Sanción de 2,5 millones de euros a Mercadona por sus cámaras de videovigilancia

Mercadona ha recibido una  sanción por la AEPD debido al incumplimiento del RGPD a raíz de un proyecto piloto en el que instaló cámaras en varios de sus establecimientos. Estas cámaras, detectaban la entrada a sus instalaciones de personas con órdenes de alejamiento cautelares o firmes contra la empresa o contra sus trabajadores, reforzando de esta forma la seguridad. 

¿En qué consistía el sistema de seguridad que implantó Mercadona y qué datos recogía? 

Las cámaras que fueron instaladas en unos 40 supermercados de Valencia, Mallorca y Zaragoza recogían la imagen de todas las personas que entraban en el establecimiento y mediante una plantilla biométrica se comparaba con las de las personas que tenían prohibida la entrada o una orden de alejamiento. El objetivo era evitar robos, hurtos y casos de violencia de género.

Mercadona ha indicado que su intención era exclusivamente evitar estos casos en los que existía una sentencia firme o cautelar contra la superficie o alguno de sus empleados, estando para ello siempre en contacto con las Fuerzas y Cuerpos de Seguridad del Estado. El proceso de identificación tardaba 0,3 segundos, y según afirman, no se almacenaba información adicional. En los establecimientos, se pusieron carteles informativos indicando que existían este tipo de cámaras.

Sin embargo, se ha considerado que en esos 0,3 segundos ya se estaban realizando un tratamiento de datos biométricos, considerados como especialmente sensibles.

La tecnología utilizada por Mercadona fue la de AnyVision, algo que generó aún más controversia, ya que compañías como Microsoft han retirado su inversión en ella por las dudas que en muchas ocasiones se genera en cuanto a la alteración del derecho a la privacidad e incluso por su implicación en casos relacionados con espionaje.

¿Por qué han multado a Mercadona?

Mercadona afirma que contaba con la autorización judicial necesaria para llevar a cabo este proyecto, y que a su vez, mantuvieron informada a la AEPD con el objetivo de actuar con transparencia.

Asegura que el único objetivo de su proyecto era la seguridad, y que no se guardaba ningún dato de las personas que acudían a los establecimientos y que no coincidían en esos 0,3 segundos con nadie que tuviese una orden de alejamiento.

Sin embargo, quedaban muchas dudas a nivel legal, hasta que finalmente se llegó a la conclusión de que sí se estaban violando los datos personales. Se tendría que haber realizado una evaluación de impacto y haber analizado todas las consecuencias de una forma mucho más rigurosa.  La AEPD ha considerado que se estaban inclumpliendo los art. 6, por licitud del tratamiento) y 9 del RGPD (por tratamiento de categorías especiales de datos personales).

Mercadona ha aceptado pagar la multa de forma voluntaria, por lo que la sanción ha sido rebajada un 20%.

¿Qué indica el RGPD sobre este tipo de tecnología?

El reconocimiento facial implica la recogida de datos biométricos, es decir “datos personales referidos a las características físicas, fisiológicas o conductuales de una persona que posibiliten o aseguren su identificación única”. Por este motivo, el RGPD indica que tienen que ser tratados como una categoría especial de datos personales. No se permite su tratamiento sin que exista un consentimiento por parte de la persona identificada o sin que sea necesario para proteger los intereses vitales del interesado o de otra persona, o bien por interés público esencial. 

Hemos consultado a nuestro equipo legal experto en protección de datos y su respuesta es clara: ‘Este tipo de tratamiento supone una injerencia particularmente intensa en los derechos de los afectados. Concretamente, al llevarse a cabo una monitorización en espacios públicos, de forma que es posible la eventual denegación de acceso, se estaría desvelando a terceros información personal sin una base de legitimación correcta.’

Todos estos aspectos se tienen que tener en cuenta a la hora de iniciar un proyecto, para poderlo diseñar teniendo en cuenta la privacidad y que no se va a incumplir la normativa, uno de los motivos por los que la AEPD ha considerado que esta sanción a Mercadona puede servir para alertar a otras empresas y que entiendan la importancia de proteger los datos personales.