Een Italiaanse autodealer die een gezichtsherkenningssysteem installeerde om personeel toegang tot het terrein te geven en hun aanwezigheid te monitoren, is door de Italiaanse privacytoezichthouder GPDP veroordeeld tot een boete van 120.000 euro. Naast de inzet van dit systeem gebruikte het autobedrijf ook een programma waarmee alle taken van elke medewerker werden vastgelegd. Volgens de GPDP heeft het bedrijf met de gezichtsherkenning en het registratiesysteem op meerdere punten de AVG overtreden.

De autodealer stelde dat het alle medewerkers het privacybeleid had gegeven en hun toestemming had gekregen voor de verwerking van hun gegevens. Volgens het bedrijf verbetert het gezichtsherkenningssysteem de efficiëntie van het bedrijf en de kwaliteit van de dienstverlening. Daarnaast had het voor de implementatie van het systeem een privacyonderzoek (DPIA) laten uitvoeren.

De GPDP benadrukt dat het verwerken van biometrische gegevens in principe verboden is. Er zijn wel uitzonderingen op deze regel, maar daar voldoet het autobedrijf niet aan. Daarnaast is er vanwege de machtsverhouding tussen werkgever en werknemer geen sprake van geldige toestemming en daarmee is de biometrische gegevensverwerking in overtreding van de AVG.

Tevens kon de autodealer niet aantonen dat deze gegevensverwerking noodzakelijk en proportioneel was, zeker omdat er minder indringende manieren zijn om de aanwezigheid van personeel te monitoren. De biometrische gegevens werden daarnaast tot het einde van het contract van medewerkers bewaard, wat de Italiaanse toezichthouder excessief noemt en ook in strijd met de AVG is. Verder bleek het privacybeleid onvolledig.

Wat betreft het registratiesysteem stelde de GPDP vast dat de informatie die medewerkers hierover kregen onvolledig was en de autodealer niet kon aantonen dat het een rechtsgeldige basis heeft voor de verwerking van deze gegevens. Op basis van de overtredingen noemt de toezichthouder een boete van 120.000 euro passend.