Een winkel in Madrid die een klant teveel geld teruggaf en dat terug wilde hebben, heeft van de Spaanse privacytoezichthouder AEPD een boete van 12.000 euro opgelegd gekregen. De klant kwam een product retourneren en kreeg toen van een winkelmedewerker teveel geld terug. Toen de klant de volgende keer in de winkel kwam werd zij hier door de medewerker mee geconfronteerd.

De winkelmedewerker liet de klant beveiligingsbeelden van het incident zien toen zij de vorige keer in de winkel was. De medewerker had een opname van de beveiligingsbeelden met haar eigen telefoon gemaakt en verstuurde die via WhatsApp naar de klant. In de videobeelden waren ook andere klanten zichtbaar en was ook de stem van de medewerker te horen. De klant diende daarop een klacht in bij de Spaanse privacytoezichthouder.

De AEPD stelde dat de winkel geen passende en technische maatregelen had genomen om de opslag en verspreiding van beveiligingsbeelden te beveiligen. Het feit dat een medewerker, die niet verantwoordelijk was voor de beveiliging van de winkel, toegang tot de beveiligingsbeelden had was volgens de AEPD voldoende bewijs. De toezichthouder merkte op dat het CCTV-systeem het toestond om opnames op een tweede apparaat te maken. Daarnaast was er kritiek op het gebruik van WhatsApp om de beelden te versturen.

De Spaanse privacytoezichthouder stelde dat de winkel Artikel 32 van de AVG had overtreden. Bij het bepalen van de boete werd rekening gehouden met de gebrekkige beveiliging van persoonsgegevens en de omzet van de winkel. De boete kwam initieel uit op 20.000 euro. Spaanse wetgeving biedt bedrijven en organisaties de mogelijkheid om korting te krijgen als men verantwoordelijkheid neemt en de voorgestelde boete betaalt. Elke optie verlaagt de boete met twintig procent. Door zowel de fout te erkennen als de verlaagde boete te betalen kreeg de winkel veertig procent korting, waardoor de uiteindelijke boete op 12.000 euro uitkomt (pdf).