1/8 Procedimiento Nº AP/00044/2015 RESOLUCIÓN: R/03360/2015 En el procedimiento de Declaración de Infracción de Administraciones Públicas AP/00044/2015, instruido por la Agencia Española de Protección de Datos a la entidad AGENCIA BALEAR DEL AGUA Y DE LA CALIDAD AMBIENTAL, vista la denuncia presentada por A.A.A., y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha de 7/08/2014 tiene entrada en esta Agencia una denuncia de A.A.A. en la que declara que es trabajadora de la AGENCIA BALEAR DEL AGUA Y DE LA CALIDAD AMBIENTAL (en lo sucesivo la AGENCIA) y ha tenido conocimiento que el vehículo de dicha entidad, matrícula ***MATRÍCULA.1, lleva instalado un sistema de “geolocalización” o de posicionamiento por GPS controlando tiempos y lugares de transito los empleados, sin que se haya informado a los trabajadores. Aporta copia de un informe del Director de la Agencia fecha 28/4/2014 en el que se indica que cada persona de la AGENCIA que coge el coche firma una ficha donde hace constar las horas de salida y regreso, y el destino. El sistema efectúa una trazabilidad de movimientos y tiempos realizados por la denunciante con el citado vehículo en sus desplazamientos de los días 1, 3 14, 16, 22 y 23/4/2014. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a la AGENCIA que el 10/02/2015 responde: 1) <<El coche con matrícula ***MATRÍCULA.1 titularidad de la AGENCIA dispone de un dispositivo GPS que registra cuando arranca y se detiene el coche, así como dónde se encuentra físicamente dicho vehículo, Este coche está a disposición de cualquier empleado de la empresa que lo solicite expresamente. La instalación de este sistema de GPS determina la ruta que realiza el vehículo de la empresa sin conocer la identidad de la persona que lo emplea. Por tanto, el objetivo de la instalación del dispositivo GPS no es la de captar imágenes íntimas de los trabajadores sino el interés de la empresa en tener localizado el vehículo. En atención que el sistema de posicionamiento instalado en el vehículo no implica una recogida de datos de carácter personal, propiamente dicha, no se ha comunicado a los trabajadores de esta empresa la instalación de dicho sistema en los términos expuestos en el artículo 5 de la LO 15/1999, de 13/12 TERCERO: Con fecha 13/07/2015, el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento de declaración de infracción de las Administraciones Públicas a la AGENCIA BALEAR DEL AGUA Y DE LA CALIDAD AMBIENTAL, por una infracción del artículo 5.1 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como leve en el artículo 44.2.
- c)de dicha norma. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 CUARTO: Notificado el acuerdo de inicio, no se producen alegaciones. QUINTO: Con fecha 13/11/2015 se emite propuesta de resolución con el literal: “Que por el Director de la Agencia Española de Protección de Datos se declare la infracción del artículo 5.1 de la LOPD por la AGENCIA BALEAR DEL AGUA Y DE LA CALIDAD AMBIENTAL, tipificada como grave en el artículo 44.2.
- c)de dicha norma. Deberá además acreditar fecha y modo en que ha implementado la información objeto de la denuncia a los empleados.” SEXTO: Con fecha 17/12/2015 se adelantan las alegaciones por correo electrónico en las que reitera lo manifestado en alegaciones previas, añadiendo: 1) El vehículo dotado del GPS es un medio de desplazamiento que se pone a disposición del personal técnico que realiza inspecciones y visitas de obra, y no de uso exclusivo de la denunciante. 2) Sobre que no recogen datos personales, cita la sentencia de Tribunal Superior de Justicia de Cataluña de 5/03, número 1706/2012 en la que se predica que la instalación por la empresa de un dispositivo GPS en un vehículo propio que se pone a disposición del trabajador para realizar su trabajo con la finalidad de comprobar donde se encuentre el vehículo durante la jornada ”no es propiamente una recogida de datos de carácter personal que pueda afectar a la intimidad del trabajador”, “sino un medio de vigilancia y control para comprobar que el mismo cumple sus obligaciones laborales, sin que en el presente supuesto se acredite que la empresa haya hecho un uso indebido de los datos personales más allá de la finalidad de controlar la jornada laboral del actor.” Añade que por ello considera que no procede informar a los trabajadores de la instalación de dicho dispositivo por ser una medida de control y vigilancia respecto a un medio material de la empresa de uso voluntario por parte de los trabajadores de la misma. 3) La supuesta infracción estaría prescrita dado que es leve y su plazo para ello es de un año desde su comisión, teniendo en cuenta que los hechos se produjeron en abril, el último día que se recogía en el informe de uso del GPS lleva fecha de 23/04/2014, de acuerdo con el uso, se firmaba por cada empleado en una hoja de cálculo, indicando el motivo de dicha prestación y el tiempo durante el que se ha hecho uso. Dado el tiempo transcurrido entre la fecha en que cesó la actividad supuestamente infractora, 23/04/2014 y la del inicio del expediente 13/07/2015, se puede entender que la infracción estaría prescrita. 4) A la denunciante se le inició un expediente disciplinario el 7/08/2014 y ya no presta servicios en la entidad, presentando después esta denuncia. HECHOS PROBADOS 1. La denunciante presta servicios para la AGENCIA BALEAR DEL AGUA y DE LA CALIDAD AMBIENTAL efectuando las visitas a obras que la Agencia le encomienda. 2. Según se desprende del Informe de visitas de la denunciante elaborado por la denunciada el 28/04/2014, la denunciada es titular del vehículo 6953 CDK que tenía instalado desde el mes de abril 2014 un sistema de posicionamiento GPS. El informe repasa el uso de la denunciante durante 6 días de abril 2014 del citado vehículo. La C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 denunciada pone de manifiesto que el vehículo se pone a disposición del personal técnico que realiza inspecciones y visitas de obra, no es de uso exclusivo de un empleado. 