, varor och personer.
I det specifika fallet ansåg AEPD att röstinspelningen i den personuppgiftsansvariges kommersiella anläggning utgjorde ett allvarligt ingrepp i de anställdas och kundernas privatliv och att detta ingrepp var oproportionerligt i förhållande till de avsedda säkerhetsändamålen. Den personuppgiftsansvarige hade därför gjort sig skyldig till överträdelser av artiklarna 4.1, 6.1, 31 och 39 GDPR.