Un empresa es sancionada a partir de la denuncia de un trabajador por una supuesta orientación de la cámaras hacia zonas comunes y con grabación de sonido. Sin embargo la sanción acabó produciéndose por la inexistencia de contrato de encargado de tratamiento de datos con la empresa de videovigilancia contratada, es decir por el artículo 28 del RGPD.
La falta de un contrato específico impide delimitar responsabilidades, definir qué medidas de seguridad deben aplicarse y determinar cómo se deben tratar esos datos. Tal y como señala la AEPD en su resolución, “la no formalización por parte de la actora de contrato u otro acto jurídico escrito impide conocer con certeza las obligaciones correspondientes a cada uno de los participantes en la cadena de tratamiento”. Esta falta de claridad, añade, “genera inseguridades desde el punto de vista material como, por ejemplo, respecto a las medidas de seguridad que habrían de ser adoptadas específicamente por el encargado”.
Como consecuencia la empresa ha sido sancionada con 10.000€.