3. El informe de visitas, durante los días 1, 3, 14, 16, 22 y 23/04/2014 repasa las horas en que coge el vehículo la denunciante, el destino al que ha de acudir, reseñando que en ocasiones, o no va al punto de destino, o permanece detenido durante cierto tiempo y en definitiva, se practica un seguimiento de itinerarios y paradas en el desempeño de su función. 4. La denunciada indica que no informó a los empleados de la empresa sobre la instalación del sistema de GPS, declarando que no correlaciona el vehículo con la persona que lo conduce, desprendiéndose del Informe de visitas que sí que se relacionan. Además, cada empleado cuando cogía el vehículo firmaba una hoja de cálculo en la que constaba su firma, el motivo de la petición y el tiempo durante el que se ha hecho uso de el (previsiblemente después del recorrido). El informe de visitas relaciona dichos datos que obran en las hojas de cálculo con el análisis de datos del GPS del vehículo. 5. Se desconoce si durante la tramitación de este procedimiento la denunciada ha implementado el sistema de información de recogida de datos y la forma en que lo ha llevado a cabo. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. II Con carácter general, debe indicarse que los artículos 1 y 2 de LOPD, extienden su protección a los derechos de los ciudadanos en lo que se refiere al tratamiento automatizado de sus datos de carácter personal, siendo definidos éstos en el artículo 3.
- a)de la citada Ley como “cualquier información concerniente a personas físicas identificadas o identificables. “El artículo 2 de la Directiva 2002/58/CE relativa al tratamiento de los datos personales y a la protección de la intimidad en el sector de las comunicaciones electrónicas define los datos de localización como "cualquier dato tratado en una red de comunicaciones electrónicas que indique la posición geográfica del equipo terminal de un usuario de un servicio de comunicaciones electrónicas disponible para el público" El artículo 64
- b)del Reglamento sobre las condiciones para la prestación de servicios de comunicaciones electrónicas, el servicio universal y la protección de los usuarios, aprobado por Real Decreto 424/2005, de 15/04 recoge esta misma definición de datos de localización. Por consiguiente, habida cuenta de que los datos de localización se refieren siempre a una persona física identificada o identificable, constituyen datos personales, por lo que su tratamiento está sujeto a las disposiciones contenidas en la LOPD y su normativa de desarrollo. En esta materia cabe tomar como referente lo señalado por el Grupo de Trabajo del artículo 29, órgano consultivo independiente de la UE sobre protección de los datos y la vida privada, creado en virtud de lo previsto en el citado artículo de la Directiva 95/46/CE relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos. En el Dictamen C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 5/2005, sobre el uso de los datos de localización con vistas a prestar servicios con valor añadido se indica: “Marco legal Habida cuenta de que los datos de localización se refieren siempre a una persona física identificada o identificable, les son de aplicación las disposiciones sobre la protección de los datos personales establecidas en la Directiva 95/46/CE de 24/10/1995.” El apartado 1.2 establece: 1.2 Información ofrecida a los interesados: El Grupo desea señalar que las Directivas 95/46/CE (artículo 10) y 2002/58/CE (artículos 6 y 9) exigen que se informe a los interesados de los datos de localización de los siguientes aspectos: - la identidad del responsable del tratamiento y, en su caso, de su representante; - los fines del tratamiento; - el tipo de datos de localización tratados; - la duración del tratamiento; - si los datos se transmitirán a un tercero con el fin de prestar un servicio con valor añadido; - el derecho de acceso y el derecho de rectificación de los datos; - el derecho de los usuarios a retirar su consentimiento en cualquier momento o de rechazar temporalmente el tratamiento de estos datos, y las condiciones en las que es posible ejercer estos derechos; - el derecho a cancelar los datos. El Grupo estima que esta información debería ser facilitada por la parte encargada de recoger los datos de localización para su tratamiento, es decir, por el proveedor del servicio con valor añadido o, en caso de que el proveedor no esté en contacto directo con el interesado, por el operador de comunicaciones electrónicas. La información se podría facilitar con arreglo a las condiciones generales aplicables al servicio con valor añadido o, directamente, cada vez que se utilice el servicio. A la vista del carácter extremadamente sensible del tratamiento de los datos de localización, el Grupo desea llamar la atención de los proveedores de servicios sobre la necesidad de facilitar información clara, completa y general sobre las características del servicio.” “2.2 Localización de empleados” que contiene en su párrafo final: “Por último, el Grupo desea subrayar la obligación de informar a los empleados en cuestión y llama la atención de las empresas sobre la necesidad de introducir sistemas de localización de tal manera que su existencia sea conocida por el personal.” En el presente supuesto, además, se acredita que el vehículo lo utilizan los empleados que prestan servicio para el ente público, no solo la denunciante, también otros, según se deduce de la puesta a disposición de hojas de cálculo en la que todos que usan el vehículo han de firmar. El sistema, según la denunciada, se implanta en abril 2014, mismo mes en que a ella se le efectúa el seguimiento que consta en