AI-00104-2024

1/17 Expediente N.º: EXP202403290 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 5 de febrero de 2024, el SINDICATO ALTERNATIVA FERROVIARIA ALFERRO presentó reclamación ante la Agencia Española de Protección de Datos contra RENFE FABRICACIÓN Y MANTENIMIENTO SME, S.A, entidad que desde el 19 de abril de 2025 ha cambiado su denominación por RENFE INGENIERÍA Y MANTENIMIENTO SME, S.A. con NIF A86868239 (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes: Desde el 22 de enero de 2024, la empresa ha implementado un sistema de control de jornada basado en realizar una fotografía al trabajador junto al uso del carné de empleado, en sustitución del anterior sistema de huella dactilar, siguiendo la guía emitida por la AEPD. En relación con el dispositivo de control de jornada, la compañía ha instalado carteles informativos cerca de este, explicando que el sistema captura una fotografía en el momento del fichaje para verificar la correspondencia entre la persona que realiza el fichaje y el titular del carné. Estos carteles también detallan el tratamiento de los datos y su finalidad en el contexto del control de presencia. Solicitan que se evalúe si la captura de fotografías de los empleados, a pesar de informarles al respecto, podría constituir una violación de sus derechos, indicando que no les consta que se haya recabado el consentimiento de los trabajadores, estando los empleados obligados a someterse a este proceso sin tener la opción de abstenerse. No se aportan evidencias que permitan constatar los hechos objeto de reclamación. SEGUNDO: Con fecha 28 de febrero de 2024 la Directora de la Agencia Española de Protección de Datos acuerda, mediante nota interior, la apertura de las presentes actuaciones de inspección como consecuencia de la reclamación presentada en relación con el sistema establecido. TERCERO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/17 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (en adelante LOPDGDD), teniendo conocimiento de los siguientes extremos: Realizado un requerimiento de información a la entidad RENFE INGENIERÍA Y MANTENIMIENTO SME, S.A. los representantes de la entidad manifiestan lo siguiente para cada una de las cuestiones que han sido planteadas por esta Inspección de Datos: PRIMERA. – Sobre datos tratados y técnicas empleadas. 1.1. Descripción detallada de los tratamientos de datos personales que realiza el sistema. En el ámbito del control de presencia/jornada laboral el responsable realiza dos tipos de tratamientos de datos. Los mismos varían en función de la ubicación donde desempeñen sus funciones los empleados. Para ello se diferencia entre los empleados que desempeñan sus funciones en las oficinas centrales y los que lo hacen en las bases de mantenimiento distribuidas en 40 centros por toda la península. Como se explicará en el punto 1.1.

1. b)a continuación, esta distinción de tratamientos encuentra su motivación en la necesidad que tuvo la entidad de establecer controles empresariales que le ayudaran a prevenir y detectar el fraude que realizaban alguno de sus empleados al realizar el fichaje en las bases de mantenimiento del material ferroviario. Para facilitar la lectura y compresión se van a dividir cada uno de los siguientes apartados en dos. Uno, identificado con la letra “a)” para el personal de las oficinas centrales y otro, identificado con la letra “b)” para el personal de las bases de mantenimiento.
2. a)Personal de oficinas centrales: En cumplimiento de las obligaciones legales del responsable, el tratamiento tiene como única finalidad registrar las jornadas de trabajo de este tipo de empleados. Para ello el trabajador debe aproximar su tarjeta corporativa al lector del dispositivo habilitado en el torno ubicado en el acceso al centro de trabajo. Sus datos personales quedan registrados en una aplicación de control de jornada laboral. A dicha aplicación pueden acceder los trabajadores a través de la Intranet corporativa y consultar el histórico de sus registros.
