SANCIÓN A UNA EMPRESA DE SEGURIDAD PRIVADA POR NO DESIGNAR DELEGADO DE PROTECCIÓN DE DATOS
Hemos visto en anteriores entradas, que la Agencia Española de Protección de Datos, está imponiendo numerosas sanciones por el incumplimiento de la normativa vigente.
El caso que vamos a exponer hoy, una empresa de seguridad privada disponía de un sistema de CCTV, dónde grababa las imágenes de todas las personas que entraban y trabajan en las instalaciones, y no tenía designado un Delegado de Protección de datos, lo cual suponía, entre otras cuestiones, que no se puedieran ejercitar derechos, lo que implica una infracción grave.
Para entender porque supone una infracción grave debemos remitirnos a lo dispuesto en el artículo 37 del RGPD que establece que el responsable y el encargado del tratamiento designarán un delegado de protección de datos siempre que las actividades principales del responsable o del encargado consistan en operaciones de tratamiento que, en razón de su naturaleza, alcance y/o fines, requieran una observación habitual y sistemática de interesados a gran escala, así como a lo dispuesto en el artículo 34.1 y 3) de la LOPDGDD que establece que en relación con el artículo 37.1 del RGPD deberán designar Delegado de Protección de datos en todo caso las empresas de seguridad privada, que es la actividad ejercitada por la entidad sancionada.
Por tanto, la Agencia de Protección de datos ha considerado que la falta de designación del Delegado de Protección de Datos por una empresa de seguridad privada supone que nos encontremos ante la vulneración del artículo 37.1 b) del RGPD en relación con el artículo 34.1 ñ) de la LOPDGDD, asimismo, cabe señalar que la instalación de cámaras de videovigilancia estará legitimada si hay un cartel informativo, tal como se dispone en el artículo 22.4 de la LOPDGDD.
Además de lo anteriormente expuesto, la Agencia de Protección de datos ha graduado la sanción a imponer teniendo en cuenta la existencia de varios agravantes, el primero de ellos sería el número de interesados afectados, ya que se realizaba un tratamiento de datos personales a gran escala atendiendo al gran número de clientes que la empresa sancionada tiene y el segundo agravante sería que se encontraban afectados identificadores personales básicos, esto es así atendiendo a los artículos 83.2a) y 83.2g).
En definitiva, la Agencia española de Protección de datos ha impuesto a la entidad denunciada una sanción por una infracción del artículo 31.1 b) del RGPD en relación con el artículo 34.1 ñ) de la LOPDGDD, tipificada de acuerdo con el artículo 83.4 del RGPD, con una multa de 50.000€.