el “informe de visita”, y no consta que haya dejado de utilizarse, por lo que es una medida que si bien la denunciante pone de manifiesto, está afectando todavía al resto de empleados, al no constar que se haya dado la información al resto de empleados. La información sobre la finalidad del sistema implantado, sus usos, y el establecimiento del procedimiento para el ejercicio de derechos a los mismos datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 constituyen parte esencial no solo del marco de protección de datos de carácter personal sino también relevante en el ámbito de los derechos y deberes laborales relacionados con los derechos a la intimidad personal y a la propia imagen, en relación con su derecho a la tutela judicial efectiva por admitirse por ejemplo como prueba de cargo en un hipotético proceso por despido las grabaciones. En cuanto a la legitimación para la instalación de dicho medio de control laboral hay que remitirse al Estatuto de los Trabajadores, artículo 20.3 del nuevo texto refundido del Estatuto de los trabajadores, de 23/10. Le resulta aplicable al sistema GPS implantado en el vehículo en relación con los empleados que utilizan el vehículo la LOPD, sin que quepa la tesis de que no afecta a su intimidad pues lo que aquí está en juego es el derecho de protección de datos que abarca y es distinto del concepto de intimidad, entendida aquella como "un conjunto, más amplio, más global, de facetas de su personalidad que, aisladamente consideradas, pueden carecer de significación intrínseca, pero que, coherentemente enlazadas entres sí, arrojan como precipitado un retrato de la personalidad del individuo que éste tiene derecho a mantener reservado". La STC 292/2000 señala que "... el contenido del derecho fundamental de protección de datos consiste en un poder de disposición y control sobre los datos personales que faculta a la persona para decidir cuáles de sus datos proporciona a un tercero (...) estos poderes de disposición y control sobre los datos personales, que constituyen parte del derecho fundamental a la protección de datos se concreta jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el Estado o un particular". III Así, el establecimiento del sistema, por tratarse de una facultad de control implantado en este caso por la Administración por otro lado , no precisa para la implantación y recogida de datos del consentimiento de los empleados para su funcionamiento, si bien sí que se debe adecuar a los principios básicos de la LOPD: proporcionalidad, calidad de datos y que se contenga una adecuada información sobre dicha recogida de datos, pues la no necesidad de obtención del consentimiento no supone la no información sobre el mecanismo de información y uso de la recogida de los mismos que tiene lugar a través del mismo. Esta información se constituye en garantía de la autodeterminación informativa o la “libertad informática”, reconocido expresamente por la jurisprudencia de nuestro Tribunal Constitucional, a partir de su Sentencia 254/1993, de 20/07 que constituyen parte del derecho fundamental a la protección de datos que se concreta jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el Estado o un particular. IV El artículo 5 de la LOPD recoge la información en la recogida de los datos personales, lo que constituye un derecho del afectado que es objeto de protección en sí mismo, habiendo resaltado el TC en la STC 292/2000 la relevancia de este derecho a la información. La LOPD reconoce el derecho de información, fija el momento en que se ha de informar al interesado y el contenido de dicha información. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 Dispone en concreto el citado artículo 5 LOPD: "1. Los interesados a los que se soliciten datos personales deberán ser previamente informado, de modo expreso, preciso e inequívoco: a. De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de dichos datos y de los destinatarios de la información. b. Del carácter obligatorio o facultativo de su respuesta a las preguntas que le sean planteadas. c . De las consecuencias de la obtención de los datos o de la negativa a suministrarlos. d. De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición. e. De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante.” Es un hecho incuestionado que la denunciada puso en funcionamiento en abril 2014 un sistema de geolocalización en un vehículo a disposición de sus empleados que permite la monitorización de los datos de localización; existiendo en este caso una identificabilidad directa y plena del usuario según revela el Informe de visita. El artículo 5 LOPD se aplica, como se ha dicho, a la recogida de datos personales, consideración que tienen los citados datos que relacionan el posicionamiento del vehículo que mide también paradas con la persona que usa el vehículo, al disponer la denunciada de un registro de tales personas en el día en que se pone a su disposición el vehículo. De ello deriva una serie de tratamientos producto de los itinerarios efectuados con dicho sistema. En suma, el tratamiento de datos no debe ser sólo legal, sino también leal, e implícito en dicho deber de lealtad se encuentra el de prestar una información adecuada al afectado o interesado, de forma que conozca el alcance real del consentimiento que presta o caso de no precisarse, los fines de la recogida y el modo de ejercitar los derechos. Por ello el art. 5, exige que el afectado sea informado de forma expresa, precisa e inequívoca de la existencia del fichero automatizado de datos de carácter personal, de la finalidad de recogida de éstos, de los destinatarios de la información y modo de ejercitar los derechos. Pues bien, en este caso y según reconoce la propio denunciada no ha procedido a informar. V La infracción aparece tipificada como leve en el artículo 44.2.