3. b)Personal de las bases de mantenimiento: En el caso del personal de las bases de mantenimiento el responsable con el tratamiento pretende conseguir una doble finalidad: registrar la jornada y prevenir y detectar el fraude que se pudiera cometer en dichos registros. - Registro de jornada: el registro de jornada lo realiza el trabajador aproximando su tarjeta al lector del dispositivo habilitado a tal efecto. Al igual que en el caso anterior, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/17 sus datos personales y los registros generados quedan almacenados en la aplicación de control de jornada laboral que puede consultar si éste sí lo desea. - Evitar el fraude en el registro de jornada: las bases de mantenimiento donde el responsable del Tratamiento ha implementado este sistema de registro de jornada tienen unos rasgos propios. Entre otros, los siguientes; ○ dispersión geográfica en todo el territorio peninsular; ○ medidas de seguridad y de control de acceso heterogéneas; ○ no están dotadas de personal que tengan como función controlar y/o supervisar el fichaje y el acceso de los empleados; ○ muchas de las bases tienen una gran extensión y a ellas acuden a diario un gran número de trabajadores ya que, a parte de los empleados de Renfe, también desempeñan sus funciones personas dependientes de subcontratas; o ○ dificultad de realizar una supervisión y control directa y constante sobre los trabajadores al no tener estos asignados ubicaciones fijas dentro de la base. Estos rasgos propios de las bases de mantenimiento han propiciado que algunos trabajadores cometan fraude en el fichaje y/o registro horario ya que entregaban la tarjeta a otros compañeros para que ficharan en su nombre. En el pasado este tipo de conductas derivaron en la apertura de expedientes disciplinarios contra los trabajadores. Ante estas situaciones de absentismo y/o incumplimiento de jornada, el responsable decidió establecer un sistema combinado de fichaje consistente en la utilización de la tarjeta corporativa a la que se añade la toma de una fotografía. El responsable del tratamiento ha escogido este método para poder ejercer sus facultades de control empresarial y poder verificar, en caso de necesidad, la identidad real de los trabajadores mediante el cotejo entre las fotografías tomadas en el momento del fichaje y la que conste en su perfil de empleado. Concretamente, para realizar el fichaje el trabajador debe aproximar su tarjeta identificativa al lector del dispositivo. En ese momento se toma una fotografía de individuo que está frente al dispositivo. Como norma general, este procedimiento se repite dos veces al día: una vez al inicio de la jornada laboral y otra al finalizar ésta. No obstante, el procedimiento se repetirá cada vez que el empleado fiche por lo que, en determinadas circunstancias (por ejemplo, ante una cita médica de un empleado que hace abandonar su puesto de trabajo) la captura y tratamiento de los datos podría realizarse en más de dos ocasiones. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/17 Al igual que ocurre con el resto de los datos relativos al fichaje, la fotografías quedan registradas en la herramienta de control de jornada laboral y también pueden ser consultadas por los empleados. 1.2. Información sobre si el sistema utiliza una tarjeta o carné (u otro dispositivo o procedimiento) que el empleado debe presentar a la vez que muestra su rostro, para identificarse al acceder a las instalaciones. Descripción del procedimiento seguido en la validación del empleado al acceder al centro de trabajo.
4. a)Personal de oficinas centrales: El sistema de registro de jornada del personal que presta sus servicios en oficinas se realiza aproximando la tarjeta corporativa al lector del torno durante el control de acceso. Dado que no es necesario para la consecución de los fines previstos, los empleados no deben mostrar su rostro ante ningún tipo de dispositivo. Tampoco se trata ningún otro dato, ya sea éste biométrico o de otro tipo.
5. b)Personal de las bases de mantenimiento: Por su parte, el registro de jornada utilizado por el personal de las bases de mantenimiento requiere la utilización de la tarjeta corporativa y la toma de fotografía del trabajador. El sistema registra el número de identificación del trabajador (número de matrícula) una vez que éste aproxima al lector del dispositivo su tarjeta identificativa. Simultáneamente el sistema capta el rostro del trabajador mediante la toma de una fotografía. Este procedimiento se repite, al menos, dos veces al día: una vez al inicio de la jornada laboral y otra al finalizar la misma. El empleado no se valida al acceder al centro de trabajo ya que, una vez el trabajador ha cumplido con el procedimiento descrito, el acceso es libre e independiente de que la persona fotografiada coincida con la titular de la tarjeta registrada. Sólo cuando sea necesario y para validar que el empleado que accede a la base de mantenimiento es quien dice ser, se procederá por parte de Recursos Humanos a la visualización de la fotografía realizada y el cotejo de esta contra la registrada en su ficha de empleado. Todo ello de forma completamente manual. 1.3. Información sobre si se realiza algún tipo de reconocimiento facial sobre la fotografía tomada al empleado en el momento en el que realiza en fichaje.
