O Comissário de Informações do Reino Unido notificou a Serco Leisure Operating Limited em 19 de fevereiro de 2024, por violações do Regulamento Geral sobre a Proteção de Dados do Reino Unido (UK GDPR). A Serco Leisure, identificada como "controladora" nos termos da Lei de Proteção de Dados de 2018 e do UK GDPR, não estava conformidade com os artigos 5(1)(a), 6 e 9 do UK GDPR, relacionados ao processamento ilegal de dados biométricos de funcionários para verificações de presença em 38 instalações operadas pela empresa.

A infração emergiu após uma investigação pela Comissão de Informações, desencadeada por uma referência feita em 2 de dezembro de 2019 e uma queixa relacionada ao uso da tecnologia de reconhecimento facial (FRT). A Serco havia implementado sistemas FRT e de digitalização de impressões digitais para monitorar a presença dos funcionários, sem estabelecer uma base legal adequada para tal processamento de categorias especiais de dados pessoais.

O Aviso de Execução exige que a Serco cesse todo o processamento de dados biométricos com o propósito de verificação de presença de empregados em todas as instalações relevantes e destrua todos os dados biométricos e demais dados pessoais e de categorias especiais que não sejam legalmente obrigados a reter. A empresa tem três meses a partir da data do aviso para cumprir essas ordens.

O não cumprimento do Aviso de Execução pode resultar em uma multa de até £17,5 milhões ou 4% do faturamento anual global da empresa, o que for maior. A Serco tem o direito de apelar contra este aviso perante o Tribunal de Primeira Instância (Direitos de Informação).

Com informações ICO.