- c)que indica:” El incumplimiento del deber de información al afectado acerca del tratamiento de sus datos de carácter personal cuando los datos sean recabados del propio interesado”. VI Sobre la prescripción de la infracción referida al caso concreto por el transcurso del plazo de perseguibilidad establecido en la LOPD, el artículo 47 indica:” 1. Las infracciones muy graves prescribirán a los tres años, las graves a los dos años y las leves al año. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 2. El plazo de prescripción comenzará a contarse desde el día en que la infracción se hubiera cometido.” El procedimiento de infracción de las Administraciones Públicas se dirige a la adecuación de la conducta infractora de la Administración denunciada, sin sanción pecuniaria, tratando de adecuar los comportamientos a la legalidad vigente y optando por el principio pro activo de regularización de la situación, por ello tras la resolución se otorga un período para que regularice la situación. De las alegaciones formuladas en las que pone de manifiesto que el sistema se continua utilizando, que los empleados siguen desplazándose para el desarrollo de su trabajo, que han de firmar antes del recorrido y se deduce que también al dejar el vehículo, se desprende que la conducta infractora respecto a la denunciante se hallaría prescrita, pero para el resto de empleados sigue permaneciendo la infracción de la no información de la recogida y tratamiento de datos por el sistema previsto. Esta infracción está incluida en las de carácter permanente en que sus efectos perduran en tanto en cuanto no se cumpla la obligación establecida y que es un incumplimiento de tipo formal que se refiere no solo a la denunciante sino con carácter general al resto de empleados, a los que según declara la denunciada no ha informado porque considera que no tiene obligación de ello. La denunciante con su denuncia inicia el procedimiento, y en este caso, aunque se aprecie la prescripción de la infracción concreta para ella, no se aprecia cumplimiento de dicha obligación para el resto de los empleados. Esta falta de información que se ha analizado sobre la denunciante se ha conocido en este procedimiento pero se resuelve que no se ha cumplido con el resto de empleados, por lo que se conviene en declarar la infracción y requerir para que se cumpla la obligación. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que la AGENCIA BALEAR DEL AGUA Y DE LA CALIDAD AMBIENTAL ha infringido lo dispuesto en el artículo 5.1 de la LOPD, tipificada como leve en el artículo 44.2.
- c)de la citada Ley Orgánica. SEGUNDO: De acuerdo con lo establecido en el apartado 3 del artículo 46 de la LOPD se requiere a la denunciada para que acredite en el plazo de un mes desde este acto de notificación las medidas de orden interno que impidan que en el futuro pueda producirse una nueva infracción del artículo 5.1 de la LOPD, respecto del sistema de GPS implantado en el vehículo, para lo que se abre expediente de actuaciones previas E/08032/2015, en concreto que implante las medidas informativas sobre el colectivo del que se recogen datos de geolocalización en el desempeño de su actividad laboral. TERCERO: NOTIFICAR la presente resolución a la AGENCIA BALEAR DEL AGUA Y DE LA CALIDAD AMBIENTAL y a A.A.A.. CUARTO: COMUNICAR la presente resolución al DEFENSOR DEL PUEBLO, de conformidad con lo establecido en el artículo 46.4 de la LOPD. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30/12, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 Instrucción 1/2004, de 22/12, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21/12, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26/11, se podrá interponer potestativamente recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13/07 reguladora de la Jurisdicción Contenciosoadministrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es