6. a)Personal de oficinas centrales: Como se ha explicado previamente, en el tratamiento de registro de jornada de oficinas centrales no te toma fotografía alguna sobre este colectivo de empleados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/17 Por tanto, es imposible para el responsable del Tratamiento realizar cualquier tipo de acción tendente al reconocimiento facial de sus empleados.
7. b)Personal de las bases de mantenimiento: No se realiza reconocimiento facial. No obstante, como se ha explicado anteriormente, se capta la imagen del trabajador mediante la toma de una fotografía en el momento del fichaje. Tal y como indica el Considerando 41 del RGPD “El tratamiento de fotografías no debe considerarse sistemáticamente tratamiento de categorías especiales de datos personales, pues únicamente se encuentran comprendidas en la definición de datos biométricos cuando el hecho de ser tratadas con medios técnicos específicos permita la identificación o la autenticación unívocas de una persona física”. Teniendo en consideración la definición anterior, y en tanto que los datos son visualizados y verificados por parte de RRHH de forma completamente manual (y no través de medios técnicos específicos), se concluye que la fotografía captada no se considera, de ningún modo, un dato de carácter biométrico. De igual modo, tal y como indica el Comité Europeo de Protección de Datos en sus Directrices 05/2022 sobre el uso de tecnología de reconocimiento facial: “Facial recognition is a probabilistic technology that can automatically recognise individuals based on his/her face in order to authenticate or identify them” (el reconocimiento facial es una tecnología probabilística que puede reconocer automáticamente a las personas basándose en su rostro para autenticarlas o identificarlas). Puntualizan el hecho de que, el sistema implementado no tiene la capacidad de reconocer automáticamente a las personas cuyas imágenes se captan, debiendo hacer este ejercicio, de forma manual, por parte del personal de RRHH habilitado para ello. “Facial recognition is part of a wider spectrum of video image processing techniques. Some video cameras can film people within a defined area, in particular their faces, but they cannot be used as such to automatically recognize individuals. The same applies to simple photography: a camera is not a facial recognition system because photographs of people need to be processed in a specific way in order to extract biometric data” (el reconocimiento facial es parte de un espectro más amplio de técnicas de procesamiento de imágenes de video. Algunas cámaras de video pueden filmar personas dentro de un área definida, en particular sus rostros, pero no pueden utilizarse como tal para reconocer automáticamente a los individuos. Lo mismo se aplica a la fotografía simple: una cámara no es un sistema de reconocimiento facial porque las fotografías de personas deben ser procesadas de una manera específica para extraer datos biométricos). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/17 Por todo ello, indican que el reconocimiento facial forma parte de un espectro más amplio de técnicas de tratamiento de imágenes, que implica reconocer automáticamente a las personas a partir de su rostro para identificarlas, y procesarlas de una manera específica para extraer sus datos biométricos. En este caso, entienden que la toma de la fotografía no tiene la consideración de tratamiento de un dato biométrico, indicando que: - No se captan puntos del rostro para procesarlos automáticamente ni forman parte de una plantilla biométrica. - No se realiza ningún análisis biométrico de la fotografía de la tarjeta corporativa con la imagen captada por el dispositivo. 1.4. Información sobre si la autenticación/identificación del empleado se realiza: 1 a 1 (o la plantilla/resumen/hash de la fotografía capturada en el momento de la entrada con la propia del empleado previamente almacenada), o 1 a N (comparando la fotografía o plantilla de la fotografía capturada en el momento con las de todos los empleados almacenadas en el sistema).
8. a)Personal de oficinas centrales: En el tratamiento de registro de jornada de oficinas centrales no te toma fotografía alguna sobre este colectivo de empleados. Por tanto, es imposible para el responsable del Tratamiento realizar cualquier tipo de acción tendente a la autenticación y/o identificación de los trabajadores.
9. b)Personal de las bases de mantenimiento: En caso de sospechas de fraude en el registro de jornada de trabajadores de las bases de mantenimiento, el personal designado por Recursos Humanos compara la fotografía captada por el dispositivo habilitado, con la fotografía del trabajador que el área de Recursos Humanos tiene en sus repositorios, y que es recabada en el momento de la contratación del personal. Por tanto, sí que se puede hacer una comparación manual de la fotografía capturada en el momento del fichaje con otra del empleado previamente almacenada. No obstante, entienden que en este caso no se realiza una comparación “1 a 1” como tal, indicando que las expresiones “1 a 1” y “1 a N” se utilizan únicamente en el contexto de tratamientos de datos biométricos que utilizan sistemas automatizados de identificación y/o autenticación. En este caso se realiza una comparación visual, sin utilizar mecanismos automatizados. La fotografía es visualizada únicamente por parte de las personas físicas determinadas previamente por el área de Recursos Humanos (aquellos que tienen el rol de “gestor”). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/17 Indican que la fotografía no se procesa mediante ningún sistema a excepción del tratamiento necesario para su almacenamiento y que no es una plantilla biométrica ni forma parte de ningún proceso automatizado. No se autentica ni identifica a los trabajadores biométricamente contra los datos almacenados en el sistema. Manifiestan que por tanto, no existe una comparación 1 a 1, y mucho menos, una comparación 1 a N. 1.5. Información sobre la relación de los datos que se registran (código identificativo del empleado, fecha y hora de entrada, fotografía tomada, …). Periodo de tiempo durante el cual se almacenan estos datos, incluido el tiempo de almacenamiento de la fotografía y resumen de la misma en su caso. Copia de documentación acreditativa de la información que se facilite. Aportan como Anexo nº 1 el registro de actividades de tratamiento (RAT). Se verifica que en el RAT aportado consta que se tratan los datos identificativos (nombre, apellidos, matrícula del empleado y dependencia (centro-base de mantenimiento), la fecha y hora del inicio y fin de la jornada laboral y la fotografía (en los casos de trabajadores de las bases de mantenimiento). Sobre la permanencia de la fotografía se indica en el RAT “Los datos provenientes del registro de jornada de los trabajadores se conservarán durante cuatro años en cumplimiento del art. 34.9 del Estatuto de los Trabajadores. La fotografía será conservada durante el plazo de seis meses, posteriormente se procederá a su supresión definitiva.” Aportan como Anexo nº 2, a modo de muestra, una captura de pantalla con los datos que se visualizan en la aplicación de control de horario laboral. Se verifica que se muestran los datos de hora de entrada y salida según los días y el centro de trabajo. SEGUNDA – Sobre los centros de la entidad, número de empleados afectados y rechazos del sistema.
10. a)Personal de oficinas centrales: El número aproximado de Personal de oficinas centrales es de 190 empleados, en un único centro de trabajo. No les consta que haya expresado su rechazo ningún trabajador.
11. b)Personal de las bases de mantenimiento: El número aproximado de personal de las bases de mantenimiento afectados por este sistema es 2.800 trabajadores, en un total de 40 centros de trabajo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/17 Únicamente le consta que haya expresado su rechazo al nuevo sistema un trabajador. Éste escribió un mensaje al buzón (fabricacionymantenimiento@renfe.
12. es)habilitado por el responsable del tratamiento para el ejercicio de derechos en materia de protección de datos. A dicho trabajador se le respondió utilizando ese mismo buzón el pasado 5 de febrero y se le dio la siguiente contestación: “El nuevo sistema no utiliza datos biométricos, no resultando posible fichar mediante huella. El mecanismo actual ha quedado limitado a un sistema de tarjeta (carné ferroviario) que se completa con la toma de una fotografía durante el registro de jornada en el dispositivo habilitado al efecto. Respecto a la fotografía, le confirmamos que la misma no va a ser sometida a ningún sistema con fines de identificación o autenticación unívocas de personas físicas. Por tanto, no tiene la consideración de dato biométrico.” Con anterioridad a la reclamación del trabajador, en diciembre de 2023 se recibió consulta, en el buzón del Delegado de Protección de Datos, de una la Sección Sindical con respecto a este asunto. El sindicato considera que la captación de fotografías en las terminales de control de fichajes de las dependencias de la entidad quedaría, con carácter general, claramente prohibido, a la luz de la nueva Guía de la AEPD. La respuesta del Delegado de Protección de Datos fue la siguiente: “A este respecto, la referencia que usted hace al considerar la fotografía como dato biométrico es inexacta. Permítame recordar que el Considerando 51 del RGPD establece que «el tratamiento de fotografías no debe considerarse sistemáticamente tratamiento de categorías especiales de datos personales, pues únicamente se encuentran comprendidas en la definición de datos biométricos cuando el hecho de ser tratadas con medios técnicos específicos permita la identificación o la autenticación unívocas de una persona física». Esto implica, tal como explica la propia AEPD en su nueva Guía, que una fotografía sólo quedará incluida en el concepto de dato biométrico cuando se someta a un tratamiento técnico específico que permita su almacenamiento en forma de plantilla o patrón biométrico que, actuando como identificador único de una persona, está orientado a ser interpretado por una máquina, lo cual no sucede en este caso. Así, el sistema propuesto se limita a realizar una fotografía del trabajador en el momento en que pasa la tarjeta ferroviaria por el lector, y esta imagen sólo será reproducida en determinados casos para ser visualizada por un humano ante posibles sospechas de fichaje fraudulento. Por tanto, la fotografía no va a ser sometida a ningún sistema de reconocimiento facial ni se va a generar plantilla o patrón biométrico alguno orientado a ser interpretable por una máquina con fines de identificación o autenticación unívocas de personas físicas”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/17 TERCERA – Sobre las bases jurídicas de legitimación para el tratamiento.
13. a)Personal de oficinas centrales: No se recaba el consentimiento del trabajador. Indican que la base de legitimación utilizada para el registro de la jornada laboral es el cumplimiento de una obligación legal establecida en el artículo 34.9 del Real Decreto 2/2015, de 23 de octubre, por el que se aprueba el texto refundido de la Ley del Estatuto de los Trabajadores (en adelante, ET).
14. b)Personal de las bases de mantenimiento: No se recaba el consentimiento del trabajador. Indican que las bases de legitimación utilizadas son las siguientes, en función de cada una de las finalidades perseguidas con el tratamiento: - Para registrar la jornada laboral de los trabajadores, la base legal es el cumplimiento de la obligación legal de registro de jornada establecida en el artículo 34.9 del ET. - Para evitar el fraude en el registro de jornada, la fotografía en el momento del fichaje es tratada en base a la relación contractual existente entre el trabajador y su empleador, en aplicación del artículo 20.3 del ET, que faculta al empresario para adoptar las medidas que estime más oportunas de vigilancia y control para verificar el cumplimiento por el trabajador de sus obligaciones y deberes laborales. CUARTA – Información facilitada a los empleados respecto al nuevo sistema.
15. a)Personal de oficinas centrales: Se informa a los trabajadores mediante un cartel sito en el punto de control de acceso a las oficinas. Aportan copia del cartel informativo del tratamiento como Anexo nº 3 del presente escrito. Se verifica que en el documento se informa de quién es el responsable del tratamiento, el contacto del Delegado de Protección de Datos (DPD), con qué fines se tratan los datos, sobre qué bases jurídicas, cuánto tiempo se conservan, posibles comunicaciones de los datos, y la posibilidad de ejercer los derechos en materia de Protección de Datos indicando una dirección de correo electrónico y una dirección postal, con la posibilidad de presentar una reclamación ante la Agencia Española de Protección de Datos. Indican que debido al reciente cambio de la denominación de la sociedad que actúa como responsable del tratamiento y, en consecuencia, del buzón utilizado para la atención de los derechos de los interesados se renovó el cartel el pasado 19 de abril. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/17
16. b)Personal de las bases de mantenimiento: Manifiestan que Renfe Ingeniería y Mantenimiento ha informado del sistema de registro de jornada al personal de las bases mediante: (
17. i)Texto informativo sobre el tratamiento de sus datos. Se elaboró una política de privacidad específica para el registro de jornada con este nuevo sistema de tarjeta y fotografía. Dicho texto se encuentra situado al lado del dispositivo habilitado, en lugar visible. Aportan copia del texto informativo en el Anexo nº 4, y fotografía de una de las bases de mantenimiento a modo de ejemplo en el Anexo nº 5. El propio reclamante manifiesta que se han ubicado carteles informativos cerca de los dispositivos. Se verifica que en el documento nº 4 se informa de quién es el responsable del tratamiento, el contacto del DPD, con qué fines se tratan los datos, sobre qué bases jurídicas, cuánto tiempo se conservan, posibles comunicaciones de los datos, y la posibilidad de ejercer los derechos en materia de Protección de Datos indicando una dirección de correo electrónico y una dirección postal, con la posibilidad de presentar una reclamación ante la Agencia Española de Protección de Datos. En concreto, se informa de lo siguiente con relación a las finalidades y la fotografía tomada: “Trataremos sus datos con la finalidad de